Гражданский кодекс часть 1

к Управлению Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Тульской области (ОГРН <***>, ИНН <***>)

о признании недействительным предписания от 29.06.2012г. №П-00-0000000-71-08/0011

при участии в заседании:

от заявителя – ФИО1, по доверенности от 12.09.2012г., ФИО2, по доверенности от 12.09.2012г.;

от ответчика – ФИО3, по доверенности от 19.07.2012г.

Суд установил.

В период с 21.06.2012г. по 29.06.2012г. на основании приказа Врио руководителя Управления Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Тульской области (далее – Управление Роскомнадзора по Тульской области) от 15.06.2012г. №119-П должностными лицами Управления Роскомнадзора по Тульской области была осуществлена внеплановая выездная проверка ОАО Информационно-вычислительного центра жилищно-коммунального хозяйства (далее – ОАО ИВЦ ЖКХ), расположенного по адресу: <...> целью проверки выполнения ранее выданных предписаний от 27.04.2012г. №П-00-0000000-71-08/0008, от 27.04.2012г. №П-00-0000000-71-08/0009 об устранении выявленных нарушений, срок исполнения которых истек.

В результате проверки были выявлено, что ОАО ИВЦ ЖКХ осуществляет деятельность по обработке персональных данных, не попадающую под исключения, предусмотренные ч.2 ст.22 Федерального закона от 27.07.2006г. №152-ФЗ «О персональных данных», без уведомления уполномоченного органа по защите прав субъектов персональных данных, о чем составлен акт №А-00-0000000-71-08/0104 от 29.06.2012г. и выдано предписание №П-00-0000000-71-08/0011 от 29.06.2012г.

16.08.2012г. ОАО ИВЦ ЖКХ обратилось в арбитражный суд с заявлением о признании недействительным предписания Управления Роскомнадзора по Тульской области №П-00-0000000-71-08/0011 от 29.06.2012г. по основаниям, изложенным в заявлении.

Управление Роскомнадзора по Тульской области возражало против удовлетворения требования заявителя по основаниям, изложенным в отзыве.

Суд, рассмотрев материалы дела, выслушав доводы представителей сторон, считает, что требование заявителя подлежит удовлетворению. При этом суд исходит из следующего.

В соответствии со статьей 123 Конституции Российской Федерации, статьями 7, 8, 9 Арбитражного процессуального кодекса Российской Федерации, судопроизводство осуществляется на основе состязательности и равноправия сторон.

Согласно статье 65 Арбитражного процессуального кодекса Российской Федерации, каждое лицо, участвующее в деле, должно доказать обстоятельства, на которые оно ссылается, как на основания своих требований и возражений.

В соответствии с частью 4 статьи 200 Арбитражного процессуального кодекса Российской Федерации при рассмотрении дел об оспаривании ненормативных правовых актов, решений и действий (бездействия) органов, осуществляющих публичные полномочия, должностных лиц арбитражный суд в судебном заседании осуществляет проверку оспариваемого акта или его отдельных положений, оспариваемых решений и действий (бездействия) и устанавливает их соответствие закону или иному нормативному правовому акту, устанавливает наличие полномочий у органа или лица, которые приняли оспариваемый акт, решение или совершили оспариваемые действия (бездействие), а также устанавливает, нарушают ли оспариваемый акт, решение и действия (бездействие) права и законные интересы заявителя в сфере предпринимательской и иной экономической деятельности.

Согласно части 5 статьи 200 Арбитражного процессуального кодекса Российской Федерации обязанность доказывания соответствия оспариваемого ненормативного правового акта закону или иному нормативному правовому акту, законности принятия оспариваемого решения, совершения оспариваемых действий (бездействия), наличия у органа или лица надлежащих полномочий на принятие оспариваемого акта, решения, совершение оспариваемых действий (бездействия), а также обстоятельств, послуживших основанием для принятия оспариваемого акта, решения, совершения оспариваемых действий (бездействия), возлагается на орган или лицо, которые приняли акт, решение или совершили действия (бездействие).

В силу части 2 статьи 201 Арбитражного процессуального кодекса Российской Федерации для признания оспариваемого ненормативного правового акта недействительным необходимо наличие одновременно двух условий - несоответствие его закону или иным нормативным правовым актам и нарушение им прав и охраняемых законом интересов субъектов в сфере предпринимательской и иной экономической деятельности.

В период с 10.01.2012г. по 30.01.2012г. на основании приказа руководителя Управления Роскомнадзора по Тульской области от 29.12.2011г. №294-П должностными лицами Управления Роскомнадзора по Тульской области была осуществлена плановая выездная проверка ОАО ИВЦ ЖКХ, расположенного по адресу: <...>, в результате которой были выявлены нарушения, заключающиеся в следующем:

1. общество осуществляет деятельность по обработке персональных данных, не попадающую под исключения ч.2 ст.22 Федерального закона от 27.07.2006г. №152-ФЗ «О персональных данных», без уведомления уполномоченного органа по защите прав субъектов персональных данных. Данное нарушение было выявлено при анализе документов из личного дела работника ОАО ИВЦ ЖКХ, а именно: общество осуществляет обработку:

- биометрических персональных данных сотрудников (фотографии сотрудников, содержащиеся в анкетах) без письменного согласия субъекта персональных данных;

- специальных категорий персональных данных – сведений о судимости;

2. в тексте договоров между Обществом и ООО «Терем», МУЗ «Городская поликлиника №2 г.Тулы», на основании которых происходит передача персональных данных, отсутствует существенное условие об обеспечении конфиденциальности и безопасности персональных данных при их обработке, не определен перечень действий (операций) с персональными данными, цели обработки, не указаны требования к защите обрабатываемых персональных данных.

Данные нарушения были отражены в акте с приложением №А-00-0000000-71-08/0001 от 30.01.2012г. и выданы предписания №П-00-0000000-71-08/0001, №П-00-0000000-71-08/0002, №П-00-0000000-71-08/0003 от 30.01.2012г., срок исполнения которых не позднее 01.04.2012г.

Согласно ст.10 Федерального закона №294-ФЗ от 26.12.2008г. «О защите прав юридических лиц и индивидуальных предпринимателей при осуществлении государственного контроля (надзора) и муниципального контроля» основанием для проведения внеплановой проверки является, в том числе, истечение срока исполнения юридическим лицом, индивидуальным предпринимателем ранее выданного предписания об устранении выявленного нарушения обязательных требований и (или) требований, установленных муниципальными правовыми актами.

В период с 09.04.2012г. по 27.04.2012г. на основании приказа руководителя Управления Роскомнадзора по Тульской области от 05.04.2011г. №74-П должностными лицами Управления Роскомнадзора по Тульской области была осуществлена внеплановая выездная проверка ОАО ИВЦ ЖКХ, расположенного по адресу: <...> целью проверки выполнения ранее выданных предписаний №П-00-0000000-71-08/0001, №П-00-0000000-71-08/0002, №П-00-0000000-71-08/0003 от 30.01.2012г. по устранению выявленных нарушений, срок исполнения которых истек, в результате которой были выявлены следующие нарушения:

1. общество осуществляет деятельность по обработке персональных данных, не попадающую под исключения ч.2 ст.22 Федерального закона от 27.07.2006г. №152-ФЗ «О персональных данных», без уведомления уполномоченного органа по защите прав субъектов персональных данных (нарушение было выявлено при анализе квитанции ОАО ИВЦ ЖКХ на оплату жилищно-коммунальных услуг гражданами от 17.03.2012г.);

- в тексте договоров между Обществом и ОАО «КМЗ», МКП МО г.Тула «Спецавтохозяйство», ОАО «Тулагорводоканал» и др., на основании которых происходит передача персональных данных, отсутствует существенное условие об обеспечении конфиденциальности и безопасности персональных данных при их обработке, не определен перечень действий (операций) с персональными данными, цели обработки, не указаны требования к защите обрабатываемых персональных данных, о чем составлен акт с приложением №А-00-0000000-71-08/0067 от 27.04.2012г. и выданы предписания №П-00-0000000-71-08/0008, №П-00-0000000-71-08/0009 от 27.04.2012г. Срок исполнения не позднее 28.05.2012г.

В период с 21.06.2012г. по 29.06.2012г. на основании приказа от 15.06.2012г. №119-П должностными лицами Управления Роскомнадзора по Тульской области была осуществлена внеплановая выездная проверка ОАО ИВЦ ЖКХ, расположенного по адресу: <...> целью проверки выполнения ранее выданных предписаний от 27.04.2012г. №П-00-0000000-71-08/0008, №П-00-0000000-71-08/0009 по устранению выявленных нарушений, срок исполнения которых истек.

В результате проверки были выявлено, что ОАО ИВЦ ЖКХ осуществляет деятельность по обработке персональных данных, не попадающую под исключения ч.2 ст.22 Федерального закона от 27.07.2006г. №152-ФЗ «О персональных данных», без уведомления уполномоченного органа по защите прав субъектов персональных данных, о чем составлен акт №А-00-0000000-71-08/0104 от 29.06.2012г. и выдано предписание №П-00-0000000-71-08/0011 от 29.06.2012г.

В ходе проверки, исходя из приведенного в статье 2 Законе № 294-ФЗ определения, в любом случае производится оценка соответствия деятельности и (или) действий проверяемого, производимых и реализуемых им товаров (выполняемых работ, предоставляемых услуг) обязательным требованиям.

Однако критерии такой оценки, и соответственно, пределы проверки определяются из полномочий органа государственного контроля (надзора) и его должностных лиц (пункт 4 статьи 3 Закона № 294-ФЗ), предмета и основания проверки. При этом предмет и основание проверки неразрывно связаны, поэтому при вынесении правоприменительного акта (распоряжения) подлежат конкретизации.

Должностные лица органа государственного контроля (надзора) обязаны проводить проверку на основании распоряжения или приказа руководителя, заместителя руководителя органа государственного контроля (надзора) о ее проведении в соответствии с ее назначением (пункт 3 статьи 18 Закона № 294-ФЗ).

Таким образом, наличие у уполномоченного органа какого-либо определенного основания для проведения внеплановой проверки требует установления соответствующего предмета проверки, с учетом которых и проводится проверка.

В данном случае с учетом фактически имевшегося основания для проведения внеплановой выездной проверки ее предметом может быть только выполнение требований конкретного предписания. Однако сотрудники Управления Роскомнадзора по Тульской области при определении предмета проверки не ограничились указанием на осуществление контроля за исполнением ранее выданных предписаний.

Из оформленных по результатам проверок материалов усматривается, что должностные лица Управления фактически осуществили контроль за иными требованиями Федерального закона от 27.07.2006г. №152-ФЗ «О персональных данных». Вывод о нарушении при осуществление деятельности по обработке персональных данных, не попадающей под исключения ч.2 ст.22 Федерального закона от 27.07.2006г. №152-ФЗ «О персональных данных», без уведомления уполномоченного органа по защите прав субъектов персональных данных при проведении выездной проверки с 09.04.2012г. по 27.04.2012г. был сделан на основании анализа квитанции ОАО ИВЦ ЖКХ на оплату жилищно-коммунальных услуг гражданами от 17.03.2012г., в то время как при проведении плановой проверки с период с 10.01.2012г. по 30.01.2012г. к указанному выводу административный орган пришел в результате анализа документов личного дела сотрудника общества. Квитанция от 17.03.2012г. не была предметом анализа и доказательством нарушения закона при проведении плановой проверки, следовательно, не могла быть предметом исследования при проведении внеплановой проверки, осуществленной в целях устранения выявленных нарушений.

Следовательно, проверка с 21.06.2012г. по 29.06.2012г. в отношении Общества проведена административным органом с нарушением норм Закона № 294-ФЗ и ее результаты, отраженные в акте №А-00-0000000-71-08/0104 от 29.06.2012г., не могут служить доказательством нарушения ОАО ИВЦ ЖКХ положений действующего законодательства.

Кроме того, суд отмечает следующее.

В соответствии со статьями 198 и 201 Арбитражного процессуального кодекса РФ основанием для признания недействительными ненормативных правовых актов, решений и действий (бездействия) органа, осуществляющего публичные полномочия, является одновременное наличие двух условий: их несоответствие закону или иному правовому акту и нарушение прав и законных интересов гражданина или юридического лица в сфере предпринимательской и иной экономической деятельности.

Таким образом, оспариваемое предписание подлежит проверке на предмет его соответствия закону либо иному нормативному акту, вынесения уполномоченным лицом, исполнимости, соблюдению прав и законных интересов заявителя.

Согласно части 1 статьи 23 Федерального закона № 152-ФЗ уполномоченным органом по защите прав субъектов персональных данных, на который возлагается обеспечение контроля и надзора за соответствием обработки персональных данных требованиям настоящего Федерального закона, является федеральный орган исполнительной власти, осуществляющий функции по контролю и надзору в сфере информационных технологий и связи.

В соответствии с Положением о Федеральной службе по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор), утвержденным Постановлением Правительства РФ от 16.03.2006 г. № 228, Роскомнадзор является федеральным органом исполнительной власти, осуществляющим функции по контролю и надзору в сфере средств массовой информации, в том числе электронных, и массовых коммуникаций, информационных технологий и связи, функции по контролю и надзору за соответствием обработки персональных данных требованиям законодательства Российской Федерации в области персональных данных, а также функции по организации деятельности радиочастотной службы.

Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций является уполномоченным федеральным органом исполнительной власти по защите прав субъектов персональных данных.

Таким образом, оспариваемое предписание № П-00-0000000-71-08/0011 от 29.06.2012 г. по результатам проверки ОАО ИВЦ ЖКХ вынесено уполномоченным органом.

Статьей 9 Федерального закона от 27.07.2006г. № 149-ФЗ "Об информации, информационных технологиях и о защите информации" предусмотрена обязательность соблюдения конфиденциальности информации, доступ к которой ограничен федеральными законами.

Порядок доступа к персональным данным граждан (физических лиц) установлен федеральным законом о персональных данных.

Согласно статье 3 Федерального закона от 27.07.2006г. № 152-ФЗ "О персональных данных" персональными данными является любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных), в том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы, другая информация.

Целью указанного Закона № 152-ФЗ в силу статьи 2 является обеспечение защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.

В части 2 статьи 3 Федерального закона от 27.07.2006г. №152-ФЗ «О персональных данных» определено, что оператор – это, в том числе, юридическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.

В соответствии с частью 1 статьи 7 Федерального закона № 152-ФЗ операторами и третьими лицами, получающими доступ к персональным данным, должна обеспечиваться конфиденциальность таких данных, за исключением случаев, предусмотренных частью 2 данной статьи.

В соответствии с частью 3 статьи 6 Федерального закона от 27.07.2006г. №152-ФЗ «О персональных данных» оператор вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора. Лицо, осуществляющее обработку персональных данных по поручению оператора, обязано соблюдать принципы и правила обработки персональных данных. Лицо, осуществляющее обработку персональных данных по поручению оператора, не обязано получать согласие субъекта персональных данных на обработку его персональных данных.

Понятие лица, осуществляющего обработку персональных данных по поручению оператора, в указанном федеральном законе отсутствует.

В соответствии с п.2.2 Устава ОАО ИВЦ ЖКХ осуществляет деятельность, в том числе, по оказанию информационно-вычислительных услуг в системе ЖКХ.

Из представленных в материалы дела агентских договоров от 07.12.2011г. №127-11, от 25.09.2007г. №70-07, заключенных ОАО ИВЦ ЖКХ (Платежный агент) соответственно с ОАО «КМЗ» и с МУП МО г.Тулы «Тулагорводоканал» (Принципал) усматривается, что ОАО ИВЦ ЖКХ обязуется за вознаграждение совершать все необходимые действия по учету расчетов, организации приема и перечисления денежных средств от физических лиц за услуги, оказываемые Принципалом.

В договорах предусмотрено, что Платежный агент обязуется использовать представленные организациями персональные данные в целях, определенных договорами, не разглашать представленные персональные данные. Получить согласие физических лиц на использование Платежным агентом персональных данных обязуется Принципал.

Проанализировав материалы дела и положения действующего законодательства суд считает, что ОАО ИВЦ ЖКХ не является оператором, поскольку осуществляет обработку персональных данных по поручению оператора и, следовательно, у него не возникает обязанности по уведомлению уполномоченного органа по защите прав субъектов персональных данных о начале обработки персональных данных, предоставленных во исполнение заключенных договоров.

Сведения о фамилии, инициалах, номере квартиры используются заявителем для расчета оплаты домовладельцем технического обслуживания квартиры, общего имущества дома и коммунальных услуг.

В силу ч.1 ст.22 вышеназванного федерального закона оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных.

Обязанность лица, осуществляющего обработку персональных данных по поручению оператора, по уведомлению уполномоченного органа по защите прав субъектов персональных данных о начале обработки персональных данных, предоставленных во исполнение заключенных договоров, действующим законодательством не предусмотрена. Данное действие должно быть совершено оператором.

Таким образом, суд считает, что ОАО ИВЦ ЖКХ не является оператором при исполнении своих обязанностей по заключенным договорам, а следовательно, не должно уведомлять уполномоченный орган о начале работы с персональными данными.

В соответствии требованиями пункта 2 статьи 126 и части 1 статьи 128 Арбитражного процессуального кодекса Российской Федерации уплата государственной пошлины является условием для обращения в арбитражный суд.

Согласно статье 110 Арбитражного кодекса судебные расходы, понесенные лицами, участвующими в деле, в пользу которых принят судебный акт, взыскиваются арбитражным судом со стороны. По правилам этой же статьи государственная пошлина относится к судебным расходам.

То обстоятельство, что ответчиком является орган, освобожденный от уплаты государственной пошлины при обращении в арбитражные суды на основании подпункта 1.1 пункта 1 статьи 333.37 Налогового кодекса, не может быть основанием для отказа истцу в возмещении его судебных расходов.

Законодательством не предусмотрено освобождение государственных и муниципальных органов от возмещения судебных расходов в случае, если решение принято не в их пользу. Напротив, в части 1 статьи 110 Арбитражного кодекса гарантируется возмещение всех понесенных судебных расходов в пользу выигравшей дело стороны независимо от того, является ли проигравшей стороной государственный или муниципальный орган, в связи с чем суд считает необходимым взыскать с Управления Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Тульской области в пользу Открытого акционерного общества Информационно-вычислительный центр жилищно-коммунального хозяйства судебные расходы в размере 4 000 руб. (2000 рублей госпошлина за рассмотрение заявления + 2000 рублей госпошлина за принятие обеспечительных мер).

Руководствуясь ст. 167-170,176, 197-201АПК РФ арбитражный суд

Р Е Ш И Л:

Требование Открытого акционерного общества Информационно-вычислительный центр жилищно-коммунального хозяйства удовлетворить.

Признать недействительным предписание Управления Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) по Тульской области № П-00-0000000-71-08/0011 от 29.06.2012г.

Взыскать с Управления Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) по Тульской области в пользу Открытого акционерного общества Информационно-вычислительный центр жилищно-коммунального хозяйства судебные расходы в размере 4 000 рублей.

Решение может быть обжаловано в месячный срок со дня его принятия в Двадцатый арбитражный апелляционный суд через Арбитражный суд Тульской области.

Судья Е.В.Андреева