Гражданский кодекс часть 1

Четвертый арбитражный апелляционный суд в составе председательствующего судьи Е.В. Желтоухова, судей Д.Н. Рылова, Э.П. Доржиева, при ведении протокола секретарем судебного заседания Будаевой Е.А., рассмотрел в открытом судебном заседании апелляционную жалобу Акционерного коммерческого банка «Радиан» (открытое акционерное общество), на решение арбитражного суда Иркутской области от 09 февраля 2010 года по делу №А19-25289/2009, по заявлению Акционерного коммерческого банка «Радиан» (открытое акционерное общество) к Управлению Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Иркутской области о признании недействительными акта от 30 сентября 2009 года № 38-0266 в части и предписания от 30 сентября 2009 года № 38-10/056, принятое судьей Назарьевой Л.В.,

при участии:

от заявителя: ФИО1, представителя по доверенности от 28.12.2009г., ФИО2, представителя по доверенности от 28.12.2009г;

от заинтересованного лица: не было;

и установил:

Заявитель, Акционерный коммерческий банк «Радиан» (открытое акционерное общество), обратился с заявлением к Управлению Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Иркутской области о признании недействительными:

- акта проверки органом государственного контроля (надзора) юридического лица от 30 сентября 2009 года № 38-0266 в части несоблюдения оператором требований по уведомлению уполномоченного органа по защите прав субъектов персональных данных (Управления Роскомнадзора по Иркутской области) об изменениях сведений, указанных в уведомлении об обработке персональных данных (пункт 7.1);

- предписания об устранении выявленного нарушения от 30 сентября 2009 года № 38-10/056.

Решением суда первой инстанции от 09 февраля 2010 года заявителю отказано в удовлетворении заявленных требований о признании недействительным предписания Управления Федеральной службы по надзору в сфере связи и массовых коммуникаций по Иркутской области об устранении выявленного нарушения от 30 сентября 2009 года № 38-10/056.

Производство по делу в части признания недействительным акта проверки органом государственного контроля (надзора) юридического лица от 30 сентября 2009 года № 38-0266 в части несоблюдения оператором требований по уведомлению уполномоченного органа по защите прав субъектов персональных данных (Управления Роскомнадзора по Иркутской области) об изменениях сведений, указанных в уведомлении об обработке персональных данных (пункт 7.1), прекращено.

Принимая указанное решение, суд первой инстанции исходил из следующего.

Из материалов дела усматривается, что требование о признании недействительным акта проверки от 30 сентября 2009 года № 38-0266 (в части пункта 7.1) заявлено в порядке статьи 198 Арбитражного процессуального кодекса РФ.

Согласно части 1 статьи 198 Арбитражного процессуального кодекса РФ граждане, организации и иные лица вправе обратиться в арбитражный суд с заявлением о признании недействительными ненормативных правовых актов, незаконными решений и действий (бездействия) государственных органов, органов местного самоуправления, иных органов, должностных лиц, если полагают, что оспариваемый ненормативный правовой акт, решение и действие (бездействие) не соответствуют закону или иному нормативному правовому акту и нарушают их права и законные интересы в сфере предпринимательской и иной экономической деятельности, незаконно возлагают на них какие-либо обязанности, создают иные препятствия для осуществления предпринимательской и иной экономической деятельности.

При этом ненормативным правовым актом, подлежащим обжалованию в арбитражный суд, понимается документ, содержащий обязательные предписания, распоряжения, влекущие юридические последствия и нарушающие гражданские права и охраняемые законом интересы заявителя.

Оспариваемый заявителем акт проверки не обладает указанными признаками ненормативного правового акта, поскольку не содержит властно-распорядительных предписаний, влекущих для заявителя юридические последствия, не устанавливает, не изменяет и не отменяет никакие права и обязанности общества, не определяет меру ответственности, носит информационный характер, поскольку содержит лишь выявленные Управлением Роскомнадзора по Иркутской области нарушения. Кроме того, данный документ не является окончательным по результатам проверки, поэтому не может быть самостоятельным предметом спора в арбитражном суде.

При изложенных обстоятельствах оспариваемый акт проверки (в части пункта 7.1) не является ненормативным правовым актом, который может быть оспорен в судебном порядке.

В соответствии с пунктом 1 части 1 статьи 150 Арбитражного процессуального кодекса РФ арбитражный суд прекращает производство по делу, если установит, что дело не подлежит рассмотрению в арбитражном суде.

При таких обстоятельствах производство по делу в части требований заявителя о признании недействительным акта проверки органом государственного контроля (надзора) юридического лица от 30 сентября 2009 года № 38-0266 (в части пункта 7.1) следует прекратить.

Материалами дела подтверждается, что АКБ «Радиан» (ОАО) для осуществления банковской деятельности и кадрового учета использует средства вычислительной техники, информационно-вычислительные комплексы и сети, средства и системы передачи, приема и обработки персональных данных, средства изготовления документов, программные средства (операционные системы, системы управления базами данных), средства защиты информации, применяемые в информационных системах.

Следовательно, операции с персональными данными общество осуществляет частично с помощью средств автоматизации, путем реализации информационных технологий, а именно: сбор, накопление, хранение, уточнение, использование, уничтожение и распространение персональных данных.

Учитывая изложенное, суд приходит к выводу о том, что АКБ «Радиан» (ОАО) осуществляет обработку персональных данных так же автоматизированным способом, следовательно, доводы Управления Роскомнадзора по Иркутской области об осуществлении обществом обработки персональных данных клиентов и работников оператора путем смешанной обработки персональных данных являются правомерными, что свидетельствует о несоблюдении оператором требований по уведомлению уполномоченного органа по защите прав субъектов персональных данных об изменениях сведений, указанных в уведомлении об обработке персональных данных, то есть части 7 статьи 22 Федерального закона от 27 июля 2006 года № 152-ФЗ «О персональных данных».

Заявитель, не согласившись с выводами суда первой инстанции, заявил апелляционную жалобу, в которой просит решение отменить в полном объеме, требования удовлетворить.

Представитель банка в судебном заседании поддержал доводы апелляционной жалобы пояснив следующее.

При вынесении решение арбитражным судом был нарушен принцип законности, состоящий в том, что судом были неправильно применены нормы материального права.

В абзаце 3 на странице 7 суд пришел к выводу о том, что: «Под автоматизированной обработкой персональных данных следует понимать действия, операции с персональными данными включая сбор, систематизацию, накопление, хранение, уточнение (обновление, изменение), использование, распространение (в том числе передачу), обезличивание, блокирование, уничтожение персональных данных, с использованием полностью или частично средств автоматизации, включающих в себя технические средства, позволяющие осуществлять функцию обработки персональных данных (средства вычислительной техники, информационно вычислительные комплексы и сети, средства и системы передачи, приема и обработки персональных данных (средства и системы звукозаписи, звукоусиления, звуковоспроизведения, переговорные и телевизионные устройства, средства изготовления, тиражирования документов и другие технические средства обработки речевой, графической, видео- и буквенно-цифровой информации), программные средства (операционные системы, системы управления базами данных и т.п.), средства защиты информации, применяемые в информационных системах).

Не представляется возможным, по мнению заявителя, согласиться с той частью приведенного определения «автоматизированной обработки», которой судом к средствам автоматизации относит любые:

технические средства, позволяющие осуществлять функцию обработки персональных данных (средства вычислительной техники, информационно вычислительные комплексы и сети, средства и системы передачи, приема и обработки персональных данных (средства и системы звукозаписи, звукоусиления, звуковоспроизведения, переговорные и телевизионные устройства, средства изготовления, тиражирования документов и другие технические средства обработки речевой, графической, видео- и буквенно-цифровой информации),

программные средства (операционные системы, системы управления базами данных и т.п.), средства защиты информации, применяемые в информационных системах.

Неправильное применение судом норм материального права привело к несоответствию выводов, изложенных в решении, обстоятельствам дела.

Судом на основании пункта 1 части 1 статьи 150 Арбитражного процессуального кодекса Российской Федерации прекращено производство по делу в части признания недействительным акта проверки органом государственного контроля (надзора) юридического лица от 30 сентября 2009 года №38-0266 в части неуведомления уполномоченного органа об общих описаниях используемых оператором способов обработки персональных данных.

Указанное решение принято судом на основании того факта, что в ходе разбирательства по делу суд пришел к выводу о том, что обжалуемый Акт проверки не обладает признаками ненормативного правового акта.

С указанным выводом суда Заявитель не может согласиться по следующим причинам.

В соответствии с пунктом 1 статьи 13 Гражданского Кодекса Российской Федерации: «Ненормативный акт государственного органа или органа местного самоуправления, а в случаях, предусмотренных законом, также нормативный акт, не соответствующие закону или иным правовым актам и нарушающие гражданские права и охраняемые законом интересы гражданина или юридического лица, могут быть признаны судом недействительными».

Судом также сделан вывод о том, что Акт не отвечает признакам ненормативного правового акта на основании того, что Акт не является окончательным документом по результатам проверки.

С указанной позицией не представляется возможным согласиться по причине того, что в соответствии со статьей 16 Федерального Закона «О защите прав юридических лиц и индивидуальных предпринимателей при осуществлении государственного контроля (надзора) и муниципального контроля» от 26.12.2008 N 294-ФЗ по результатом проверки составляется Акт, который содержит, в том числе, сведения о результатах проверки, в том числе, о выявленных нарушениях обязательных требований и требований, установленных муниципальными правовыми актами, об их характере и о лицах, допустивших указанные нарушения.

Представитель Управления в судебное заседание не явился, о месте и времени судебного заседания извещен надлежащим образом, уведомление №24681000.

Представленным ходатайством, Управление просило рассмотреть дело в отсутствие его представителя.

Из представленного отзыва следует, что Управление с апелляционной жалобой не согласно и просит в её удовлетворении отказать.

О месте и времени судебного заседания стороны извещены надлежащим образом в порядке ст.ст. 122, 123 АПК РФ.

Согласно п. 2 ст. 200 АПК РФ неявка лиц, участвующих в деле, надлежащим образом извещенных о месте и времени судебного заседания, не является препятствием для рассмотрения дела по существу.

Четвертый арбитражный апелляционный суд, рассмотрев дело в порядке главы 34 Арбитражного процессуального кодекса Российской Федерации, проверив обоснованность доводов, изложенных в апелляционной жалобе и возражениях на нее, изучив материалы дела, проверив правильность применения судом первой инстанции норм материального и процессуального права, заслушав мнение сторон, пришел к следующим выводам.

Суд апелляционной инстанции считает, что суд первой инстанции правильно установил фактические обстоятельства дела и дал им надлежащую правовую квалификацию, в связи с чем, у суда нет оснований к удовлетворению апелляционной жалобы. Выводы суда первой инстанции являются верными и соответствуют обстоятельствам дела.

В соответствии с пунктом 2 статьи 29 Арбитражного процессуального кодекса РФ арбитражные суды рассматривают в порядке административного судопроизводства возникающие из административных и иных публичных правоотношений экономические споры и иные дела, связанные с осуществлением организациями и гражданами предпринимательской и иной экономической деятельности, об оспаривании ненормативных правовых актов органов государственной власти Российской Федерации, органов государственной власти субъектов Российской Федерации, органов местного самоуправления, решений и действий (бездействия) государственных органов, органов местного самоуправления, иных органов и должностных лиц, затрагивающих права и законные интересы заявителя в сфере предпринимательской и иной экономической деятельности.

Из материалов дела, как правильно указано судом первой инстанции, усматривается, что требование о признании недействительным акта проверки от 30 сентября 2009 года № 38-0266 (в части пункта 7.1) заявлено в порядке статьи 198 Арбитражного процессуального кодекса РФ.

Суд первой инстанции правомерно указал, что под ненормативным правовым актом, подлежащим обжалованию в арбитражный суд, понимается документ, содержащий обязательные предписания, распоряжения, влекущие юридические последствия и нарушающие гражданские права и охраняемые законом интересы заявителя, в то время, как оспариваемый заявителем акт проверки не обладает указанными признаками ненормативного правового акта, поскольку не содержит властно-распорядительных предписаний, влекущих для заявителя юридические последствия, не устанавливает, не изменяет и не отменяет никакие права и обязанности общества, не определяет меру ответственности, носит информационный характер, поскольку содержит лишь выявленные Управлением Роскомнадзора по Иркутской области нарушения.

Кроме того, данный документ не является окончательным по результатам проверки, поэтому не может быть самостоятельным предметом спора в арбитражном суде. Ссылка заявителя в апелляционной жалобе на то, что Федеральный Закон «О защите прав юридических лиц и индивидуальных предпринимателей при осуществлении государственного контроля (надзора) и муниципального контроля» от 26.12.2008 N 294-ФЗ предусматривает по результатом проверки составлять только Акт, который содержит, сведения о выявленных нарушениях обязательных требований и требований, установленных муниципальными правовыми актами, об их характере и о лицах, допустивших указанные нарушения, не имеет правового значения, поскольку как указывает ст. 17 названного закона, на основании актов проверки, уполномоченные органы праве принимать соответствующие меры к нарушителям, и в частности выдавать предписания юридическому лицу, индивидуальному предпринимателю об устранении выявленных нарушений с указанием сроков их устранения; принимать меры по контролю за устранением выявленных нарушений, их предупреждению, предотвращению возможного причинения вреда жизни, здоровью граждан, вреда животным, растениям, окружающей среде, обеспечению безопасности государства, предупреждению возникновения чрезвычайных ситуаций природного и техногенного характера, а также меры по привлечению лиц, допустивших выявленные нарушения, к ответственности.

Таким образом, акты проверок, являются основанием для уполномоченных органов, в лице соответствующих должностных лиц основанием для принятия мер воздействия. При этом сами по себе акты проверок не нарушают права и законные интересы субъектов проверок.

В связи с указанным, по мнению суда апелляционной инстанции, суд первой инстанции правомерно в указанной части прекратил производство по делу.

Согласно ст. 22 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных" оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи.

Уведомление, предусмотренное частью 1 настоящей статьи, должно быть направлено в письменной форме и подписано уполномоченным лицом или направлено в электронной форме и подписано электронной цифровой подписью в соответствии с законодательством Российской Федерации. Уведомление должно содержать следующие сведения:

1) наименование (фамилия, имя, отчество), адрес оператора;

2) цель обработки персональных данных;

3) категории персональных данных;

4) категории субъектов, персональные данные которых обрабатываются;

5) правовое основание обработки персональных данных;

6) перечень действий с персональными данными, общее описание используемых оператором способов обработки персональных данных;

7) описание мер, которые оператор обязуется осуществлять при обработке персональных данных, по обеспечению безопасности персональных данных при их обработке;

8) дата начала обработки персональных данных;

9) срок или условие прекращения обработки персональных данных.

В случае изменения сведений, указанных в части 3 настоящей статьи, оператор обязан уведомить об изменениях уполномоченный орган по защите прав субъектов персональных данных в течение десяти рабочих дней с даты возникновения таких изменений.

Как следует из оспариваемого предписания (т.1, л/д.42) от 30 сентября 2009 года, №38-10/056 содержание нарушения состоит в том, что при проведении планового мероприятия по контролю за деятельностью банка, в области обработки персональных данных субъектов персональных данных, выявлены нарушения требований ч. 7 ст. 22 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных".

Так органом установлено, что банк не уведомил уполномоченный орган о том, что по сравнению со сведениями указанными им в Уведомлении от 09.07.2009 года (т.1, л/д.112, т. 2, л/д.2) по факту обработки иных категорий персональных данных, специальной категории персональных данных, иных категорий субъектов, персональные данные которых обрабатываются, перечня действий с персональными данными, общее описание используемых оператором способов обработки персональных данных, им указан не полный перечень способов обработки персональных данных.

По мнению Управления, (т.1, л/д.37) изложенному в акте проверки, в имеющемся в Управлении уведомлении от 09.07.2009 года указанный перечень действий с персональными данными, общее описание используемых оператором способов обработки персональных данных не соответствует фактически установленному.

В ходе проверки установлено, что Банк осуществляет обработку персональных данных клиентов и работников оператора (Банка) путем смешенной обработки персональных данных, как путем автоматической их обработки, так и неавтоматическим способом обработки. Так, согласно сведений Управления, автоматизированная обработка персональных данных общества, обусловлена обработкой информации, полученной в ходе обработки персональных данных, передаваемых по внутренней сети оператора (операция доступна лишь для строго определённых сотрудников), при этом данная информация не передается с использованием сети общего пользования Интернет.

Указанное свидетельствует, что общество обрабатывает часть персональных данных автоматическим способом, без непосредственного участия работника, что соответствует толкованию неавтоматической и автоматической обработки персональных данных в Постановлении Правительства РФ от 15.09.2008 N 687 "Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации".

При этом суд апелляционной инстанции считает, что обработка персональных данных без участия человека, не подразумевает, как это указывает банк, в данном случае того, что человек вообще исключен из участия данного процесса, поскольку любая автоматизированная обработка данных подразумевает участие человека, то, как ввод данных, обслуживание системы, её настрой и т.п. Между тем, непосредственная обработка данных включающая распространение (в том числе передачу) согласно данным Управления осуществлялась обществом.

Неавтоматизированная обработка персональных данных у общества состоит в ведении трудовых книжек, личных дел работников, учет и хранение договоров, заключенных с физическими лицами.

Судом первой инстанции правомерно установлено, что оператор осуществляет действия (операции) с персональными данными, которые включают в себя: сбор, систематизацию, накопление, хранение, уточнение (обновление, изменение), использование, распространение (в том числе передачу), обезличивание, уничтожение персональных данных в автоматическом режиме, то есть без участия человека.

В то же время из уведомления от 07 июля 2009 года (т.1, л/д.112) следует, что обработка персональных данных будет осуществляться путем неавтоматизированной обработки персональных данных.

Таким образом, суд апелляционной инстанции считает, что суд первой инстанции правомерно пришел к выводу, что банк до момента проверки не внес изменения в Уведомление об обработке персональных данных как того требует ч. 7 ст. 22 названного закона о перечне действий с персональными данными, об общем описании используемых оператором способов обработки персональных данных.

Довод апелляционной жалобы о том, что банк не осуществляет автоматической обработки персональных данных, опровергается актом проверки и доводами самого заявителя, о том, что часть информации полученной в ходе обработки персональных сведений передаётся по внутренней сети оператора, при этом операция доступна лишь для строго определённых сотрудников, без передачи такой информации по общедоступным каналам связи.

Суд первой инстанции пришел к правильному выводу о том, что АКБ «Радиан» (ОАО) осуществляет обработку персональных данных как автоматизированным способом, так и неавтоматизированным способом, в связи с чем доводы Управления Роскомнадзора по Иркутской области об осуществлении обществом обработки персональных данных клиентов и работников оператора указанными способами обработки персональных данных являются правомерными.

Учитывая, что общество не уведомляло Управление о применении автоматизированного способа обработки персональных данных, указанное свидетельствует о несоблюдении оператором требований по уведомлению уполномоченного органа по защите прав субъектов персональных данных об изменениях сведений, указанных в уведомлении об обработке персональных данных, то есть части 7 статьи 22 Федерального закона от 27 июля 2006 года № 152-ФЗ «О персональных данных».

Учитывая вышеизложенное, суд апелляционной инстанции считает правомерным принятие Управлением оспариваемого Предписания, направленного на устранение банком, как оператором персональных данных осуществляющим обработку персональных данных с нарушением требований указанного Федерального закона.

Таким образом, по мнению суда апелляционной инстанции, суд первой инстанции в соответствии со ст. 71 АПК РФ дал полную и всестороннюю оценку имеющимся в деле доказательствам в их взаимосвязи и совокупности и пришел к обоснованному выводу об отказе заявителю в удовлетворении требований в указанной части.

На основании изложенного у суда апелляционной инстанции нет законных оснований для удовлетворения апелляционной жалобы заявителя.

Суд, руководствуясь статьями 258, 268, 269, 270, 271 Арбитражного процессуального кодекса Российской Федерации

П О С Т А Н О В И Л:

Решение арбитражного суда Иркутской области от «09» февраля 2010 года по делу №А19-25289/2009 оставить без изменения, апелляционную жалобу – без удовлетворения.

Постановление арбитражного суда апелляционной инстанции вступает в законную силу со дня его принятия.

Постановление может быть обжаловано в арбитражный суд кассационной инстанции, в срок, не превышающий двух месяцев со дня вступления его в законную силу.

Председательствующий судья Е.В. Желтоухов

Судьи Э.П. Доржиев

Д.Н. Рылов