Гражданский кодекс часть 1

при участии представителей заявителя – ФИО1, доверенность от 07.12.2022, заинтересованного лица – ФИО2, доверенность от 27.10.2023, и в отсутствие надлежащим образом извещенного третьего лица, его представителей,

рассмотрев в открытом судебном заседании дело

по заявлению публичного акционерного общества "ТНС энерго Нижний Новгород" (ОГРН<***>, ИНН<***>), г.Н.Новгород, о признании недействительным требования управления Роскомнадзора по Приволжскому федеральному округу от 03.08.2023 №19038-5/52 о недопущении нарушения законодательства в области персональных данных,

при привлечении к участию в деле в качестве третьего лица, не заявляющего самостоятельных требований относительно предмета спора, ФИО3,

установил:

публичное акционерное общество "ТНС энерго Нижний Новгород" (далее – заявитель, Общество) обратилось в Арбитражный суд Нижегородской области с заявлением о признании недействительным требования управления Роскомнадзора по Приволжскому федеральному округу (далее – административный орган, Управление) от 03.08.2023 №19038-5/52 о недопущении нарушения законодательства в области персональных данных.

Общество поддержало свою позицию в полном объеме по основаниям подробно изложенным в заявлении, просит суд удовлетворить требования в полном объеме.

Административный орган возражает против удовлетворения заявленных требований в полном объеме по основаниям подробно изложенным в письменном отзыве.

Третье лицо о дате судебного заседания извещено надлежащим образом, не явилось, явку представителя не обеспечило. В соответствии с представленным письменным отзывом ФИО3 просит суд отказать заявителю в удовлетворении заявленных требований в полном объеме.

Как следует из материалов дела, в адрес Управления поступило обращение ФИО3 по вопросу нарушения Обществом законодательства Российской Федерации в области персональных данных.

По итогам рассмотрения обращения ФИО3 Управлением Обществу было выдано требование от 03.08.2023 №19038-5/52 о недопущении нарушения законодательства в области персональных данных. В соответствии с данным требованием Обществу необходимо: прекратить передачу персональных данных ФИО3 в адрес третьих лиц, не допускать нарушения законодательства Российской Федерации в области персональных данных, довести до сведения сотрудников информацию о неукоснительном соблюдении требований законодательства Российской Федерации в области обработки персональных данных, усилить контроль за соблюдением сотрудниками требований законодательства Российской Федерации в области обработки персональных данных.

Не согласившись с названным требованием от 03.08.2023 №19038-5/52 о недопущении нарушения законодательства в области персональных данных, заявитель обратился в Арбитражный суд Нижегородской области с рассматриваемым требованием.

Согласно части 1 статьи 198 АПК РФ граждане, организации и иные лица вправе обратиться в арбитражный суд с заявлением о признании недействительными ненормативных правовых актов, незаконными решений и действий (бездействия) органов, осуществляющих публичные полномочия, должностных лиц, если полагают, что оспариваемый ненормативный правовой акт, решение и действия (бездействие) не соответствуют закону или иному нормативному правовому акту и нарушают их права и законные интересы в сфере предпринимательской и иной экономической деятельности, незаконно возлагают на них какие-либо обязанности, создают иные препятствия для осуществления предпринимательской и иной экономической деятельности.

Таким образом, для признания ненормативного правового акта, решения, действий (бездействия) государственных органов, органов местного самоуправления, иных органов, должностных лиц незаконными суд должен установить наличие совокупности двух условий: несоответствие ненормативного правового акта, решения, действия (бездействия) государственных органов, органов местного самоуправления, иных органов, должностных лиц закону или иному нормативному правовому акту; нарушение ненормативным правовым актом, решением, действием (бездействием) государственных органов, органов местного самоуправления, иных органов, должностных лиц прав и законных интересов заявителя в сфере предпринимательской и иной экономической деятельности.

Согласно части 4 статьи 200 АПК РФ при рассмотрении дел об оспаривании ненормативных правовых актов, решений и действий (бездействия) органов, осуществляющих публичные полномочия, должностных лиц арбитражный суд в судебном заседании осуществляет проверку оспариваемого акта или его отдельных положений, оспариваемых решений и действий (бездействия) и устанавливает их соответствие закону или иному нормативному правовому акту, устанавливает наличие полномочий у органа или лица, которые приняли оспариваемый акт, решение или совершили оспариваемые действия (бездействие), а также устанавливает, нарушают ли оспариваемый акт, решение и действия (бездействие) права и законные интересы заявителя в сфере предпринимательской и иной экономической деятельности.

В пункте 5 статьи 200 АПК РФ предусмотрено, что обязанность доказывания соответствия оспариваемого ненормативного правового акта закону или иному нормативному правовому акту, законности принятия оспариваемого решения, совершения оспариваемых действий (бездействия), наличия у органа или лица надлежащих полномочий на принятие оспариваемого акта, решения, совершение оспариваемых действий (бездействия), а также обстоятельств, послуживших основанием для принятия оспариваемого акта, решения, совершения оспариваемых действий (бездействия), возлагается на орган или лицо, которые приняли акт, решение или совершили действия (бездействие).

В соответствии с ч.1 ст.23 Федерального закона от 27.07.2006 №152-ФЗ «О персональных данных» (далее - Закон) уполномоченным органом по защите прав субъектов персональных данных является федеральный орган исполнительной власти, осуществляющий самостоятельно функции по контролю и надзору за соответствием обработки персональных данных требованиям законодательства Российской Федерации в области персональных данных.

Согласно п.1 ч.3 Закона уполномоченный орган по защите прав субъектов персональных данных имеет право запрашивать у физических или юридических лиц информацию, необходимую для реализации своих полномочий, и безвозмездно получать такую информацию.

Кроме того, в соответствии с п.10.1 Положения об Управлении, утвержденного приказом Роскомнадзора от 25.01.2016 №35, Управление с целью реализации полномочий имеет право запрашивать и получать на безвозмездной основе у федеральных органов исполнительной власти и их территориальных органов, органов исполнительной власти субъектов Российской Федерации и органов местного самоуправления сведения и материалы, а также у юридических и физических лиц и редакций средств массовой информации информацию, необходимую для выполнения полномочий в установленной сфере деятельности.

В соответствии с п.1 ч.1 ст.6 Закона обработка персональных данных должна осуществляться с соблюдением принципов и правил, предусмотренных настоящим Федеральным законом. Обработка персональных данных допускается в случае обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных.

В соответствии с п.5 ч.1 ст.6 Закона Обработка персональных данных должна осуществляться с соблюдением принципов и правил, предусмотренных настоящим Федеральным законом. Обработка персональных данных допускается в следующих случае обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем. Заключаемый с субъектом персональных данных договор не может содержать положения, ограничивающие права и свободы субъекта персональных данных, устанавливающие случаи обработки персональных данных несовершеннолетних, если иное не предусмотрено законодательством Российской Федерации, а также положения, допускающие в качестве условия заключения договора бездействие субъекта персональных данных.

Согласно ч.3 названной статьи Закона оператор вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора, в том числе государственного или муниципального контракта, либо путем принятия государственным органом или муниципальным органом соответствующего акта (далее - поручение оператора). Лицо, осуществляющее обработку персональных данных по поручению оператора, обязано соблюдать принципы и правила обработки персональных данных, предусмотренные настоящим Федеральным законом, соблюдать конфиденциальность персональных данных, принимать необходимые меры, направленные на обеспечение выполнения обязанностей, предусмотренных настоящим Федеральным законом. В поручении оператора должны быть определены перечень персональных данных, перечень действий (операций) с персональными данными, которые будут совершаться лицом, осуществляющим обработку персональных данных, цели их обработки, должна быть установлена обязанность такого лица соблюдать конфиденциальность персональных данных, требования, предусмотренные частью 5 статьи 18 и статьей 18.1 настоящего Федерального закона, обязанность по запросу оператора персональных данных в течение срока действия поручения оператора, в том числе до обработки персональных данных, предоставлять документы и иную информацию, подтверждающие принятие мер и соблюдение в целях исполнения поручения оператора требований, установленных в соответствии с настоящей статьей, обязанность обеспечивать безопасность персональных данных при их обработке, а также должны быть указаны требования к защите обрабатываемых персональных данных в соответствии со статьей 19 настоящего Федерального закона, в том числе требование об уведомлении оператора о случаях, предусмотренных частью 3.1 статьи 21 настоящего Федерального закона.

В соответствии с ч.4 ст.6 Закона лицо, осуществляющее обработку персональных данных по поручению оператора, не обязано получать согласие субъекта персональных данных на обработку его персональных данных.

Как указано в ч.1 ст.21 Закона в случае выявления неправомерной обработки персональных данных при обращении субъекта персональных данных или его представителя либо по запросу субъекта персональных данных или его представителя либо уполномоченного органа по защите прав субъектов персональных данных оператор обязан осуществить блокирование неправомерно обрабатываемых персональных данных, относящихся к этому субъекту персональных данных, или обеспечить их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) с момента такого обращения или получения указанного запроса на период проверки. В случае выявления неточных персональных данных при обращении субъекта персональных данных или его представителя либо по их запросу или по запросу уполномоченного органа по защите прав субъектов персональных данных оператор обязан осуществить блокирование персональных данных, относящихся к этому субъекту персональных данных, или обеспечить их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) с момента такого обращения или получения указанного запроса на период проверки, если блокирование персональных данных не нарушает права и законные интересы субъекта персональных данных или третьих лиц.

Судом установлено, что в адрес Управления поступило обращение ФИО3 по вопросу нарушения Обществом законодательства Российской Федерации в области персональных данных

Из обращения следовало, что в адрес ФИО3 от ООО «АВТОМАТИЗИРОВАННЫЕ СИСТЕМЫ УЧЕТА» (далее - ООО «АСУ») поступил акт от 22.03.2023 о введении ограничения (приостановления) коммунальной услуги по электроснабжению, содержащий его персональные данные.

ФИО3 сообщал, что в договорных отношениях с ООО «АСУ» не состоит, согласия на обработку персональных данных, в соответствии с ч.1 ст.6 Закона не предоставлял.

В результате анализа представленных ООО «АСУ» и Обществом сведений, Управлением установлено, что между Обществом и ООО «АСУ» заключен договор на оказание услуг по введению ограничения (возобновления) энергоснабжения для неплательщиков и проверка ранее введенных ограничений от 25.05.2022 №94-юр и дополнительное соглашение к нему от 10.05.2023 (далее - Договор), в соответствии с которым ООО «АСУ» оказывает услуги на основании полученных от отделений Общества заявок с электронным реестром.

Так, в соответствии с Договором, начальником городского отделения Общества в адрес ООО «АСУ» была направлена заявка (от 10.03.2023 №ТНС-23/2042) о необходимости введения ограничения, приостановления подачи коммунальной услуги электроснабжения в отношении потребителей, имеющих задолженность по оплате электрической энергии. В данной заявке один из потребителей был указан ФИО3, лицевой счет <***>, адрес отключения: Нижний Новгород, ул. Профинтерна, д.26, кв.233.

На основании вышеуказанной заявки 22.03.2023 ООО «АСУ» составлен акт о введении ограничения (приостановления) коммунальной услуги по электроснабжению.

При рассмотрении обращения по существу поставленных вопросов, а также при проведении анализа информации, представленной Обществом, Управлением было установлено следующее.

Согласие на передачу персональных данных должно быть получено Обществом.

Согласно сведениям, представленным заявителем, между Обществом и ООО «АСУ» заключен договор на оказание услуг по введению ограничения (возобновления) энергоснабжения для неплательщиков и проверка ранее введенных ограничений от 25.05.2022 №94-юр, что в свою очередь, по мнению Общества и являлось правовым основанием обработки, в том числе передачи персональных данных ФИО3 в адрес ООО «АСУ».

Однако, по смыслу п.5 ч.1 ст.6 Закона, ФИО3 не является стороной, выгодоприобретателем или поручителем по договору, заключенному между Обществом и ООО «АСУ».

Таким образом, доводы заявителя о применении в указанном случае п.5 ч.1 ст.6 Закона, в качестве правового основания обработки, в том числе передачи персональных данных ФИО3 в адрес ООО «АСУ», несостоятельны и противоречат Закону.

Согласно информации, полученной от Общества между ФИО3 и Обществом с 01.10.2021 заключен договор энергоснабжения на поставку электрической энергии в жилом помещении, расположенном по адресу: <...>.

Однако, исследуя материалы, представленные заявителем факт заключения договора с ФИО3 Обществом не подтвержден.

Таким образом, согласие ФИО3 на передачу его персональных данных у ПАО «ТНС энерго Нижний Новгород», в форме прямого согласия, предусмотренного п.1 ч.1 ст.6 Закона отсутствует, так же как и в форме договора энергоснабжения на поставку электрической энергии п.5 ч.1 ст.6 Закона.

Согласно Типовой форме договора энергоснабжения с гражданами-потребителями, размещенном на официальном сайте ПАО «ТНС энерго Нижний Новгород» (https://nn.tns-e.ru/population/contract-conclusion/) 3.2.11 установлено, что гарантирующий поставщик имеет право привлекать на основании соответствующих договоров третьих лиц, в частности в Типовой форме указано с какими целями Общество заключает договоры с третьими лицами в рамках исполнения условий договора:

- для снятия показаний индивидуальных, общих (квартирных), коллективных (общедомовых) приборов учета;

- для установки, замены, поверки приборов учета;

- для проведения проверок достоверности предоставляемых потребителями сведений и показаниях расчетных приборов учета, и проверок состояния установленных и введенных в эксплуатацию приборов учета, факта их наличия или отсутствия, проведения проверок фактов непредставления электрической энергии и предоставления электрической энергии ненадлежащего качества и (или) с перерывами, превышающими установленную продолжительность;

- для доставки платежных документов потребителям;

- для начисления платы за электроэнергию и подготовки доставки платежных документов потребителям.

Иных целей в Типовой форме договора энергоснабжения с гражданами-потребителями, размещенном на официальном сайте Общества, для исполнения которых заявитель вправе передавать персональные данные пользователей услуг, не содержится.

Таким образом, Управление обоснованно пришло к выводу о том, что обработка, в том числе передача в адрес третьих, персональных данных проводится Обществом в иных целях, не связанных с заключением и исполнением договора, в данном случае при передаче персональных данных в адрес ООО «АСУ» необходимо получить письменное согласие гражданина.

Согласно ч.1 ст.9 Закона, согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным.

Согласно ч.4 ст.9, ч.5 ст.18 Закона, в письменном согласии необходимо указать цель обработки, а также наименование лица, осуществляющего обработку по поручению оператора. Указанные требования Закона, императивно указывают на наличие только одной цели обработки персональных данных и одного лица, осуществляющего обработку персональных данных по поручению оператора.

Согласие на передачу персональных данных ФИО3 в адрес ООО «АСУ», у Общества отсутствует. Доказательств обратного заявителем не представлено.

Таким образом, в действиях Общества установлен факт нарушения требований законодательства РФ в области персональных данных (п.1 ч.1 ст.6 Закона), в части неправомерной передачи персональных данных ФИО3 в адрес третьих лиц (ООО «АСУ»).

На основании изложенного, оценив представленные в материалы дела документы в соответствии со статьей 71 Арбитражного процессуального кодекса Российской Федерации, суд приходит к выводу, что оспариваемое требование Управления об устранении выявленных нарушений соответствует действующему законодательству и не нарушает законные права и интересы Общества, что, в соответствии с частью 3 статьи 201 Арбитражного процессуального кодекса Российской Федерации, является основанием для отказа в удовлетворении заявленного требования.

На основании статьи 110 Арбитражного процессуального кодекса Российской Федерации расходы по уплате государственной пошлины относятся на заявителя.

Руководствуясь статьями 110, 167 - 170, 176, 180 - 182, 201 Арбитражного процессуального кодекса Российской Федерации,

РЕШИЛ:

требования, заявленные публичным акционерным обществом "ТНС энерго Нижний Новгород" (ОГРН <***>, ИНН <***>), г.Н.Новгород, оставить без удовлетворения.

Судебные расходы по уплате государственной пошлины отнести на заявителя.

Настоящее решение вступит в законную силу по истечении месяца со дня принятия, если не будет подана апелляционная жалоба. В случае подачи апелляционной жалобы решение, если оно не будет изменено или отменено, вступит в силу со дня принятия постановления арбитражным судом апелляционной инстанции.

Настоящее решение может быть обжаловано в Первый арбитражный апелляционный суд через Арбитражный суд Нижегородской области в течение месячного срока со дня принятия.

Судья А.В.Леонов