Решение № 12-61/2025 от 19 февраля 2025 г. по делу № 12-61/2025

№ 12-61/2025


РЕШЕНИЕ

20 февраля 2025 года

город Архангельск

Судья Октябрьского районного суда г. Архангельска Ярмолюк С.Р., рассмотрев в открытом судебном заседании жалобу ВТС на определение специалиста-эксперта отдела по защите прав субъектов персональных данных Управления Роскомнадзора по Архангельской области и Ненецкому автономному округу ФИО1 об отказе в возбуждении дела об административном правонарушении от 26.12.2024 № ОО-29/4/145,

установил:

определением специалиста-эксперта отдела по защите прав субъектов персональных данных Управления Роскомнадзора по Архангельской области и Ненецкому автономному округу ФИО1 от 26.12.2024 № ОО-29/4/145 отказано в возбуждении дела об административном правонарушении, предусмотренного частью 3 статьи 13.11 Кодекса Российской Федерации об административных правонарушениях (далее – КоАП РФ), в отношении ООО «АРХЛЕС-СЕРВИС» по результатам рассмотрения обращений ВТС

Не согласившись с указанным определением, ВТС подала жалобу о его отмене.

ВТС, извещенная о рассмотрении дела надлежащим образом, не явилась. Её представитель ФИО2 в судебном заседании поддержал доводы жалобы.

В судебном заседании представитель Управления Роскомнадзора ФИО3 и вынесшее обжалуемое определение должностное лицо ФИО1, а также ГАГ, <данные изъяты> (выполняющего функции управляющей организации – единоличного исполнительного органа ООО «АРХЛЕС-СЕРВИС») и представитель ООО «АРХЛЕС-СЕРВИС» ФИО4 возражали против удовлетворения жалобы.

Исследовав доводы жалобы и материалы дела, судья приходит к следующим выводам.

Из материалов дела следует, что ВТС обратилась в Управление Роскомнадзора с обращением (жалобой) от 28.10.2024 (поступило 29.10.2024) и дополнениями к ней от 11.11.2024 и от 24.11.2024, сообщая об имеющихся, по ее мнению, признаках нарушений законодательства о персональных данных, в том числе административного правонарушения, предусмотренного частью 3 статьи 13.11 КоАП РФ, в поведении ООО «АРХЛЕС-СЕРВИС» и его руководителя, ссылаясь на то, что, по ее мнению, в ООО «АРХЛЕС-СЕРВИС», ООО «АРХЛЕС И КО» и ООО «ЯМАР» не разработан и не опубликован в свободном доступе такой документ, как политика в отношении обработки персональных данных, вопреки требованиям статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – Федеральный закон № 152-ФЗ). Также заявитель указывала о том, что отдельные сотрудники отдела кадров ООО «АРХЛЕС И КО» неправомерно имеют доступ к персональным данным, хотя в организации отсутствует локальный акт, предоставляющий им такой доступ.

Как следует из материалов дела, после поступления указанной жалобы (и первоначального обращения заявителя от 07.10.2024) Управлением Роскомнадзора запрошены уточняющие сведения у заявителя, а также у ООО «АРХЛЕС-СЕРВИС», ООО «АРХЛЕС И КО».

Как следует из материалов и пояснений должностных лиц административного органа, по итогам рассмотрения поступивших сведений и документов было принято обжалуемое определение в отношении ООО «АРХЛЕС-СЕРВИС» и заявителю направлен ответ от 26.12.2024 с разъяснениями и ответом по иным вопросам.

Как следует из указанного определения от 26.12.2024, вывод об отсутствии оснований для возбуждения дела об административном правонарушении в отношении ООО «АРХЛЕС-СЕРВИС» по части 3 статьи 13.11 КоАП РФ мотивирован тем, что ООО «АРХЛЕС-СЕРВИС» входит в группу компаний «Лес и Дом» и находится под управлением ООО «АРХЛЕС И КО» (на основании договора о передаче полномочий исполнительного органа от 02.03.2009); администратором сайта lesidom.ru в сети Интернет является ООО «АРХЛЕС И КО», которое одновременно является оператором по обработке персональных данных пользователей, заполнивших онлайн-формы на сайте; административным органом выявлен факт размещения на указанном сайте документа, определяющего политику ООО «АРХЛЕС И КО» по обработке персональных данных. На этом основании административным органом сделан вывод об отсутствии события административного правонарушения в поведении ООО «АРХЛЕС-СЕРВИС».

Исходя из положений статьи 30.6 КоАП РФ при рассмотрении жалобы суд не связан доводами жалобы и обязан проверить дело в полном объеме.

При этом с учетом стадии производства по делу (до возбуждения дела об административном правонарушении) суд не вправе давать оценку виновности или невиновности лица в совершении конкретного деяния, а равно иным образом предрешать выводы административного органа, к компетенции которого относится проведение проверки и принятие процессуального решения на данной стадии производства по делу.

Порядок возбуждения дела об административном правонарушении определен статьей 28.1 КоАП РФ. Согласно части 5 статьи 28.1 КоАП РФ в случае отказа в возбуждении дела об административном правонарушении при наличии материалов, сообщений, заявлений, указанных в пунктах 2 и 3 части 1 данной статьи, должностным лицом, рассмотревшим указанные материалы, сообщения, заявления, выносится мотивированное определение об отказе в возбуждении дела об административном правонарушении.

Исходя из положений статей 1.5, 2.1, 24.1, 26.1, 26.11 КоАП РФ, проводя предварительную проверку и рассматривая материалы, должностное лицо должно исходить из обстоятельств дела и предмета доказывания, определяемого диспозицией нормы, по которой квалифицируется деяние. При этом, по смыслу положений статей 28.1 и 28.2 КоАП РФ, установление обстоятельств и квалификация деяния осуществляется должностным лицом, уполномоченным на составление протокола, а не заявителем, сообщившим сведения о наличии, по его мнению, признаков правонарушения.

При вынесении обжалуемого определения указанные процессуальные требования КоАП РФ выполнены не в полной мере.

По смыслу указанных норм КоАП РФ, должностное лицо, решающее вопрос о наличии или отсутствии оснований для составления протокола об административном правонарушении (возбуждения дела об административном правонарушении), не связано доводами заявителя о конкретном составе правонарушения, по которому он просит привлечь лицо к ответственности. Иное толкование норм КоАП РФ противоречило бы публичному характеру обвинения по делам об административных правонарушениях, который подразумевает, что объем обвинения и квалификацию вменяемого в вину деяния определяет должностное лицо от имени и в интересах государства, а не по заявлению или в интересах частного лица. В связи с этим соответствующее должностное лицо самостоятельно определяет, имеются ли в выявленном событии признаки состава правонарушения, отнесенного к его компетенции, а в случае выявления наличия признаков неподведомственного ему состава правонарушения или признаки преступления передает материалы для принятия процессуального решения уполномоченному должностному лицу.

Из обжалуемого определения, иных материалов и пояснений должностных лиц административного органа в судебном заседании следует, что оно вынесено только в отношении ООО «АРХЛЕС-СЕРВИС» и только в части обстоятельств, относящихся к составу правонарушения, предусмотренному частью 3 статьи 13.11 КоАП РФ (со ссылкой на требования ВТС, указанные в ее дополнении от 24.11.2024).

Из жалобы и пояснений представителя подателя жалобы в судебном заседании также следует, что предметом обжалования является указанное конкретное определение. В связи с этим иные определения, действия или бездействие административного органа не являются предметом рассмотрения по настоящему делу, в том числе не подлежат оценке доводы жалобы и обстоятельства, касающиеся проверки предполагаемых нарушений при доступе отдельных работников (ШКМ и ФАВ) к персональным данным, содержащимся в локальной информационной системе ООО «АРХЛЕС И КО», в части, не охватываемой диспозицией части 3 статьи 13.11 КоАП РФ. В случае наличия оснований заинтересованные лица не лишены права подавать иные жалобы в иной части, указывая соответствующие доводы.

Частью 3 статьи 13.11 КоАП РФ предусмотрена ответственность за невыполнение оператором предусмотренной законодательством Российской Федерации в области персональных данных обязанности по опубликованию или обеспечению иным образом неограниченного доступа к документу, определяющему политику оператора в отношении обработки персональных данных, или сведениям о реализуемых требованиях к защите персональных данных.

В силу статьи 3 Федерального закона № 152-ФЗ, для целей данного закона оператором признается государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными; а под обработкой персональных данных понимается любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

В части 1 статьи 18.1 Федерального закона № 152-ФЗ предусмотрены меры, которые оператор обязан принимать для обеспечения выполнения обязанностей, предусмотренных данным законом и принятыми в соответствии с ним нормативными правовыми актами. При этом оператор самостоятельно определяет состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, если иное не предусмотрено этим или другими федеральными законами. К таким мерам, в частности, относится (пункт 2) издание оператором, являющимся юридическим лицом, документов, определяющих политику оператора в отношении обработки персональных данных, локальных актов по вопросам обработки персональных данных, определяющих для каждой цели обработки персональных данных категории и перечень обрабатываемых персональных данных, категории субъектов, персональные данные которых обрабатываются, способы, сроки их обработки и хранения, порядок уничтожения персональных данных при достижении целей их обработки или при наступлении иных законных оснований, а также локальных актов, устанавливающих процедуры, направленные на предотвращение и выявление нарушений законодательства Российской Федерации, устранение последствий таких нарушений.

Согласно части 2 статьи 18.1 Федерального закона № 152-ФЗ, оператор обязан опубликовать или иным образом обеспечить неограниченный доступ к документу, определяющему его политику в отношении обработки персональных данных, к сведениям о реализуемых требованиях к защите персональных данных. Оператор, осуществляющий сбор персональных данных с использованием информационно-телекоммуникационных сетей, обязан опубликовать в соответствующей информационно-телекоммуникационной сети, в том числе на страницах принадлежащего оператору сайта в информационно-телекоммуникационной сети Интернет, с использованием которых осуществляется сбор персональных данных, документ, определяющий его политику в отношении обработки персональных данных, и сведения о реализуемых требованиях к защите персональных данных, а также обеспечить возможность доступа к указанному документу с использованием средств соответствующей информационно-телекоммуникационной сети.

Из анализа указанных норм права следует, что для вывода о наличии или отсутствии события указанного правонарушения необходимо установить не только сам факт наличия локального акта, определяющего политику оператора в отношении обработки персональных данных, но и конкретные сведения о том, каким образом обеспечен неограниченный доступ к документу, определяющему политику оператора в отношении обработки персональных данных, и к сведениям о реализуемых требованиях к защите персональных данных, включая сведения о времени, когда этот доступ обеспечен и месте обеспечения доступа (способе размещения, опубликования).

При этом предметом проверки, исходя из указанных норм и обращений ВТС, является не только наличие и обеспечение доступа к документам, определяющим политика в отношении обработки персональных данных, которые собираются с использованием информационно-телекоммуникационных сетей, но и в целом такую политику, независимо от места сбора соответствующих данных.

Согласно обжалуемому определению, по мнению вынесшего его должностного лица, выявление в ноябре 2024 года факта размещения на сайте lesidom.ru документа, определяющего политику ООО «АРХЛЕС И КО» по обработке персональных данных, является достаточным для вывода об отсутствии события правонарушения в отношении другого лица – ООО «АРХЛЕС-СЕРВИС».

Однако этот вывод сделан преждевременно. Так, из материалов следует, что 07 августа 2024 года приказом № 144/1 ГАГ <данные изъяты> утвердил Положение по обработке и защите персональных данных работников (иных лиц), согласно пункту 1.1 которого данное положение является локальным нормативным актом ООО «АРХЛЕС-СЕРВИС». В тот же день 07 августа 2024 года ГАГ <данные изъяты> ООО «АРХЛЕС И КО» приказом № 44/1 утвердил Положение по обработке и защите персональных данных работников (иных лиц), согласно пункту 1.1 которого данное положение является локальным нормативным актом другой организации – ООО «АРХЛЕС И КО». При этом остальное содержание обоих документов в значительной степени совпадает.

До этого, как следует из материалов, действовало Положение о защите персональных данных работников ООО «АРХЛЕС И КО», утвержденное 01.04.2010. Сведения о его размещении (опубликовании) в материалах отсутствуют, равно как и сведения об аналогичном документе ООО «АРХЛЕС-СЕРВИС» в период до 07.08.2024.

Также из материалов следует, что в ходе проверки приказом от 29.11.2024 № 66 директор ООО «АРХЛЕС И КО» утвердил Положение по обработке и защите персональных данных работников (иных лиц), в том числе посетителей сайта www.lesidom.ru (Политика конфиденциальности). Согласно вводной части этого Положения, оно является нормативным актом ООО «АРХЛЕС И КО», но там же указано (абзац восьмой вводной части) о том, что оператором для целей данного документа является как ООО «АРХЛЕС И КО», так и организации, в которых оно является управляющей организацией, и иные организации. Сведения об отмене или признании ранее принятых локальных актов утратившими силу отсутствуют, равно как и сведения о принятии и опубликовании (размещении) нового локального акта в ООО «АРХЛЕС-СЕРВИС» (если данное лицо является оператором).

Из материалов, в том числе дополнительных пояснений административного органа, следует, что 13, 14, 18 и 26 ноября 2024 года должностными лицами проводился осмотр указанного сайта и на нем было выявлено наличие указанного положения ООО «АРХЛЕС И КО» от 07.08.2024, что подтверждено в том числе скриншотами от 18 и 26 ноября 2024 года.

Однако в материалах отсутствуют доказательства того, что в ходе проверки выявлено размещение на указанном сайте Положения, утвержденного приказом № 144/1 в отношении ООО «АРХЛЕС-СЕРВИС», или что иным образом были выполнены указанные требования части 2 статьи 18.1 Федерального закона № 152-ФЗ в отношении ООО «АРХЛЕС-СЕРВИС».

Тот факт, что ООО «АРХЛЕС И КО» является и являлось управляющей организацией в отношении ООО «АРХЛЕС-СЕРВИС», подтверждается материалами, в том числе сведениями ЕГРЮЛ и договором управления. Однако из положений Федерального закона № 152-ФЗ не следует, что в случае, если функции исполнительного органа юридического лица выполняет другое юридическое лицо (управляющая организация), то оператором для целей закона в этом случае является только управляющая организация или только управляемая организация.

Из указанных в статье 3 Федерального закона № 152-ФЗ определений и иных положений закона следует, что основным критерием отнесения лица к операторам является обработка этим лицом персональных данных, независимо от того, осуществляется ли такая обработка самостоятельно или совместно с иными лицами, или того, является ли фактическим руководителем обеих организаций одно лицо.

В материалах отсутствуют какие-либо доказательства, указывающие на то, что ООО «АРХЛЕС-СЕРВИС» не обрабатывает и не обрабатывало персональные данные и, соответственно, не является оператором.

Более того, из имеющихся в материалах ответов ООО «АРХЛЕС-СЕРВИС» и ООО «АРХЛЕС И КО» следует, что обе организации являются действующими. Из пояснений <данные изъяты> ГАГ и представителя юридического лица в судебном заседании следует, что, в частности, продавцы работают в ООО «АРХЛЕС-СЕРВИС», а в ООО «АРХЛЕС И КО» - бухгалтерия и кадровая служба.

Однако такое распределение функций само по себе не указывает на то, что лицо, через которое осуществляются продажи, не является оператором и не несет обязанностей, вытекающих из статьи 18.1 Федерального закона № 152-ФЗ. Как следует из материалов, обстоятельства, свидетельствующие о том, что ООО «АРХЛЕС-СЕРВИС» не является оператором, не были установлены.

Тот факт, что от имени и в интересах ООО «АРХЛЕС-СЕРВИС» действует директор ООО «АРХЛЕС И КО» как управляющей организации, не означает, что ООО «АРХЛЕС-СЕРВИС» теряет правосубъектность, т.е. не несет прав и обязанностей. Соответственно, по смыслу указанных норм, даже если от имени и в интересах лица обработку данных осуществляет другое лицо, оба данных лица будут являться операторами, но с учетом особенностей их правоотношений и распределения обязанностей. Одной из таких особенностей в рассматриваемом случае является то, что фактически обеими организациями руководит одно лицо (ГАГ), что само по себе не влечет уменьшение установленного законом объема обязанностей в рассматриваемой сфере защиты персональных данных, хотя и может в определенной части упрощать внутриорганизационное делопроизводство и иные процессы.

Данные обстоятельства подлежали проверке и установлению в полном объеме, в том числе то, является ли ООО «АРХЛЕС-СЕРВИС» оператором и, если является, обеспечено ли размещение (опубликование) требуемого документа (политики) данной организации (а не политики ее управляющей организации) и иных сведений, указанных в диспозиции части 3 статьи 13.11 КоАП РФ и части 2 статьи 18.1 Федерального закона № 152-ФЗ.

При имеющихся материалах и установленных обстоятельствах необоснованным является вывод о том, что выявление размещения документа управляющей организации свидетельствует о выполнении обязанности управляемой организации или об отсутствии события правонарушения.

Кроме того, как обоснованно указано подателем жалобы, ВТС изначально (первое обращение от 07.10.2024) указывала на то, что соответствующие документы, определяющие политику в области обработки персональных данных, не были опубликованы (размещены). В связи с этим и исходя из диспозиции нормы срока давности привлечения к административной ответственности также подлежали установлению обстоятельства, касающиеся даты опубликования (размещения).

В письме ООО «АРХЛЕС-СЕРВИС» от 11.12.2024 (вх. № 8295/29 от 13.12.2024) указано, что на указанном сайте еще в ноябре 2021 года (т.е. до утверждения положения от 07.08.2024) было опубликовано положение, касающееся обработки персональных данных. Однако нет никаких сведений о том, какое положение (какого оператора или операторов) было опубликовано в 2021 году, а также не имеется акта осмотра, сведений хостинг-провайдера, технических журналов администратора сайта (домена), в котором отображается история изменений сайта, или иных доказательств, подтверждающих факты и хронологию размещения соответствующих политик ООО «АРХЛЕС-СЕРВИС» (а не ООО «АРХЛЕС И КО» или иных лиц).

Также не имеется оснований полагать, что в рассматриваемом случае административный орган был лишен возможности в соответствии с КоАП РФ устанавливать содержание указанного сайта или иные обстоятельства за прошлый период времени (например, до 13.11.2024), в том числе путем запроса указанных сведений у лиц, осуществляющих обеспечение работы сайта (домена), опроса свидетелей.

Из обжалуемого определения и представленных материалов следует, что установление и проверка указанных обстоятельств, имеющих существенное значение для дела, административным органом проведены не в полном объеме.

Выявленная неполнота проверки по обращению ВТС свидетельствует о нарушении процессуальных требований КоАП РФ и о преждевременности вывода об отсутствии события правонарушения.

Согласно пункту 4 части 1 статьи 30.7 КоАП РФ по результатам рассмотрения жалобы выносится решение об отмене постановления (определения) и о возвращении дела на новое рассмотрение судье, в орган, должностному лицу, правомочным рассмотреть дело, в случаях существенного нарушения процессуальных требований КоАП РФ, если это не позволило всесторонне, полно и объективно рассмотреть дело.

Указанные процессуальные нарушения не позволили принять обоснованное процессуальное решение в соответствии со статьей 28.1 КоАП РФ (об отказе или о возбуждении производства по делу). Выявленные недостатки не были устранены и не могут быть устранены судом, оснований для вывода об истечении срока давности привлечения к ответственности не выявлено, в связи с чем обжалуемое определение подлежит отмене с возвращением материалов в уполномоченный административный орган.

С учетом возвращения материалов, а также текущей стадии производства по делу иные доводы подателя жалобы, относящиеся к оценке виновности, правомерности или неправомерности, квалификации поведения ООО «АРХЛЕС-СЕРВИС», иных юридических и должностных лиц, на данный момент не могут быть оценены судом. Вопросы о характере нарушения (если оно имелось), его наказуемости и форме вины подлежат исследованию и оценке в установленном порядке в случае возбуждения дела об административном правонарушении.

Ссылки подателя жалобы на архивную справку о содержании указанного сайта, заказанную через сайты <данные изъяты>, также подлежат проверке при новом рассмотрении, с учетом положений главы 26 КоАП РФ, равно как и иные доводы и аргументы заявителя и проверяемых лиц. Так, в силу статьи 26.11 КоАП РФ никакое доказательство не имеет заранее установленной силы, за исключением случаев, прямо установленных законом. В каждом случае значение доказательства определяется в совокупности с иными доказательствами, с учетом его относимости, допустимости, достоверности и достаточности для доказывания обстоятельств конкретного дела.

Доводы жалобы о возможности проведения в данном случае административного расследования отклоняются, поскольку проведение административного расследования по нарушениям законодательства в области защиты персональных данных не предусмотрено статьей 28.7 КоАП РФ. Однако это не исключает проведение необходимых проверочных действий в рамках полномочий административного органа и в рамках общих положений КоАП РФ.

Судья, руководствуясь статьями 30.7 и 30.8 КоАП РФ,

решил:

жалобу ВТС удовлетворить.

Определение специалиста-эксперта отдела по защите прав субъектов персональных данных Управления Роскомнадзора по Архангельской области и Ненецкому автономному округу ФИО1 об отказе в возбуждении дела об административном правонарушении от 26.12.2024 № ОО-29/4/145 отменить.

Возвратить материалы по обращениям ВТС на новое рассмотрение.

Решение может быть обжаловано в Архангельский областной суд непосредственно или через Октябрьский районный суд г. Архангельска в течение десяти дней со дня вручения или получения копии решения.

Судья

С.Р. Ярмолюк

УИД 29RS0018-01-2025-000074-88