ЧЕТВЕРТЫЙ АРБИТРАЖНЫЙ АПЕЛЛЯЦИОННЫЙ СУД
ПОСТАНОВЛЕНИЕ
от 7 февраля 2018 г. по делу N А19-17054/2017
Резолютивная часть постановления объявлена 6 февраля 2018 года.
Постановление в полном объеме изготовлено 7 февраля 2018 года.
Четвертый арбитражный апелляционный суд в составе:
председательствующего судьи Басаева Д.В.,
судей: Желтоухова Е.В., Каминского В.Л.,
при ведении протокола судебного заседания секретарем судебного заседания Козинцевой М.А.,
при участии в судебном заседании представителей управления Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Иркутской области Савченко А.Л. (доверенность от 15.09.2017), Акулова И.К. (доверенность от 20.12.2017), Лаврова А.Г. (доверенность от 07.06.2017), общества с ограниченной ответственностью «Маяк» Кузьминой Н.А. (доверенность от 25.08.2017),
рассмотрев в открытом судебном заседании с использованием систем видеоконференц-связи при содействии Арбитражного суда Иркутской области апелляционную жалобу управления Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Иркутской области на решение Арбитражного суда Иркутской области от 21 ноября 2017 года по делу N А19-17054/2017 (суд первой инстанции — Назарьева Л.В.),
установил:
Общество с ограниченной ответственностью «Маяк» (ОГРН 1083811008160, ИНН 3811125221, далее — заявитель, ООО «Маяк», общество) обратилось в Арбитражный суд Иркутской области с заявлением о признании незаконным предписания от 28.07.2017 N П-38/5/115-нд/-/1/31 вынесенного Управлением Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Иркутской области (ОГРН 1043801026500, ИНН 3808108956, далее — административный орган, управление Роскомнадзора).
Решением Арбитражного суда Иркутской области от 21 ноября 2017 года по делу N А19-17054/2017 заявленные требования удовлетворены.
Предписание Управления Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Иркутской области об устранении выявленных нарушений от 28.07.2017 года N П-38/5/115-нд/-/1/31 признано недействительным, как несоответствующее Федеральному закону от 27.07.2006 года N 152-ФЗ «О персональных данных».
Управление обратилось с апелляционной жалобой, в которой просит отменить обжалуемый судебный акт в полном объеме по мотивам, изложенным в жалобе.
Общество в отзыве с доводами апелляционной жалобы не согласилось.
Информация о времени и месте судебного заседания по апелляционной жалобе размещена на официальном сайте апелляционного суда в сети «Интернет 13.01.2018. Таким образом, о месте и времени судебного заседания лица, участвующие в деле, извещены надлежащим образом в порядке, предусмотренном главой 12 АПК РФ.
Дело рассматривается в порядке, предусмотренном главой 34 АПК РФ.
Изучив материалы дела, доводы апелляционной жалобы, отзыв на жалобу, проверив соблюдение судом первой инстанции норм материального и процессуального права, заслушав доводы сторон, суд апелляционной инстанции приходит к следующим выводам.
Как следует из материалов дела, управлением Роскомнадзора по Иркутской области на основании приказа от 20.06.2017 года N 115-нд (т. 1 л.д. 135-139), от 14.07.2017 года N 143-нд (т. 1 л.д. 140) в период с 03.07.2017 года по 28.07.2017 года проведена плановая проверка в отношении ООО «Маяк» по вопросам соблюдения обществом обязательных требований законодательства в области персональных данных.
В ходе проверки выявлен факт непредставления ООО «Маяк» уведомления по обработке персональных данных при осуществлении деятельности по обработке персональных данных, не попадающих под исключения предусмотренные частью 2 статьи 22 Федерального закона от 27.07.2006 г. N 152-ФЗ «О персональных данных».
Данное нарушение зафиксировано в акте проверки от 28.07.2017 года N А-38/5/115-нд/125 (т. 2 л.д. 1-4).
По результатам проверки Управлением Роскомнадзора по Иркутской области заявителю выдано предписание 28.07.2017 года N П-38/5/115-нд/-/1/31 (т. 1 л.д. 12-14), согласно которому обществу предписано в срок до 22.08.2017 года устранить выявленное нарушение.
Заявитель полагая, что предписание нарушает его права и законные интересы, обратился в арбитражный суд с заявлением.
Суд первой инстанции, оценив доводы и возражения сторон, а также доказательства, представленные сторонами в обоснование своих требований и возражений, в соответствии со статьей 71 Арбитражного процессуального кодекса Российской Федерации на предмет их относимости, допустимости, достоверности в отдельности, а также достаточности и взаимной связи в их совокупности, на основе правильного установления фактических обстоятельств по делу, верного применения норм материального и процессуального права сделал обоснованный вывод о наличии оснований для удовлетворения заявленных требований.
Согласно части 1 статьи 198, части 4 статьи 200, частям 2 и 3 статьи 201 Арбитражного процессуального кодекса Российской Федерации для признания недействительными ненормативных правовых актов, незаконными решений и действий (бездействия) органов, осуществляющих публичные полномочия, должностных лиц, необходимо наличие в совокупности двух условий: несоответствие оспариваемых ненормативного правового акта, решений и действий (бездействия) закону или иному нормативному правовому акту и нарушение прав и законных интересов заявителя в сфере предпринимательской и иной экономической деятельности.
В силу части 1 статьи 65, части 5 статьи 200 АПК РФ обязанность доказывания соответствия оспариваемого ненормативного правового акта закону или иному нормативному правовому акту, законности принятия оспариваемого решения, совершения оспариваемых действий (бездействия), наличия у органа или лица надлежащих полномочий на принятие оспариваемого акта, решения, совершение оспариваемых действий (бездействия), а также обстоятельств, послуживших основанием для принятия оспариваемого акта, решения, совершения оспариваемых действий (бездействия), возлагается на орган или лицо, которые приняли акт, решение или совершили действия (бездействие).
Отношения, связанные с обработкой персональных данных, осуществляемой в том числе юридическими лицами, с использованием средств автоматизации или без использования таких средств регулируются Федеральным законом от 27.07.2006 г. N 152-ФЗ «О персональных данных» (далее — Закон о персональных данных).
В силу пункта 2 статьи 3 Закон о персональных данных ООО «Маяк» является оператором, то есть юридическим лицом, организующим и (или) осуществляющим обработку персональных данных, а также определяющим цели и содержание обработки персональных данных.
Персональными данным в силу пункта 1 названной статьи является любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).
В соответствии с частью 1 статьи 22 Закона о персональных данных оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных частью 2 данной статьи.
Согласно части 2 статьи 22 Закона о персональных данных оператор вправе осуществлять без уведомления уполномоченного органа по защите прав субъектов персональных данных обработку персональных данных:
1) обрабатываемых в соответствии с трудовым законодательством;
2) полученных оператором в связи с заключением договора, стороной которого является субъект персональных данных, если персональные данные не распространяются, а также не предоставляются третьим лицам без согласия субъекта персональных данных и используются оператором исключительно для исполнения указанного договора и заключения договоров с субъектом персональных данных;
3) относящихся к членам (участникам) общественного объединения или религиозной организации и обрабатываемых соответствующими общественным объединением или религиозной организацией, действующими в соответствии с законодательством Российской Федерации, для достижения законных целей, предусмотренных их учредительными документами, при условии, что персональные данные не будут распространяться или раскрываться третьим лицам без согласия в письменной форме субъектов персональных данных;
4) сделанных субъектом персональных данных общедоступными;
5) включающих в себя только фамилии, имена и отчества субъектов персональных данных;
6) необходимых в целях однократного пропуска субъекта персональных данных на территорию, на которой находится оператор, или в иных аналогичных целях;
7) включенных в информационные системы персональных данных, имеющие в соответствии с федеральными законами статус государственных автоматизированных информационных систем, а также в государственные информационные системы персональных данных, созданные в целях защиты безопасности государства и общественного порядка;
8) обрабатываемых без использования средств автоматизации в соответствии с федеральными законами или иными нормативными правовыми актами Российской Федерации, устанавливающими требования к обеспечению безопасности персональных данных при их обработке и к соблюдению прав субъектов персональных данных;
9) обрабатываемых в случаях, предусмотренных законодательством Российской Федерации о транспортной безопасности, в целях обеспечения устойчивого и безопасного функционирования транспортного комплекса, защиты интересов личности, общества и государства в сфере транспортного комплекса от актов незаконного вмешательства.
Как следует из материалов дела, в ходе проведения плановой проверки в отношении Общества Роскомнадзором установлено, что ООО «Маяк» в целях кадрового и бухгалтерского обеспечения, производит обработку персональных данных как не автоматизированным способом (включающим в себя хранение трудовых книжек, личных дел на работников, хранение договоров заключенных с физическими лицами), так и с использованием средств автоматизации:
1) используется система 1С «Зарплата и управление персоналом 8»;
2) в рамках предоставления услуги по дистанционной продаже сведений о физических лицах, обрабатываются в информационной системе 1С «Предприятия (Магазины)»;
3) используется система БСУВ «Биометрическая система учета времени».
По мнению контролирующего органа, вышеуказанная деятельность по обработке персональных данных хотя и проводится в рамках трудового законодательства, однако она проводится с использованием информационных систем, поэтому не подпадает под исключения предусмотренные частью 2 статьи 22 Закона о персональных данных.
Вместе с тем, обработка персональных данных работников не требует согласия данных лиц и уведомления контролирующего органа, если персональные данные обрабатываются в целях предусмотренных трудовым законодательством, коллективным договором, а также локальными актами работодателя.
Абзацем 17 статьи 22 Трудового кодекса Российской Федерации закреплена обязанность работодателя выплачивать в полном размере причитающуюся работникам заработную плату в сроки, установленные в соответствии с настоящим Кодексом, коллективным договором, правилами внутреннего трудового распорядка, трудовыми договорами.
В соответствии со статьей 91 Трудового кодекса Российской Федерации работодатель обязан вести учет времени, фактически отработанного каждым работником.
Таким образом, системы 1С «Зарплата и управление персоналом 8» и БСУВ «Биометрическая система учета времени» используются ООО «Маяк» в рамках трудовых договоров заключенных с физическими лицами (работниками), что в свою очередь подпадает под исключение предусмотренное пунктом 1 части 2 статьи 22 Закона о персональных данных, то есть обработка персональных данных осуществляется в соответствии с трудовым законодательством.
Также Роскомнадзор указывает на обработку Обществом персональных данных, связанную с осуществлением работы по подбору персонала посредством размещения информации о вакансиях на специализированных сайтах в сети Интернет. Резюме в электронном виде хранятся на рабочих компьютерах в отделе подбора персонала.
Роскомнадзор полагает, что работа по подбору персонала не регулируется трудовым законодательством, в связи с чем, обработка персональных данных связанная с осуществлением работы по подбору персонала не подпадает под исключения предусмотренные частью 2 статьи 22 Закона о персональных данных.
В соответствии со статьей 5 Трудового кодекса Российской Федерации регулирование трудовых отношений и иных непосредственно связанных с ними отношений в соответствии с Конституцией Российской Федерации, федеральными конституционными законами осуществляется: трудовым законодательством (включая законодательство об охране труда), состоящим из настоящего Кодекса, иных федеральных законов и законов субъектов Российской Федерации, иных нормативных правовых актов, содержащих нормы трудового права.
Следовательно, трудовые отношения регулируются не только Трудовым кодексом Российской Федерации, но и иными нормативными актами.
Действительно Трудовой кодекс Российской Федерации не регулирует правоотношения между кандидатом и будущим работником, вместе с тем указанные правоотношения регулируются Федеральным законом от 19.04.1991 г. N 1032-1 «О занятости населения в Российской Федерации».
Довод контролирующего органа о том, что Федеральный закон от 19.04.1991 г. N 1032-1 «О занятости населения в Российской Федерации» подлежит применению только специализированными организациями, правильно не принят судом во внимание, как не нашедший своего правового обоснования.
Так, в соответствии с частью 1 статьи 25 Федерального закона от 19.04.1991 г. N 1032-1 «О занятости населения в Российской Федерации» работодатели содействуют проведению государственной политики занятости населения на основе, в том числе оказания помощи в трудоустройстве, соблюдения установленной квоты для трудоустройства инвалидов, трудоустройства определяемого органами исполнительной власти субъектов Российской Федерации и органами местного самоуправления числа граждан, особо нуждающихся в социальной защите, или резервирования отдельных видов работ (профессий) для трудоустройства таких граждан, а также привлечения трудовых ресурсов в субъекты Российской Федерации, включенные в перечень субъектов Российской Федерации, утвержденный Правительством Российской Федерации.
Частью 3.1. указанной нормы права также предусмотрено, что работодатели обеспечивают полноту, достоверность и актуальность информации о потребности в работниках и об условиях их привлечения, о наличии свободных рабочих мест и вакантных должностей, размещаемой в информационно-аналитической системе Общероссийская база вакансий «Работа в России» в порядке, установленном Правительством Российской Федерации.
Кроме того, частью 1 статьи 26 Федерального закона от 19.04.1991 г. N 1032-1 «О занятости населения в Российской Федерации» предусмотрено, что работодатель имеет право принимать на работу граждан, непосредственно обратившихся к нему, на равных основаниях с гражданами, имеющими направление органов службы занятости.
Таким образом, работодатель вправе осуществлять обработку персональных данных кандидатов на вакантные должности на законных основаниях, сохранять их резюме, формируя как бумажную, так и электронную базу соискателей «кадровый резерв», при наличии письменного согласия кандидатов на обработку персональных данных.
Нарушений в части отсутствия согласия кандидатов на обработку персональных данных в ходе проверки не установлено. В случае отказа в приеме на работу предоставленные кандидатом документы уничтожаются.
При этом судом учтено, что на специализированных сайтах в сети Интернет ООО «Маяк» размещается информация о вакансиях, персональные данные соискателей на вакантные должности в сети Интернет Обществом не размещаются.
Таким образом, следует признать, что обработка персональных данных связанная с осуществлением работы по подбору персонала ведется в рамках трудового законодательства.
Также из материалов дела следует, что при оформлении заказа на сайте интернет — магазина клиентом указываются персональные данные, необходимые для доставки заказа. Под каждой формой, где клиент указывает свои персональные данные, указывается согласие посетителя сайта на обработку персональных данных.
Обработка информации по заказам осуществляется в программе 1С «Предприятия (Магазины)».
Указываемые клиентом данные используются непосредственно для заключения договора и оказания услуг конкретному лицу, оформившему заявку, хранение, распространение персональных данных либо передача их третьим лицам проверкой не установлено.
Роскомнадзор полагает, что хотя обработка персональных данных в отношении физических лиц посредством дистанционной продажи подпадает под исключение предусмотренное пунктом 2 части 2 статьи 22 Закона о персональных данных, однако с учетом того, что используются средства автоматизации 1С «Предприятия (Магазины)» осуществлять обработку персональных данных без подачи соответствующего уведомления запрещено.
Указанный довод Роскомнадзор обоснованно не принят судом первой инстанции, поскольку частью 2 статьи 22 Закона о персональных данных прямо предусмотрен перечень из 9 случаев, когда оператор освобождается от обязанности представлять в уполномоченный орган уведомление об обработке персональных данных.
Одним из таких случаев является обработка персональных данных полученных оператором в связи с заключением договора, стороной которого является субъект персональных данных, если персональные данные не распространяются, а также не предоставляются третьим лицам без согласия субъекта персональных данных и используются оператором исключительно для исполнения указанного договора и заключения договора с субъектом персональных данных (пункт 2 части 2 статьи 22 Закона о персональных данных).
Таким образом, для обработки персональных данных, полученных оператором в связи с заключением договора, вне зависимости от того, каким способом она осуществляется — без использования средств автоматизации или с использованием информационных систем в силу пункта 1 части 2 статьи 22 Закона о персональных данных не требуется уведомления уполномоченного органа.
При таких обстоятельствах следует признать обоснованной позицию суда первой инстанции о том, что контролирующим органом не представлено доказательств, свидетельствующих о нарушении ООО «Маяк» требований предусмотренных частью 1 статьи 22 Закона о персональных данных, указанных в рассматриваемом предписании.
Пленум Верховного Суда РФ в пункте 61 Постановления от 27.09.2016 N 36 «О некоторых вопросах применения судами Кодекса административного судопроизводства Российской Федерации» разъяснил, что исходя из статьи 178, части 8 статьи 226 КАС РФ при рассмотрении административного дела об оспаривании решений, действий (бездействия) органов государственной власти, органов местного самоуправления, иных органов, организаций, наделенных отдельными государственными или иными публичными полномочиями, должностных лиц, государственных и муниципальных служащих суд не связан основаниями и доводами, содержащимися в административном исковом заявлении.
При этом суд не вправе признать обоснованным оспариваемое решение, действие, бездействие со ссылкой на обстоятельства, не являвшиеся предметом рассмотрения соответствующего органа, организации, лица, изменяя таким образом основания принятого решения, совершенного действия, имевшего место бездействия.
Например, при недоказанности обстоятельств, указанных в оспариваемом решении органа государственной власти и послуживших основанием для его принятия, суд не вправе отказать в признании такого решения незаконным, ссылаясь на наличие установленных им иных оснований (обстоятельств) для принятия подобного решения.
Указанные разъяснения применимы по аналогии и в арбитражном процессе.
Таким образом, доводы о других нарушениях, выявленных в ходе проверки, судом правомерно не рассматривались, поскольку предметом судебного разбирательства является предписание и круг нарушений, которые явились основанием для его принятия.
В соответствии с пунктом 6.1 Административного регламента исполнения Федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций государственной функции по осуществлению государственного контроля (надзора) за соответствием обработки персональных данных требованиям законодательства Российской Федерации в области персональных данных утв. Приказом Минкомсвязи России от 14.11.2011 г. N 312 (далее — Административный регламент) должностные лица Роскомнадзора или его территориального органа при проведении проверок вправе в пределах своей компетенции выдавать обязательные для выполнения предписания об устранении выявленных нарушений в области персональных данных.
Контролирующий орган указывает, что Административный регламент не содержит требований относительно содержания предписания в части указания способа устранения нарушений.
Поскольку предписание выносится в случае выявления контролирующим органом по результатам проведения соответствующей проверки нарушений законодательства и в целях их устранения, постольку важным требованием к данному виду ненормативного акта и одним из элементов его законности является исполнимость предписания, так как предписание исходит от государственного органа, обладающего властными полномочиями, носит обязательный характер и для его исполнения устанавливается определенный срок, за нарушение которого наступает административная ответственность (статья 19.5 Кодекса Российской Федерации об административных правонарушениях). Таким образом, предписание порождает определенные правовые последствия для конкретных граждан, индивидуальных предпринимателей и организаций, которым оно адресовано.
Суд, оценивая оспариваемый ненормативный правовой акт или его отдельные положения и устанавливая соответствие изложенных в предписании требований закону или иному нормативному правовому акту, не может исходить иначе как из буквального смысла использованных контролирующим органом формулировок.
Предписание должностного лица, содержащее законные требования, должно содержать четкие формулировки относительно конкретных действий, которые необходимо совершить исполнителю и которые должны быть направлены на прекращение и устранение выявленного нарушения.
Неконкретность предписания, исключает правильность уяснения субъектом, которому было адресовано властное требование, конкретного способа его исполнения.
Суд первой инстанции сделал вывод о неопределенности оспариваемого предписания, что также является основанием для признания его недействительным.
Вместе с тем, такой вывод суда первой инстанции никак не обоснован.
По мнению суда апелляционной инстанции, из оспариваемого предписания с учетом выявленных нарушений не усматривается каких-либо сложностей в уяснении его содержания и принятия способа устранения таких нарушений.
Тем не менее, указанный вывод суда не повлек принятия неправильного решения.
При таких установленных обстоятельствах суд апелляционной инстанции не находит оснований для удовлетворения апелляционной жалобы, доводы которой проверены в полном объеме, но правильных выводов суда первой инстанции не опровергают и не могут быть учтены как не влияющие на законность принятого по делу судебного акта.
Нарушений норм процессуального права, являющихся в силу части 4 статьи 270 Арбитражного процессуального кодекса Российской Федерации безусловным основанием для отмены обжалуемого судебного акта, судом апелляционной инстанции не установлено.
Четвертый арбитражный апелляционный суд, руководствуясь статьями 268 — 271 Арбитражного процессуального кодекса Российской Федерации,
постановил:
Решение Арбитражного суда Иркутской области от 21 ноября 2017 года по делу N А19-17054/2017 оставить без изменения, а апелляционную жалобу — без удовлетворения.
Постановление вступает в законную силу с момента его принятия и может быть обжаловано в Арбитражный суд Восточно-Сибирского округа через арбитражный суд первой инстанции в срок, не превышающий двух месяцев с даты принятия.
Председательствующий
Д.В.БАСАЕВ
Судьи
Е.В.ЖЕЛТОУХОВ
В.Л.КАМИНСКИЙ
——————————————————————
