Гражданский кодекс часть 1

рассмотрев в открытом судебном заседании дело по заявлению общества с ограниченной ответственностью Аудиторской компании «Эдип» (ОГРН <***>, ИНН <***>) (г. Биробиджан Еврейской автономной области)

признании недействительным предписания Управления Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Хабаровскому краю и Еврейской автономной области № П-07819-08/27 от 25.11.2011,

установил:

Общество с ограниченной ответственностью Аудиторская компания «Эдип» (далее – ООО АК «Эдип» общество) обратилось в Арбитражный суд Еврейской автономной области с заявлением к Биробиджанскому территориальному отделу Управления Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Хабаровскому краю и Еврейской автономной области о признании недействительным предписания № П-07819-08/27 от 25.11.2011, вынесенного Управлением Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Хабаровскому краю и Еврейской автономной области.

В судебном заседании 08.02.2012 представитель общества пояснила, что в указании наименования заинтересованного лица допущена техническая ошибка, фактически, как следует из просительной части заявления, ответчиком является юридическое лицо - Управление Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Хабаровскому краю и Еврейской автономной области (далее – Управление Роскомнадзора по Хабаровскому краю и ЕАО).

В судебном заседании представитель заявителя требования поддержала, просила признать недействительным предписание № П-07819-08/27 от 25.11.2011, указав, что: ООО АК «Эдип» осуществляет обработку персональных данных только своих сотрудников в связи с чем вправе не уведомлять Роскомнадзор об обработке персональных данных; оператор персональных данных вправе не уведомлять уполномоченный орган, если обрабатывает персональные данные, полученные в связи с заключением договора, стороной которого является субъект персональных данных. Кроме того, основным видом деятельности общества являются аудиторские услуги и сопутствующие аудиту услуги, которые, в том числе регулируются Федеральным законом от 30.12.2008 № 307-ФЗ «Об аудиторской деятельности» (далее – Закон об аудиторской деятельности) и на работников общества, в силу закона, возложена обязанность сохранять аудиторскую тайну.

Представитель Управления Роскомнадзора по Хабаровскому краю и ЕАО требования не признала, пояснила, что ООО АК «Эдип», применяющее средства вычислительной техники в своей деятельности при оказании услуг и ведения кадрового и бухгалтерского делопроизводства обязано уведомить Роскомнадзор об обработке персональных данных (о своем намерении осуществлять обработку персональных данных). Представленное обществом уведомление, содержит неполные сведения, что послужило основанием для выдачи оспариваемого предписания.

Суд, заслушав представителей заявителя, представителя ответчика, исследовав и оценив представленные доказательства, пришел к следующему.

Постановлением Правительства РФ от 16.03.2009 № 228 утверждено Положение о Федеральной службе по надзору в сфере связи, информационных технологий и массовых коммуникаций (далее – Положение № 228).

В силу Положения № 228 Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) является федеральным органом исполнительной власти, осуществляющим функции по контролю и надзору в сфере средств массовой информации, в том числе электронных, и массовых коммуникаций, информационных технологий и связи, функции по контролю и надзору за соответствием обработки персональных данных требованиям законодательства Российской Федерации в области персональных данных, а также функции по организации деятельности радиочастотной службы.

Роскомнадзор является уполномоченным федеральным органом исполнительной власти по защите прав субъектов персональных данных.

Положением № 228 к полномочиям Роскомнадзора отнесен государственный контроль и надзор за соответствием обработки персональных данных требованиям законодательства Российской Федерации в области персональных данных.

В Положении № 228 закреплено, что Роскомнадзор осуществляет свою деятельность непосредственно и через свои территориальные органы во взаимодействии с другими федеральными органами исполнительной власти, органами исполнительной власти субъектов Российской Федерации, органами местного самоуправления, общественными объединениями и иными организациями.

Приказом Министерства связи и массовых коммуникаций РФ от 07.04.2009 № 51, утверждено типовое положение о территориальном органе Роскомнадзора.

Территориальными органами Роскомнадзора являются управления Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций в субъектах РФ.

Территориальные органы Роскомнадзора создаются в целях осуществления функций по контролю и надзору в сфере средств массовой информации, в том числе электронных, и массовых коммуникаций, информационных технологий и связи, функции по контролю и надзору за соответствием обработки персональных данных требованиям законодательства Российской Федерации в области персональных данных.

Согласно части 8 статьи 19 Федерального закона от 27.07.2006 № 152-ФЗ (далее – Закон о персональных данных), контроль и надзор за выполнением организационных и технических мер по обеспечению безопасности персональных данных, установленных в соответствии с настоящей статьей, при обработке персональных данных в государственных информационных системах персональных данных осуществляются федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности, и федеральным органом исполнительной власти, уполномоченным в области противодействия техническим разведкам и технической защиты информации, в пределах их полномочий и без права ознакомления с персональными данными, обрабатываемыми в информационных системах персональных данных.

В соответствии с планом проведения плановых проверок Управления Роскомнадзора по Хабаровскому краю и ЕАО на 2011 год, на основании приказа заместителя руководителя от 13.10.2011 № 643-П в период с 21.11.2011 по 25.11.2011 проведена плановая выездная проверка ООО «АК «Эдип» за соблюдением законодательства о персональных данных (л.д. л.д. 5 – 7).

Согласно части 12 статьи 9 Федерального закона от 26.12.2008 № 294-ФЗ «О защите прав юридических лиц и индивидуальных предпринимателей при осуществлении государственного контроля (надзора) и муниципального контроля» о проведении плановой проверки юридическое лицо, индивидуальный предприниматель уведомляются органом государственного контроля (надзора) не позднее чем в течение трех рабочих дней до начала ее проведения посредством направления копии распоряжения или приказа руководителя, заместителя руководителя органа государственного контроля (надзора) о начале проведения плановой проверки заказным почтовым отправлением с уведомлением о вручении или иным доступным способом.

Уведомлением от 28.10.2011 общество уведомлено Управлением Роскомнадзора по Хабаровскому краю и ЕАО о проведении плановой выездной проверки, уведомление получено 01.11.2011 (л.д. л.д. 65, 66).

В ходе проверки Управлением Роскомнадзора по Хабаровскому краю и ЕАО выявлено нарушение части 3 статьи 22 Закона о персональных данных, выразившихся в представлении оператором в уполномоченный орган уведомления об обработке персональных данных, содержащего неполные или недостоверные сведения, что отражено в акте проверки от 25.11.2011 № А-07807-08/27 (л.д. л.д. 8, 9).

В сведениях о результатах проверки соблюдения законодательства РФ в области персональных данных ООО АК «Эдип» содержатся в приложении № 1 к акту проверки (л.д. л.д. 38 – 44).

По результатам проверки Управлением Роскомнадзора по Хабаровскому краю и ЕАО обществу выдано предписание от 25.11.2011 № П-07819-08/27 об устранении выявленного нарушения части 3 статьи 22 Закона о персональных данных, выразившегося в представлении в уполномоченный орган уведомления об обработке персональных данных, содержащее неполные или недостовереные сведения (л.д. 12).

Роскомнадзор является уполномоченным федеральным органом исполнительной власти по защите прав субъектов персональных данных. Оспариваемое предписание вынесено уполномоченным органом.

Не согласившись с предписанием от 25.11.2011 № П-07819-08/27, ООО АК «Эдип» обратилось в арбитражный суд с настоящими требованиями.

В силу статьи 3 Закона о персональных данных персональными данными является любая информация, относящаяся прямо или косвенно к определенному или определяемому физическому лицу (субъекту персональных данных).

Оператором персональных данных признается государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными (пункт 2 статьи 3 Закона о персональных данных).

Под обработкой персональных данных в соответствии с пунктом 3 статьи 3 Закона о персональных данных понимается любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

Исходя из положений Закона о персональных данных, общество признается оператором персональных данных.

В силу части 1 статьи 22 Закона о персональных данных оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных частью 2 данной статьи.

Частью 2 статьи 22 Закона о персональных данных установлены случаи, когда оператор имеет право осуществлять обработку персональных данных без уведомления уполномоченного органа. К таким случаям относится, в частности, обработка персональных данных субъектов, которых связывают с оператором трудовые отношения, а также обработка персональных данных, полученных оператором в связи с заключением договора, стороной которого является субъект персональных данных, если персональные данные не распространяются, а также не предоставляются третьим лицам без согласия субъекта персональных данных и используются оператором исключительно для исполнения указанного договора и заключения договоров с субъектом персональных данных.

Между тем, в обществе создан отдел сопутствующих услуг, для которого ООО АК «Эдип» разработано и 16.09.2010 года утверждено Положение о порядке хранения персональных данных клиентов общества. Настоящее положение устанавливает порядок получения, обработки и хранения сотрудниками отдела сопутствующих услуг общества персональных данных работников организаций, с которыми общество заключило договоры на бухгалтерское обслуживание. Согласно разделу 2 вышеуказанного Положения заказчик услуг обязан предоставить ответственному лицу общества персональные данные своих работников, в том числе: паспортные данные, сведения о прописке, сведения о стаже, трудовой договор, кадровые приказы, ИНН, СНИЛС, банковские реквизиты для перечисления вознаграждения, данные о детях или родственниках в случае предоставления социальных налоговых вычетов (л.д. 72).

Таким образом, ООО АК «Эдип» осуществляет обработку персональных данных не только своих работников и персональных данных, полученных оператором в связи с заключением договора, стороной которого является субъект персональных данных, но и персональных данных работников клиентов, непосредственно с которыми договоры не заключены.

В связи с вышеизложенным, общество не вправе осуществлять обработку персональных данных без уведомления уполномоченного органа на основании части 2 статьи 22 Закона о персональных данных.

В обоснование своих требований общество также ссылается на статью 9 Федерального закона № 307-ФЗ.

В соответствии с данной статьей аудиторская организация и ее работники, индивидуальный аудитор и работники, с которыми им заключены трудовые договоры, обязаны сохранять аудиторскую тайну, которую составляют любые сведения и документы, полученные и (или) составленные аудиторской организацией и ее работниками, а также индивидуальным аудитором и работниками, с которыми им заключены трудовые договоры, при оказании услуг, что исключает возможность распространения персональных данных за рамки правоотношений, существующих между оператором, осуществляющим их обработку и субъектом, их передавшим.

Часть 2 статьи 22 Закона о персональных данных предоставляет право операторам осуществлять обработку персональных данных без уведомления уполномоченного органа, но ООО АК «Эдип» данным правом не воспользовалось, добровольно представив в уполномоченный орган уведомление об обработке (о намерении осуществлять) обработку персональных данных (л.д. 46).

На основании данного уведомления, в которое были внесены сведения, предусмотренные частью 3 статьи 22 Закона о персональных данных, общество внесено в реестр операторов, осуществляющих обработку персональных данных (л.д. л.д. 67, 68).

Направление в адрес оператора информации о его включении в реестр операторов, осуществляющих обработку персональных данных, в отсутствие соответствующего запроса оператора, действующим законодательством не предусмотрено.

В ходе проведенной Роскомнадзором проверки выявлено несоответствие сведений, указанных в уведомлении, фактическим обстоятельствам. А именно: в ходе осуществления оформления трудовых отношений с работниками, оператором осуществляется обработка ряда не указанных в уведомлении данных (табельный номер, семейное положение, сведения о ранее выданных паспортах (ксерокопия страниц паспорта)); указанная правовая основа не в полной мере отражает НПА федерального законодательства, позволяющие оператору осуществлять обработку персональных данных (не указан Федеральный закон № 307-ФЗ, Федеральный закон от 29.07.1998 «Об оценочной деятельности», Федеральный закон от 21.11.1996 № 129-ФЗ «О бухгалтерском учете», Федеральный закон от 01.12.2007 № 315-ФЗ «О саморегулируемых организациях», Федеральные правила (стандарты) аудиторской деятельности, Кодекс профессиональной этики аудиторов); неполная информация в разделе об общем описании используемых оператором способов обработки данных; выявлено отсутствие пожарно-охранной сигнализации (л.д. л.д. 38 – 44).

В качестве доказательства наличия на момент подачи уведомления об обработке (о намерении осуществлять) обработку персональных данных пожарно-охранной сигнализации обществом представлен договор с ООО «Эгида» на установку пожарно-охранной сигнализации. Указано, что дата начала обработки персональных сведений связана с началом применения лицензионного программного продукта «1С:Предприятие» - с 08.05.2005 (л.д. 79).

Несоответствие предоставленного в Роскомнадзор уведомления требованиям части 3 статьи 22 Закона о персональных данных в отношении иных указанных неполных сведений (состав обрабатываемых персональных данных, перечень нормативных правовых актов) заявителем не оспаривается.

Таким образом, материалами дела подтверждается нарушение обществом части 3 статьи 22 Закона о персональных данных, выразившихся в представлении оператором в уполномоченный орган уведомления об обработке персональных данных, содержащего неполные или недостоверные сведения.

В силу пункта 1 части 1 статьи 17 Федерального закона от 26.12.2008 № 294-ФЗ «О защите прав юридических лиц и индивидуальных предпринимателей при осуществлении государственного контроля (надзора) и муниципального контроля» в случае выявления при проведении проверки нарушений юридическим лицом обязательных требований должностные лица органа государственного контроля (надзора), проводившие проверку, в пределах полномочий, предусмотренных законодательством Российской Федерации, обязаны выдать предписание юридическому лицу об устранении выявленных нарушений с указанием сроков их устранения.

Оспариваемое предписание выдано в порядке статьи 17 указанного Закона и содержит требование об устранении выявленных нарушений с указанием сроков их устранения.

На основании пункта 5 статьи 200 Арбитражного процессуального кодекса РФ обязанность по доказыванию законности совершения, оспариваемых действий (бездействий), а также обстоятельств, послуживших для совершения оспариваемых действий (бездействий) возлагается на орган или лицо, которые совершили действия (бездействия).

В силу статьи 65 Арбитражного процессуального кодекса РФ каждое лицо, участвующее в деле, должно доказать те обстоятельства, на которые оно ссылается в обоснование своих требований и возражений.

Таким образом, статья 200 Арбитражного процессуального кодекса РФ не освобождает заявителя от предусмотренной статьей 65 Арбитражного процессуального кодекса РФ необходимости доказывания тех обстоятельств, на которые он ссылается в обоснование своих требований и возражений.

Однако в нарушение положений названных правовых норм Общество не представило доказательств несоответствия обжалуемого акта управления Роскомнадзора по Хабаровскому краю и ЕАО действующему законодательству и нарушения оспариваемым действиями его прав и интересов.

При таких обстоятельствах, основания для удовлетворения требования заявителя о признании недействительным предписания Управления Роскомнадзора по Хабаровскому краю и ЕАО № П-07819-08/27 от 25.11.2011 отсутствуют.

В соответствии со статьей 110 Арбитражного процессуального кодекса РФ расходы по оплате государственной пошлины в размере 2 000 относятся на заявителя.

Руководствуясь статьями 110, 163, 167 – 170, 176, 198 - 201 Арбитражного процессуального кодекса Российской Федерации, арбитражный суд

Р Е Ш И Л :

В удовлетворении заявления общества с ограниченной ответственностью Аудиторской компании «Эдип», ОГРН <***>, ИНН <***>, о признании недействительным предписания Управления Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Хабаровскому краю и Еврейской автономной области № П-07819-08/27 от 25.11.2011, - отказать.

Решение вступает в законную силу по истечении месячного срока со дня его принятия, если не подана апелляционная жалоба. В случае подачи апелляционной жалобы решение, если оно не отменено и не изменено, вступает в законную силу со дня принятия постановления арбитражного суда апелляционной инстанции.

Решение может быть обжаловано в порядке апелляционного производства в Шестой арбитражный апелляционный суд в течение месяца со дня принятия решения (изготовления его в полном объеме), а также в порядке кассационного производства в Федеральный арбитражный суд Дальневосточного округа при условии, что оно было предметом рассмотрения арбитражного суда апелляционной инстанции или суд апелляционной инстанции отказал в восстановлении пропущенного срока подачи апелляционной жалобы.

Апелляционная и кассационная жалобы подаются в арбитражные суды апелляционной и кассационной инстанций через Арбитражный суд Еврейской автономной области.

В случае обжалования решения в порядке апелляционного или кассационного производства информацию о времени, месте и результатах рассмотрения дела можно получить соответственно на интернет-сайте Шестого арбитражного апелляционного суда http://6aas.arbitr.ru или Федерального арбитражного суда Дальневосточного округа http://fasdvo.arbitr.ru.

Судья С.В. Янина