Гражданский кодекс часть 1

акционерное общество «Монди Сыктывкарский ЛПК» (далее – Общество) обратилось в Арбитражный суд Республики Коми с заявлением о признании недействительными пунктов 1, 2, 5 и 7 предписания Управления Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Республике Коми (далее – Управление) от 31.05.2017 № П-11/3/89-нд/-/1/27.

Решением суда от 02.10.2017 производство по делу в части оспаривания пунктов 2 и 7 данного предписания прекращено в связи с отказом Общества от заявленных требований. В удовлетворении остальной части требования отказано.

Постановлением Второго арбитражного апелляционного суда от 26.01.2018 решение суда об отказе в удовлетворении требования о признании недействительными пунктов 1, 5 предписания отменено, заявление Общества удовлетворено. В остальной части решение суда оставлено без изменения.

Управление не согласилось с постановлением апелляционного суда и обратилось в Арбитражный суд Волго-Вятского округа с кассационной жалобой.

Заявитель жалобы, ссылаясь на неправильное применение судом Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – Закон № 152-ФЗ), Федерального закона от 26.12.2008 № 294-ФЗ «О защите прав юридических лиц и индивидуальных предпринимателей при осуществлении государственного контроля (надзора) и муниципального контроля» (далее – Закон № 294-ФЗ), просит отменить постановление апелляционного суда. Управление, выявив в ходе проверки нарушение Обществом требований законодательства в области обработки персональных данных, правомерно выдало предписание, которое не содержит неясностей и является исполнимым. Подробно позиция заявителя изложена в кассационной жалобе.

Общество в отзыве отклонило доводы жалобы.

Управление и Общество заявили ходатайства о рассмотрении кассационной жалобы без участия представителей.

Законность обжалуемой части принятого Вторым арбитражным апелляционным судом постановления проверена Арбитражным судом Волго-Вятского округа в порядке, установленном в статьях 274, 284 и 286 Арбитражного процессуального кодекса Российской Федерации (далее – Кодекс).

Как следует из материалов дела, Управление с 10 по 31.05.2017 провело в отношении Общества плановую выездную проверку, в ходе которой, в числе прочего установило нарушение части 3 статьи 22 и части 5 статьи 18 Закона № 152-ФЗ.

Управление пришло к выводу, что в нарушение указанных норм Общество представило уведомление об обработке персональных данных, содержащее неполные и (или) недостоверные сведения; не обеспечило сбор персональных данных, в том числе посредством информационно-телекоммуникационной сети «Интернет» с использованием баз данных, находящихся на территории Российской Федерации. Результаты проверки отражены в акте от 31.05.2017 № А-11/3/89-нд/98.

По итогам проверки Обществу выдано предписание от 31.05.2017 № П-11/3/89-нд/-/1/27 об устранении выявленных нарушений.

В соответствии с пунктами 1 и 5 предписания Общество обязано представить информационное письмо о внесении изменений в сведения в реестре операторов, осуществляющих обработку персональных данных, а именно: цель обработки; категории субъектов персональных данных; категории персональных данных; трансграничная передача персональных данных; информационные системы персональных данных, а также обеспечить сбор персональных данных, в том числе посредством информационно-телекоммуникационной сети «Интернет», осуществляя запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся только на территории Российской Федерации.

Общество не согласилось с указанными пунктами предписания и обратилось в арбитражный суд с настоящим заявлением.

Руководствуясь статьями 3, 18и 22 Закона № 152-ФЗ, Административным регламентом исполнения Федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций государственной функции по осуществлению государственного контроля (надзора) за соответствием обработки персональных данных требованиям законодательства Российской Федерации в области персональных данных, утвержденным приказом Министерства связи и массовых коммуникаций Российской Федерации от 14.11.2011 № 312 (далее – Административный регламент), суд первой инстанции пришел к выводу об отсутствии оснований для удовлетворения заявленного требования.

Суд апелляционной инстанции посчитал, что пункты 1 и 5 оспариваемого предписания не соответствуют законодательству, частично отменил решение суда и удовлетворил заявленное требование.

Рассмотрев кассационную жалобу, Арбитражный суд Волго-Вятского округа не нашел оснований для ее удовлетворения.

В силу части 1 статьи 198, части 4 статьи 200 Кодекса действия, решения органов, осуществляющих публичные полномочия, могут быть признаны незаконными, если они не соответствуют закону или иному нормативному правовому акту и нарушают права и законные интересы заявителя в сфере предпринимательской деятельности.

Бремя доказывания законности и обоснованности оспариваемого акта возлагается на орган, его принявший (часть 1 статьи 65, часть 5 статьи 200 Кодекса).

Управление является органом, осуществляющим функции по контролю и надзору за соответствием обработки персональных данных требованиям законодательства, вправе проводить проверки деятельности оператора на предмет соответствия требованиям законодательства в области персональных данных и выдавать по их результатам в случае выявления нарушений предписание об устранении выявленных нарушений (статья 23 Закона № 152-ФЗ, Административный регламент).

В соответствии с пунктом 76 Административного регламента по результатам проверки должностными лицами уполномоченного органа, проводившими проверку, составляется акт проверки, который оформляется непосредственно после ее завершения.

Согласно пункту 86 Административного регламента в случае выявления по результатам проверки нарушения требований законодательства в области персональных данных, оператору, вместе с актом, выдается предписание об устранении выявленных нарушений.

В предписании, в числе прочено, указываются содержание нарушения и основание выдачи предписания.

По смыслу действующего законодательства предписание органа, осуществляющего государственный надзор (контроль), об устранении нарушений законодательства должно быть законным и обоснованным, четким и понятным для исполнения.

Невыполнение в срок законного предписания органа, осуществляющего государственный надзор (контроль), является основанием для привлечения граждан и юридических лиц к административной ответственности.

Таким образом, предписание должно содержать только законные требования, то есть на юридическое лицо может быть возложена обязанность по устранению лишь тех нарушений, соблюдение которых обязательно для него в силу закона.

В предписании должны быть указаны конкретные причины и условия, законные и обоснованные меры для их устранения, при этом данные меры должны быть реальными и исполнимыми. При этом предписание должно содержать только законные требования, подлежащие выполнению для устранения допущенного нарушения законодательства.

В пункте 1 предписания Обществу указано на представление уведомления об обработке персональных данных, содержащее неполные (недостоверные сведения). В целях устранения нарушения части 3 статьи 22 Закона № 152-ФЗ Обществу предписано представить информационное письмо о внесении изменений в реестр операторов, осуществляющих обработку персональных данных, а именно: цель обработки; категории субъектов персональных данных; категории персональных данных; трансграничную передачу персональных данных; информационные системы персональных данных.

В соответствии с пунктом 1 статьи 22 Закона № 152-ФЗ оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных частью 2 данной статьи.

В силу пункта 3 статьи 22 Закона № 152-ФЗ уведомление должно содержать следующие сведения: наименование (фамилия, имя, отчество), адрес оператора; цель обработки персональных данных; категории персональных данных; категории субъектов, персональные данные которых обрабатываются; правовое основание обработки персональных данных; перечень действий с персональными данными, общее описание используемых оператором способов обработки персональных данных; описание мер, которые оператор обязуется осуществлять при обработке персональных данных, по обеспечению безопасности персональных данных при их обработке; дата начала обработки персональных данных и срок или условие прекращения обработки персональных данных.

Оценив материалы дела, суд апелляционной инстанции установил, что представленное Обществом уведомление об обработке персональных данных от 24.05.2017 содержит информацию по всем обозначенным в пункте 3 статьи 22 Закона № 152-ФЗ позициям. Надлежащих и допустимых доказательств, подтверждающих неполноту или недостоверность указанной информации, Управление не представило.

При таких обстоятельствах оспариваемый пункт предписания правомерно признан апелляционным судом недействительным.

Согласно пункту 5 предписания в соответствии с частью 5 статьи 18 Закона № 152-ФЗ при сборе персональных данных, в том числе посредством информационно-телекоммуникационной сети «Интернет», Общество обязано обеспечить сбор (запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение) персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации.

В силу части 5 статьи 18 Закона № 152-ФЗ при сборе персональных данных, в том числе посредством информационно-телекоммуникационной сети «Интернет», оператор обязан обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации, за исключением случаев, указанных в пунктах 2, 3, 4, 8 части 1 статьи 6 данного закона.

Из приведенной нормы следует, что по общему правилу оператор обязан накапливать и обрабатывать персональные данные только с использованием баз данных, находящихся на территории Российской Федерации. Исключения из общего правила перечислены в пунктах 2, 3, 4 и 8 части 1 статьи 6 Закона № 152-ФЗ.

Управление, выдав предписание (пункт 5), исходило из того, что Общество нарушило часть 5 статьи 18 Закона № 152-ФЗ в связи с использованием при сборе и обработке персональных данных зарубежного сайта, находящегося в Австрии.

Вопреки требованиям статьи 65 Кодекса доказательств, подтверждающих, что Общество осуществляло сбор персональных данных с зарубежного сайта, владельцем которого является иностранное юридическое лицо, в дело не представлено.

В отсутствие таких доказательств, как верно указал апелляционный суд, нельзя признать установленным факт нарушения Обществом требований части 5 статьи 18 Закона № 152-ФЗ.

С учетом изложенного апелляционный суд правомерно признал пункт 5 предписания незаконным, необоснованным, неопределенным и неисполнимым.

Выводы суда апелляционной инстанции соответствуют фактическим обстоятельствам, установленным по делу, и имеющимся в деле доказательствам. Доводы, приведенные в кассационной жалобе, выводы суда не опровергают.

Второй арбитражный апелляционный суд правильно применил нормы материального права и не допустил нарушений норм процессуального права, являющихся в любом случае основаниями для отмены принятого судебного акта в силу части 4 статьи 288 Кодекса.

Руководствуясь пунктом 1 части 1 статьи 287 и статьей 289 Арбитражного процессуального кодекса Российской Федерации, Арбитражный суд Волго-Вятского округа

ПОСТАНОВИЛ:

постановление Второго арбитражного апелляционного суда от 26.01.2018 по делу № А29-8062/2017 оставить без изменения, кассационную жалобу Управления Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Республике Коми – без удовлетворения.

Постановление арбитражного суда кассационной инстанции вступает в законную силу со дня его принятия.

Председательствующий

Н.Ю. Башева

Судьи

О.В. Александрова

И.Л. Забурдаева