Гражданский кодекс часть 1

рассмотрев в открытом судебном заседании апелляционную жалобу Управления Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Самарской области на решение Арбитражного суда Самарской области от 10 октября 2018 года по делу № А55-21355/2018 (судья Степанова И.К.),

по заявлению Частного учреждения образовательной организации высшего образования «Медицинский университет «Реавиз» (ОГРН 1026301420716), город Самара,

к Управлению Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Самарской области, город Самара,

о признании недействительным предписания,

УСТАНОВИЛ:

Частное учреждение образовательной организации высшего образования «Медицинский университет «Реавиз» (далее - заявитель, учреждение) обратилось в Арбитражный суд Самарской области с заявлением к Управлению Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Самарской области (далее - управление) о признании недействительным предписания №П-63/5/50-нд/-/1/17 от 27 апреля 2018 года.

Решением суда от 10.10.2018 г. заявление учреждения удовлетворено полностью.

Управление, не согласившись с решением суда, обратилось с апелляционной жалобой, в которой просит решение отменить, и принять новый судебный акт об отказе учреждению в удовлетворении заявленных требований, о чем просили в судебном заседании и представители управления.

Представитель учреждения в судебном заседании апелляционную жалобу отклонил, по основаниям, приведенным в отзыве, приобщенном к материалам дела, и просил решение суда оставить без изменения, а апелляционную жалобу без удовлетворения.

В соответствии со ст. 163 АПК РФ в судебном заседании объявлялся перерыв с 28.11.2018 г. до 9 час. 05 мин. 05.12.2018 г. Информация о перерыве в судебном заседании была объявлена публично на официальном сайте апелляционного суда в сети Интернет и на доске объявлений в здании суда. После перерыва судебное заседание было продолжено в том же составе суда.

Проверив материалы дела, выслушав представителей сторон, оценив в совокупности, имеющиеся в деле доказательства, суд апелляционной инстанции считает решение суда подлежащим отмене, а апелляционная жалоба удовлетворению, по следующим основаниям.

Как следует из материалов дела, 27.04.2018 г. управлением было выдано заявителю предписание № П-63/5/50-нд/-/1/17 об устранении выявленного нарушения, в котором указано на нарушения ч. 5 ст. 5, ч. 1 ст. 6, ч. 4 ст. 21, ч. 7 ст. 22 Федерального закона от 27.07.2006 г. № 152-ФЗ «О персональных данных», п. 7 постановления Правительства РФ от 15.09.2008 г. № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации», а срок устранения нарушения 27.07.2018 г. (л.д. 18 - 19).

Считая предписание недействительным, заявитель оспорил его в судебном порядке.

Исследовав представленные доказательства в их совокупности, суд первой инстанции пришел к выводу, что заявленные учреждением требования подлежат удовлетворению по следующим основаниям.

Согласно ч. 1 ст. 17 Федерального закона от 26.12.2008 г. № 294-ФЗ «О защите прав юридических лиц и индивидуальных предпринимателей при осуществлении государственного контроля (надзора) и муниципального контроля» (далее - Закон № 294-ФЗ) в случае выявления при проведении проверки нарушений юридическим лицом, индивидуальным предпринимателем обязательных требований или требований, установленных муниципальными правовыми актами, должностные лица органа государственного контроля (надзора), органа муниципального контроля, проводившие проверку, в пределах полномочий, предусмотренных законодательством РФ, обязаны выдать предписание юридическому лицу, индивидуальному предпринимателю об устранении выявленных нарушений с указанием сроков их устранения и (или) о проведении мероприятий по предотвращению причинения вреда жизни, здоровью людей, вреда животным, растениям, окружающей среде, объектам культурного наследия (памятникам истории и культуры) народов РФ, музейным предметам и музейным коллекциям, включенным в состав Музейного фонда РФ, особо ценным, в том числе уникальным, документам Архивного фонда РФ, документам, имеющим особое историческое, научное, культурное значение, входящим в состав национального библиотечного фонда, безопасности государства, имуществу физических и юридических лиц, государственному или муниципальному имуществу, предупреждению возникновения чрезвычайных ситуаций природного и техногенного характера, а также других мероприятий, предусмотренных федеральными законами.

Исходя из смысла и содержания указанной нормы Закона, требования предписания должны быть определенными, исполнимыми и конкретными, предписание должно быть исполнимым.

В обоснование заявленных требований заявитель указал на то, что оспариваемое предписание содержит только перечисление нарушений, при этом в предписании не содержится перечень конкретных действий, которые необходимо совершить учреждению для исполнения предписания, а поэтому предписание является неопределенным и неисполним.

Судом установлено, что в оспариваемом предписании заявителю вменены нарушения ч. 5 ст. 5, ч. 1 ст. 6, ч. 4 ст. 21, ч. 7 ст. 22 Федерального закона от 27.07.2006 г. № 152-ФЗ «О персональных данных», п. 7 постановления Правительства РФ от 15.09.2008 г. № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации», не указано конкретное содержание выявленных нарушений, и их описание. Тогда как предписание выдается в случае выявления при проведении проверки нарушений юридическим лицом обязательных требований или требований, установленных муниципальными правовыми актами, должностным лицом органа государственного контроля (надзора), органа муниципального контроля, проводившим проверку, в пределах полномочий, предусмотренных законодательством РФ.

Суд первой инстанции посчитал, что оспариваемое предписание не содержит конкретных указаний, четких формулировок относительно конкретных действий, которые необходимо совершить исполнителю и которые должны быть направлены на прекращение и устранение выявленных нарушений, а поэтому пришел к выводу, что предписание не соответствует закону и нарушает права и законные интересы заявителя.

Однако судом при вынесении решения не учтены следующие обстоятельства.

Пределы судебного разбирательства при рассмотрении дел об оспаривании ненормативных правовых актов, решений и действий (бездействия) государственных органов и должностных лиц, в том числе судебных приставов-исполнителей, установлены ч. 4 ст. 200 АПК РФ, согласно которой суд в судебном заседании осуществляет проверку оспариваемого акта или его отдельных положений, оспариваемых решений и действий (бездействия) и устанавливает их соответствие закону или иному нормативному правовому акту, устанавливает наличие полномочий у органа или лица, которые приняли оспариваемый акт, решение или совершили оспариваемые действия (бездействие), а также устанавливает, нарушают ли оспариваемый акт, решение и действия (бездействие) права и законные интересы заявителя в сфере предпринимательской и иной экономической деятельности.

Суд, установив, что оспариваемый ненормативный правовой акт, решение и действия (бездействие) органов, осуществляющих публичные полномочия, должностных лиц не соответствуют закону или иному нормативному правовому акту и нарушают права и законные интересы заявителя в сфере предпринимательской и иной экономической деятельности, принимает решение о признании ненормативного правового акта недействительным, решений и действий (бездействия) незаконными (ч. 2 ст. 201 АПК РФ).

Согласно п. 6 постановления Пленума ВС РФ и ВАС РФ от 01.07.1996 г. № 6/8 «О некоторых вопросах, связанных с применением ГК РФ» основанием для принятия решения суда о признании ненормативного акта государственного органа или органа местного самоуправления недействительным являются одновременно как его несоответствие закону или иному правовому акту, так и нарушение указанным актом гражданских прав и охраняемых законом интересов гражданина или юридического лица, обратившихся в суд с соответствующим требованием.

С учетом изложенного суд апелляционной инстанции полагает, что требования предприятия могут быть удовлетворены только в том случае, если будут установлены следующие обстоятельства несоответствие оспариваемого предписания закону или иному нормативному правовому акту, и нарушение прав и законных интересов заявителя этим предписанием.

При отсутствии хотя бы одного из данных обстоятельств, требования предприятия удовлетворению не подлежат.

Проверив оспариваемое предписание на соответствие действующему законодательству, суд апелляционной инстанции не находит оснований для удовлетворения заявленного учреждением требования в связи со следующим.

Заявителем не оспаривается тот факт, что предписание выдано уполномоченным должностным лицом управления в соответствии с полномочиями данного органа.

Выводы суда о том, что оспариваемое предписание не соответствует критерию исполнимости в силу положений Закона № 294-ФЗ, отклоняются апелляционным судом, поскольку согласно п. 20 ч. 3.1 ст. 1 Закона № 294-ФЗ, положения указанного Закона, устанавливающие порядок организации и проведения проверок не применяются при осуществлении федерального государственного контроля за обработкой персональных данных.

В предписании, указаны нормы действующего законодательства, нарушенные заявителем, а также предписано устранить указанные нарушения 27.07.2018 г.

Неуказание в предписании конкретных действий, направленного на устранение нарушения, не свидетельствует о недействительности оспариваемого предписания.

Кроме того, суд апелляционной инстанции отмечает, что у управления нет обязанности пошагово указать и перечислить действия, как заявитель должен осуществлять мероприятия по устранению выявленного нарушения.

Исполнитель самостоятельно должен принять все необходимые меры по совершению действий, направленных на устранение выявленных нарушений в пределах обязанностей, возложенных на него действующим законодательством.

Каких-либо неясностей или неточностей оспариваемое предписание не содержит.

При этом учреждению был предоставлен достаточный срок для устранения нарушений (3 месяца).

Ссылка подателя жалобы на судебную практику отклоняется судом апелляционной инстанции, поскольку данная практика имеет иную совокупность установленных обстоятельств.

В данном деле управление вынесло предписание 27.04.2018 г., установив срок устранения нарушения 27.07.2018 г.

Заявителем не представлено доказательств невозможности исполнения предписания управления в силу чрезвычайных событий и обстоятельств, которые оно не могло предвидеть и предотвратить.

В случае недостаточности, учреждение вправе было обращаться в управление с ходатайством об установлении нового срока исполнения предписания или его продления.

На основании вышеизложенного, суд апелляционной инстанции приходит к выводу, что оспариваемое учреждением предписание является законным и исполнимым.

Доводы заявителя о необоснованности требования оспариваемого предписания управления по устранению нарушения, предусмотренного ч. 5 ст. 5 Федерального закона «О персональных данных» в части обработки избыточных персональных данных по отношению к заявленным целям обработки, отклоняются апелляционным судом по следующим основаниям.

При исследовании ответчиком формы Анкеты работника (далее - Анкета) установлено содержание в ней поля для внесения сведений о судимости работника и близких родственников работника.

Согласно ч. 3 ст. 10 Федерального закона от 27.07.2006 г. «О персональных данных» (далее - Федеральный закон «О персональных данных»), обработка персональных данных о судимости может осуществляться государственными органами или муниципальными органами в пределах полномочий, предоставленных им в соответствии с законодательством РФ, а также иными лицами в случаях и в порядке, которые определяются в соответствии с федеральными законами.

Вместе с тем, оператором не представлена информация о федеральных законах, обязывающих его осуществлять сбор сведений о судимости работника и близких родственников работника.

Осуществление сбора указанной информации является нарушением требований при обработке сведений о судимости, предусмотренные ч. 3 ст. 10 Федерального закона «О персональных данных».

Частью 5 ст. 5 Федерального закона «О персональных данных» предусмотрено, что содержание и объем обрабатываемых персональных данных (далее - ПД) должны соответствовать заявленным целям обработки. Обрабатываемые ПД не должны быть избыточными по отношению к заявленным целям их обработки.

В соответствии с ч. 1 ст. 9 Федерального закона «О персональных данных» субъект ПД принимает решение о предоставлении его ПД и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку должно быть конкретным, информированным и сознательным.

Согласно ч. 3 ст. 9 Федерального закона «О персональных данных», обязанность предоставить доказательство получения согласия субъекта ПД на обработку его ПД или доказательство наличия иных оснований, предусмотренных настоящим Законом, возлагается на оператора.

Оператором не предоставлено доказательство получения согласия близких родственников работника на обработку их ПД (в том числе, сведений о судимости), либо доказательства наличия иных законных оснований для обработки его персональных данных (в частности, что указанное лицо будет являться стороной либо выгодоприобретателями или поручителями по договору).

Приказом Ректора Медицинского университета «Реавиз» от 21.04.2018 г. № 148/12-05 были внесены изменения в Положение о работе с персональными данными работников в части исключения из него Положения № 2 (Формы Анкеты работника).

В то же время наличие Приказа об исключении Формы анкеты работника из числа Приложений к Положению о работе с персональными данными работников не может свидетельствовать об устранении выявленного нарушения в части неправомерной обработки персональных данных, которая велась до момента утверждения указанного Приказа.

Согласно ст. 21 Федерального закона «О персональных данных» в случае выявления неправомерной обработки персональных данных оператор обязан осуществить блокирование (либо обеспечить блокирование) неправомерно обрабатываемых персональных данных. Также, в срок, не превышающий 3 рабочих дней с даты выявления неправомерной обработки, обязан прекратить неправомерную обработку персональных данных (или обеспечить прекращение неправомерной обработки персональных данных лицом, действующим по поручению оператора).

При этом в случае, если обеспечить правомерность обработки персональных данных невозможно, оператор в срок, не превышающий десяти рабочих дней с даты выявления неправомерной обработки персональных данных, обязан уничтожить такие персональные данные или обеспечить их уничтожение.

Об устранении допущенных нарушений или об уничтожении персональных данных оператор обязан уведомить уполномоченный орган по защите прав субъектов персональных данных.

Порядок и условия уничтожения персональных данных установлены Регламентом уничтожения персональных данных в Медицинском университете «Реавиз», утвержденным ректором от 15.01.2018 г.

Уничтожение документов производится в присутствии всех членов комиссии по организации информационной безопасности и защите персональных данных, которые несут персональную ответственность за правильность и полноту уничтожения документов, перечисленных в Акте об уничтожении пересыльных данных.

Отобранные к уничтожению материалы измельчаются механическим способом до степени, исключающей возможность прочтения текста, или сжигаются.

После уничтожения бумажных носителей персональных данных членами миссии по организации информационной безопасности и защите персональных данных подписывается Акт об уничтожении персональных данных в двух экземплярах.

Отобранные к уничтожению материалы измельчаются механическим способом до степени, исключающей возможность прочтения текста, или сжигаются, после уничтожения бумажных носителей персональных данных членами по организации информационной безопасности и защите персональных подписывается Акт об уничтожении персональных данных в двух экземплярах.

Вместе с тем, к моменту вынесения предписания (а именно: 27.04.2018 г.) заявителем не были представлены доказательства прекращения неправомерной обработки персональных данных, а равно уничтожения указанных персональных данных (Акт), в связи с чем нарушение требований ч. 5 ст. 5 Федерального закона от 27.07.2016 г. № 152-ФЗ «О персональных данных», не могло считаться устранённым на момент вынесения предписания, а поэтому довод заявителя о необоснованности требования управления по устранению нарушения, предусмотренного ч. 5 ст. 5 Федерального закона «О персональных данных» не имеет законных оснований.

Доводы заявителя о признании необоснованным требования управления по устранению нарушения, предусмотренного ч. 7 ст. 22 Федерального закона «О персональных данных» в части не предоставления в уполномоченный орган сведений об изменении информации, содержащейся в уведомлении об обработке персональных данных, отклоняются апелляционным судом по следующим основаниям.

На основании ч. 1 ст. 22 Федерального закона «О персональных данных» оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением предусмотренных законом случаев.

В ч. 3 ст. 22 Федерального закона «О персональных данных» указан обязательный перечень сведений, вносимых оператором при заполнении формы уведомления об обработке (о намерении осуществлять обработку) персональных данных, подписываемого уполномоченным лицом.

В соответствии с ч. 7 ст. 22 Федерального закона «О персональных данных» в случае изменения сведений, указанных в ч. 3 настоящей статьи оператор обязан уведомить об этом уполномоченный орган в течение десяти рабочих дней с даты возникновения таких изменений.

В соответствии с ч. 1 ст. 23 Федерального закона «О персональных данных» и с Положением о Федеральной службе по надзору в сфере связи, информационных технологий и массовых коммуникаций, утвержденным постановлением Правительства РФ от 16.03.2009 г. № 228, Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций является Уполномоченным органом по защите прав субъектов персональных данных и ведет реестр операторов, осуществляющих обработку персональных данных (далее - Реестр).

В вопросах порядка ведения Реестра управление руководствуется Методическими рекомендациями по уведомлению уполномоченного органа о начале обработки персональных данных и о внесении изменений в ранее представленные сведения (далее - Методические рекомендации), утвержденными приказом Роскомнадзора от 30.05.2017 г. № 94.

Пунктом 4 Методических рекомендаций установлен порядок уведомления об изменении ранее предоставленных сведений персональных данных.

Согласно Методическим рекомендациям, в случае изменения ранее представленных сведений оператор в течение 10 рабочих дней с момента возникновения таких изменений направляет в уполномоченный орган по защите субъектов персональных данных информационное письмо. Информационное письмо рекомендуется оформлять на бланке Оператора по форме, определенной Приложением 2 к Методическим рекомендациям, и направлять в территориальный Роскомнадзора по месту регистрации оператора в налоговом органе.

Информационное письмо направляется в виде документа на бумажном носителе или в форме электронного документа и подписывается уполномоченным лицом. Электронная форма информационного письма (далее - Электронная форма), предусмотренная п. 4 Методических рекомендаций, и порядок ее заполнения размещена на Портале персональных данных Роскомнадзора (www.pd.rkn.gov.ru.)

Во исполнение требований ч. 7 ст. 22 Федерального закона «О персональных данных» оператором, было предоставлено информационное письмо о внесении изменений в сведения об операторе в Реестре от 29.03.2018 г. № 4085/63, сформированное посредством Электронной формы.

Содержание указанного информационного письма предполагало внесение изменений в конкретные пункты, предусмотренные ч. 3 ст. 22 Федерального закона «О персональных данных».

Вместе с тем, внесение изменений в конкретные пункты предполагает замену имеющихся сведений актуальными данными, содержащимися в представленном информационном письме.

Указанное информационное письмо содержало сведения о 14 информационных системах, которые были сформированы посредством Электронной формы.

Таким образом, оператор уведомил уполномоченный орган об обработке персональных данных в конкретных информационных системах, содержащих определенный объем информации (категории персональных данных).

Одним из мероприятий по контролю, необходимым для достижения целей и задач проведения проверки является исследование (обследование) информационной системы персональных данных, в части, касающейся персональных данных субъектов персональных данных, обрабатываемых в ней. При проведении проверки сотрудниками Управления был проведен анализ объема обрабатываемой в информационных системах информации.

При исследовании (обследовании) информационных систем персональных данных используемых оператором, установлено, что категории персональных данных, обрабатываемые оператором, указанные в конкретных информационных системах, не соответствуют категориям, указанным в информационном письме.

Таким образом, управление пришло к обоснованному выводу о том, что информация, содержащаяся в Реестре, является неполной.

В связи с изложенным, включение в предписание пункта о нарушении Медицинским университетом «Реавиз» требований, предусмотренных ч. 7 ст. 22 Федерального закона «О персональных данных», является законным и обоснованным.

По вопросу признания необоснованным требования управления по устранению нарушения, предусмотренного Положением об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации, иным постановлением Правительства РФ от 15.09.2008 г. № 687 в части несоответствия типовых форм документов, характер информации в которых предполагает или допускает включение в них персональных данных, требованиям законодательства РФ, судом апелляционной инстанции установлено следующее.

В ходе проверки ответчиком было установлено, что Оператор использует типовые формы, утвержденные Оператором, характер информации в которых предполагает или включение в них персональных данных (Анкета работника).

Подпункт 15 п. 3 Положения о защите персональных данных работников в Медицинском университете «Реавиз» закрепляет обязанность работника по заполнению анкеты, в которой указываются следующие сведения: фамилия, имя, отчество, пол, дата и место рождения, семейное положение, образование, специальность, отношение к воинской обязанности, место жительства и домашний телефон, а также иные сведения, необходимые для оформления личной карточки работника по унифицированной форме Т-2.

Форма Анкеты работника была утверждена Приказом Ректора Медицинского «Университета «Реавиз» от 15.01.2018 г. № 00010-6/07-06 в качестве Приложения к локальному акту Оператора (Положению о защите персональных данных работников в Медицинском университете «Реавиз»).

Наличие определенной, стандартизированной формы, а равно сам факт утверждения указанной формы посредством её включения в число приложений к локальному акту Оператора, позволяет утверждать, что указанная Форма анкеты работника является документом типовой формы.

Таким образом, форма анкеты работника в Медицинском университете «Реавиз» должна соответствовать требованиям п. 7 Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации, утвержденного постановлением Правительства РФ от 15.09.2008 г. № 687.

Согласно п. 7 Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации, утвержденного постановлением Правительства РФ от 15.09.2008 г. № 687 при использовании типовых форм документов, характер информации в которых предполагает или допускает включение в них персональных данных (далее - типовая форма), должны соблюдаться следующие условия:

а) типовая форма или связанные с ней документы (инструкция по ее заполнению, карточки, реестры и журналы) должны содержать сведения о цели обработки персональных данных, осуществляемой без использования средств автоматизации, имя (наименование) и адрес оператора, фамилию, имя, отчество и адрес субъекта персональных данных, источник получения персональных данных, сроки обработки персональных данных, перечень действий с персональными данными, которые будут совершаться в процессе их обработки, общее описание используемых оператором способов обработки персональных данных;

б) типовая форма должна предусматривать поле, в котором субъект персональных данных может поставить отметку о своем согласии на обработку персональных данных, осуществляемую без использования средств автоматизации, необходимости получения письменного согласия на обработку персональных данных;

в) типовая форма должна быть составлена таким образом, чтобы каждый из субъектов персональных данных, содержащихся в документе, имел возможность ознакомиться со своими персональными данными, содержащимися в документе, не нарушая прав и законных интересов иных субъектов персональных данных;

г) типовая форма должна исключать объединение полей, предназначенных для внесения персональных данных, цели обработки которых заведомо не совместимы.

Анализ типовой формы Анкеты работника в Медицинском университете «Реавиз» показал, что указанная форма не содержит сведения о целях обработки персональных данных, осуществляемой без использования средств автоматизации, адресе оператора, сроках обработки персональных данных, перечне действий с персональными данными, которые будут совершаться в процессе их обработки, общем описании используемых оператором способах обработки персональных данных.

Таким образом, включение в предписание пункта о нарушении заявителем п. 7 Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации, утвержденного постановлением Правительства РФ от 15.09.2008 г. № 687 является законным и обоснованным.

Доводы заявителя относительно признания необоснованным требования управления по устранению нарушения, предусмотренного ч. 4 ст. 21 Федерального закона «О персональных данных» в части несоответствия оператором установленных требований обработки персональных данных после достижения целям их обработки, отклоняются апелляционным судом по следующим основаниям.

Согласно положениям ч. 4 ст. 21 Федерального закона «О персональных данных» в случае достижения цели обработки персональных данных оператор обязан прекратить обработку персональных данных или обеспечить ее прекращение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) и уничтожить персональные данные или обеспечить их уничтожение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) в срок, не превышающий 30 дней с даты достижения цели обработки персональных данных.

Цель обработки персональных данных работника в контексте требований законодательства в сфере защиты прав субъектов персональных данных является достигнутой в момент увольнения работника.

В то же время согласно п. 2 ч. 1 ст. 6 Федерального закона «О персональных данных» допускается обработка персональных данных в случае, если она необходима для осуществления и выполнения возложенных законодательством РФ на оператора функций, полномочий и обязанностей.

В рассматриваемом случае согласия субъекта персональных данных на обработку его персональных данных не требуется.

Таким образом, по достижению цели обработки персональных данных работника (увольнении работника) персональные данные указанного работника обрабатываются (хранятся) в соответствии с требованием законодательства РФ о бухгалтерском учёте (ст. 17 Федерального закона от 21.11.1996 г. № 129-ФЗ «О бухгалтерском учете».

При этом законодательство РФ не содержит иных требований к хранению персональных данных работников свыше срока, установленного ст. 17 Федерального закона от 21.11.1996 г. № 129-ФЗ «О бухгалтерском учете».

Федеральным законом от 22.10.04. № 125-ФЗ «Об архивном деле в РФ» установлен срок хранения документов по личному составу (75 лет), однако указанное положение не может быть отнесено к информации, содержащей персональные данные работника, хранящейся не в виде документов, подлежащих на архивное хранение.

Таким образом, информация, содержащая персональные данные при достижении целей обработки или при наступлении иных законных оснований в электронном виде, подлежит уничтожению в соответствии с действующим Законодательством РФ в сфере защиты прав субъектов персональных данных.

При исследовании ИСПДн Оператора «1С: Предприятие - Зарплата и Управление персоналом» в ходе проверки ответчиком было выявлено осуществление обработки ПД уволенных работников после расторжения трудового договора, с которыми прошло более 5 лет после года, в котором они использовались для составления бухгалтерской (финансовой) отчетности в последний раз, согласно ч. 2 ст. 29 Федерального закона от 06.12.2011 г. № 402-ФЗ «О бухгалтерском учете» (подтверждается снимками экрана), что представляет собой нарушение ч. 4 ст. 21 Федерального закона «О персональных данных» в части несоблюдения оператором установленных требований обработки персональных данных после достижения цели обработки.

Таким образом, довод заявителя о необоснованности требования управления устранению нарушения, предусмотренного ч. 4 ст. 22 Федерального закона «О персональных данных» подлежит отклонению.

Кроме того, суд апелляционной инстанции принимает во внимание, что заявитель представил ответчику отчет о выполнении выданного предписания, из которого следует, что заявитель фактически его исполнил.

Ссылка заявителя на то, что постановление мирового судьи судебного участка № 26 Ленинского судебного района г. Самары от 22.06.2018 г. № 5-354/2018 имеет преюдициальное значение для рассмотрения настоящего дела, отклоняется апелляционным судом по следующим основаниям.

В соответствии с ч. 3 ст. 69 АПК РФ вступившее в законную силу решение суда общей юрисдикции по ранее рассмотренному гражданскому делу обязательно для арбитражного суда, рассматривающего дело, по вопросам об обстоятельствах, установленных решением суда общей юрисдикции и имеющих отношение к лицам, участвующим в деле.

Из содержания ч. 1 ст. 55 ГПК РФ и ч. 1 ст. 64 АПК РФ вытекает, что обстоятельства, имеющие значение для правильного рассмотрения дела, устанавливаются судом на основании доказательств по делу, содержащих сведения о фактах.

Следовательно, арбитражный суд не связан с выводами других судов о правовой квалификации рассматриваемых отношений и толковании правовых норм.

Правовая оценка судом общей юрисдикции действий заявителя и примененного им положения, на которой основан вывод о наличии (отсутствии) состава административного правонарушения, не может рассматриваться в качестве обстоятельства, имеющего преюдициальное значение для арбитражного суда, рассматривающего другое дело (постановления Президиума ВАС РФ от 03.04.2007 г. № 13988/06 и от 17.07.2007 г. №11974/06).

Положения ч. 3 ст. 69 АПК РФ не предусматривают преюдициального значения постановления мирового судьи, вынесенного по делу об административном правонарушении, для арбитражного суда, рассматривающего дело (п. 16.2 постановления Пленума ВАС РФ от 02.06.2004 г. № 10 «О некоторых вопросах, возникших в судебной практике при рассмотрении дел об административных правонарушениях».

Таким образом, постановление мирового судьи по делу о привлечении к административной ответственности, не имеет в рассматриваемом случае для арбитражного суда, рассматривающего спор о признании незаконным предписания, преюдициального значения.

Оценив по правилам ст. 71 АПК РФ имеющиеся в деле доказательства в их взаимосвязи и совокупности, апелляционный суд приходит к выводу о законности и исполнимости оспариваемого предписания и отсутствии совокупности обстоятельств для признания его недействительным.

Отсутствие предусмотренной ст. 198 АПК РФ совокупности условий, необходимой для оспаривания ненормативного правового акта, действия, решения, влечет в силу ч. 3 ст. 201 АПК РФ отказ в удовлетворении заявленных требований.

При таких обстоятельствах, оснований для удовлетворения заявленных требований учреждения о признании недействительным оспариваемого предписания, не имеется, поскольку данное предписание было принято в пределах предоставленных ответчику полномочий, в соответствии с требованиями действующего законодательства и не нарушает прав и законных интересов заявителя в сфере предпринимательской и иной экономической деятельности.

С учетом вышеизложенного суд апелляционной инстанции приходит к выводу, что решение суда первой инстанции подлежит отмене на основании п. 3 ч. 1 ст. 270 АПК РФ, ввиду несоответствия выводов, изложенных в решении, обстоятельствам дела, и принимает новый судебный акт об отказе учреждению в удовлетворении заявленного требования.

В силу ст. 110 АПК РФ расходы по государственной пошлине за рассмотрение заявления относятся на учреждение.

Руководствуясь ст. ст. 266 - 271 Арбитражного процессуального кодекса Российской Федерации, суд

ПОСТАНОВИЛ:

Решение Арбитражного суда Самарской области от 10 октября 2018 года по делу №А55-21355/2018 отменить и принять по делу новый судебный акт.

В удовлетворении заявленных требований Частного учреждения образовательной организации высшего образования «Медицинский университет «Реавиз» отказать.

Постановление вступает в законную силу со дня его принятия и может быть обжаловано в двухмесячный срок в Арбитражный суд Поволжского округа через суд первой инстанции.

Председательствующий П.В. Бажан

Судьи А.А. Юдкин

Е.М. Рогалева