АРБИТРАЖНЫЙ СУД ВОЛГО-ВЯТСКОГО ОКРУГА
ПОСТАНОВЛЕНИЕ
от 23 мая 2018 г. по делу N А29-8062/2017
23 мая 2018 года
(дата изготовления постановления в полном объеме)
Резолютивная часть постановления объявлена 17.05.2018.
Арбитражный суд Волго-Вятского округа в составе:
председательствующего Башевой Н.Ю.,
судей Александровой О.В., Забурдаевой И.Л.,
в отсутствие представителей лиц, участвующих в деле,
рассмотрел в судебном заседании кассационную жалобу
Управления Федеральной службы по надзору в сфере связи, информационных
технологий и массовых коммуникаций по Республике Коми
на постановление Второго арбитражного апелляционного суда от 26.01.2018,
принятое судьями Кононовым П.И., Ившиной Г.Г., Щелокаевой Т.А.,
по делу N А29-8062/2017
по заявлению акционерного общества «Монди Сыктывкарский ЛПК»
(ИНН: 1121003135, ОГРН: 1021101121194)
о признании частично недействительным предписания Управления Федеральной службы по надзору в сфере связи, информационных технологий и массовых
коммуникаций по Республике Коми
и
установил:
акционерное общество «Монди Сыктывкарский ЛПК» (далее — Общество) обратилось в Арбитражный суд Республики Коми с заявлением о признании недействительными пунктов 1, 2, 5 и 7 предписания Управления Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Республике Коми (далее — Управление) от 31.05.2017 N П-11/3/89-нд/-/1/27.
Решением суда от 02.10.2017 производство по делу в части оспаривания пунктов 2 и 7 данного предписания прекращено в связи с отказом Общества от заявленных требований. В удовлетворении остальной части требования отказано.
Постановлением Второго арбитражного апелляционного суда от 26.01.2018 решение суда об отказе в удовлетворении требования о признании недействительными пунктов 1, 5 предписания отменено, заявление Общества удовлетворено. В остальной части решение суда оставлено без изменения.
Управление не согласилось с постановлением апелляционного суда и обратилось в Арбитражный суд Волго-Вятского округа с кассационной жалобой.
Заявитель жалобы, ссылаясь на неправильное применение судом Федерального закона от 27.07.2006 N 152-ФЗ «О персональных данных» (далее — Закон N 152-ФЗ), Федерального закона от 26.12.2008 N 294-ФЗ «О защите прав юридических лиц и индивидуальных предпринимателей при осуществлении государственного контроля (надзора) и муниципального контроля» (далее — Закон N 294-ФЗ), просит отменить постановление апелляционного суда. Управление, выявив в ходе проверки нарушение Обществом требований законодательства в области обработки персональных данных, правомерно выдало предписание, которое не содержит неясностей и является исполнимым. Подробно позиция заявителя изложена в кассационной жалобе.
Общество в отзыве отклонило доводы жалобы.
Управление и Общество заявили ходатайства о рассмотрении кассационной жалобы без участия представителей.
Законность обжалуемой части принятого Вторым арбитражным апелляционным судом постановления проверена Арбитражным судом Волго-Вятского округа в порядке, установленном в статьях 274, 284 и 286 Арбитражного процессуального кодекса Российской Федерации (далее — Кодекс).
Как следует из материалов дела, Управление с 10 по 31.05.2017 провело в отношении Общества плановую выездную проверку, в ходе которой, в числе прочего установило нарушение части 3 статьи 22 и части 5 статьи 18 Закона N 152-ФЗ.
Управление пришло к выводу, что в нарушение указанных норм Общество представило уведомление об обработке персональных данных, содержащее неполные и (или) недостоверные сведения; не обеспечило сбор персональных данных, в том числе посредством информационно-телекоммуникационной сети «Интернет» с использованием баз данных, находящихся на территории Российской Федерации. Результаты проверки отражены в акте от 31.05.2017 N А-11/3/89-нд/98.
По итогам проверки Обществу выдано предписание от 31.05.2017 N П-11/3/89-нд/-/1/27 об устранении выявленных нарушений.
В соответствии с пунктами 1 и 5 предписания Общество обязано представить информационное письмо о внесении изменений в сведения в реестре операторов, осуществляющих обработку персональных данных, а именно: цель обработки; категории субъектов персональных данных; категории персональных данных; трансграничная передача персональных данных; информационные системы персональных данных, а также обеспечить сбор персональных данных, в том числе посредством информационно-телекоммуникационной сети «Интернет», осуществляя запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся только на территории Российской Федерации.
Общество не согласилось с указанными пунктами предписания и обратилось в арбитражный суд с настоящим заявлением.
Руководствуясь статьями 3, 18 и 22 Закона N 152-ФЗ, Административным регламентом исполнения Федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций государственной функции по осуществлению государственного контроля (надзора) за соответствием обработки персональных данных требованиям законодательства Российской Федерации в области персональных данных, утвержденным приказом Министерства связи и массовых коммуникаций Российской Федерации от 14.11.2011 N 312 (далее — Административный регламент), суд первой инстанции пришел к выводу об отсутствии оснований для удовлетворения заявленного требования.
Суд апелляционной инстанции посчитал, что пункты 1 и 5 оспариваемого предписания не соответствуют законодательству, частично отменил решение суда и удовлетворил заявленное требование.
Рассмотрев кассационную жалобу, Арбитражный суд Волго-Вятского округа не нашел оснований для ее удовлетворения.
В силу части 1 статьи 198, части 4 статьи 200 Кодекса действия, решения органов, осуществляющих публичные полномочия, могут быть признаны незаконными, если они не соответствуют закону или иному нормативному правовому акту и нарушают права и законные интересы заявителя в сфере предпринимательской деятельности.
Бремя доказывания законности и обоснованности оспариваемого акта возлагается на орган, его принявший (часть 1 статьи 65, часть 5 статьи 200 Кодекса).
Управление является органом, осуществляющим функции по контролю и надзору за соответствием обработки персональных данных требованиям законодательства, вправе проводить проверки деятельности оператора на предмет соответствия требованиям законодательства в области персональных данных и выдавать по их результатам в случае выявления нарушений предписание об устранении выявленных нарушений (статья 23 Закона N 152-ФЗ, Административный регламент).
В соответствии с пунктом 76 Административного регламента по результатам проверки должностными лицами уполномоченного органа, проводившими проверку, составляется акт проверки, который оформляется непосредственно после ее завершения.
Согласно пункту 86 Административного регламента в случае выявления по результатам проверки нарушения требований законодательства в области персональных данных, оператору, вместе с актом, выдается предписание об устранении выявленных нарушений.
В предписании, в числе прочего, указываются содержание нарушения и основание выдачи предписания.
По смыслу действующего законодательства предписание органа, осуществляющего государственный надзор (контроль), об устранении нарушений законодательства должно быть законным и обоснованным, четким и понятным для исполнения.
Невыполнение в срок законного предписания органа, осуществляющего государственный надзор (контроль), является основанием для привлечения граждан и юридических лиц к административной ответственности.
Таким образом, предписание должно содержать только законные требования, то есть на юридическое лицо может быть возложена обязанность по устранению лишь тех нарушений, соблюдение которых обязательно для него в силу закона.
В предписании должны быть указаны конкретные причины и условия, законные и обоснованные меры для их устранения, при этом данные меры должны быть реальными и исполнимыми. При этом предписание должно содержать только законные требования, подлежащие выполнению для устранения допущенного нарушения законодательства.
В пункте 1 предписания Обществу указано на представление уведомления об обработке персональных данных, содержащее неполные (недостоверные сведения). В целях устранения нарушения части 3 статьи 22 Закона N 152-ФЗ Обществу предписано представить информационное письмо о внесении изменений в реестр операторов, осуществляющих обработку персональных данных, а именно: цель обработки; категории субъектов персональных данных; категории персональных данных; трансграничную передачу персональных данных; информационные системы персональных данных.
В соответствии с пунктом 1 статьи 22 Закона N 152-ФЗ оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных частью 2 данной статьи.
В силу пункта 3 статьи 22 Закона N 152-ФЗ уведомление должно содержать следующие сведения: наименование (фамилия, имя, отчество), адрес оператора; цель обработки персональных данных; категории персональных данных; категории субъектов, персональные данные которых обрабатываются; правовое основание обработки персональных данных; перечень действий с персональными данными, общее описание используемых оператором способов обработки персональных данных; описание мер, которые оператор обязуется осуществлять при обработке персональных данных, по обеспечению безопасности персональных данных при их обработке; дата начала обработки персональных данных и срок или условие прекращения обработки персональных данных.
Оценив материалы дела, суд апелляционной инстанции установил, что представленное Обществом уведомление об обработке персональных данных от 24.05.2017 содержит информацию по всем обозначенным в пункте 3 статьи 22 Закона N 152-ФЗ позициям. Надлежащих и допустимых доказательств, подтверждающих неполноту или недостоверность указанной информации, Управление не представило.
При таких обстоятельствах оспариваемый пункт предписания правомерно признан апелляционным судом недействительным.
Согласно пункту 5 предписания в соответствии с частью 5 статьи 18 Закона N 152-ФЗ при сборе персональных данных, в том числе посредством информационно-телекоммуникационной сети «Интернет», Общество обязано обеспечить сбор (запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение) персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации.
В силу части 5 статьи 18 Закона N 152-ФЗ при сборе персональных данных, в том числе посредством информационно-телекоммуникационной сети «Интернет», оператор обязан обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации, за исключением случаев, указанных в пунктах 2, 3, 4, 8 части 1 статьи 6 данного закона.
Из приведенной нормы следует, что по общему правилу оператор обязан накапливать и обрабатывать персональные данные только с использованием баз данных, находящихся на территории Российской Федерации. Исключения из общего правила перечислены в пунктах 2, 3, 4 и 8 части 1 статьи 6 Закона N 152-ФЗ.
Управление, выдав предписание (пункт 5), исходило из того, что Общество нарушило часть 5 статьи 18 Закона N 152-ФЗ в связи с использованием при сборе и обработке персональных данных зарубежного сайта, находящегося в Австрии.
Вопреки требованиям статьи 65 Кодекса доказательств, подтверждающих, что Общество осуществляло сбор персональных данных с зарубежного сайта, владельцем которого является иностранное юридическое лицо, в дело не представлено.
В отсутствие таких доказательств, как верно указал апелляционный суд, нельзя признать установленным факт нарушения Обществом требований части 5 статьи 18 Закона N 152-ФЗ.
С учетом изложенного апелляционный суд правомерно признал пункт 5 предписания незаконным, необоснованным, неопределенным и неисполнимым.
Выводы суда апелляционной инстанции соответствуют фактическим обстоятельствам, установленным по делу, и имеющимся в деле доказательствам. Доводы, приведенные в кассационной жалобе, выводы суда не опровергают.
Второй арбитражный апелляционный суд правильно применил нормы материального права и не допустил нарушений норм процессуального права, являющихся в любом случае основаниями для отмены принятого судебного акта в силу части 4 статьи 288 Кодекса.
Руководствуясь пунктом 1 части 1 статьи 287 и статьей 289 Арбитражного процессуального кодекса Российской Федерации, Арбитражный суд Волго-Вятского округа
постановил:
постановление Второго арбитражного апелляционного суда от 26.01.2018 по делу N А29-8062/2017 оставить без изменения, кассационную жалобу Управления Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Республике Коми — без удовлетворения.
Постановление арбитражного суда кассационной инстанции вступает в законную силу со дня его принятия.
Председательствующий
Н.Ю.БАШЕВА
Судьи
О.В.АЛЕКСАНДРОВА
И.Л.ЗАБУРДАЕВА
——————————————————————
