Гражданский кодекс часть 1

рассмотрев в открытом судебном заседании гражданское дело по заявлению Федеральной службы Российской Федерации по контролю за оборотом наркотиков по Новгородской области об оспаривании предписания Управления Роскомнадзора по Новгородской области,

УСТАНОВИЛ:

Управление Федеральной службы Российской Федерации по контролю за оборотом наркотиков по Новгородской области (далее - Управление ФСКН) обратилось в суд с заявлением об оспаривании пунктов 1 и 2 предписания Управление Роскомнадзора по Новгородской области (далее - Управление Роскомнадзора) от ДД.ММ.ГГГГ № об устранении нарушений положений статьи 22 Федерального закона от 27.07.2006 года №152-ФЗ «О персональных данных». В соответствии с предписанием заявитель обязан устранить нарушения, заключающиеся в том, что Управление ФСКН не подано уведомление об обработке персональных данных работников, федеральных государственных гражданских служащих и сотрудников Управления ФСКН и членов их семей, кандидатов на замещение вакантной должности или на включение в кадровый резерв, граждан, обратившихся в Управление ФСКН с жалобой, с информацией или с иной целью, граждан, совершивших административное правонарушение или преступление; в том, что Управлением ФСКН не приняты меры по назначению ответственного за организацию обработки персональных данных из числа служащих данного органа, по опубликованию на официальном сайте органа документов, определяющих политику в отношении обработки персональных данных, по утверждению документов, регламентирующих обработку персональных данных, по ознакомлению служащих, непосредственно осуществляющих обработку персональных данных, с положениями законодательства РФ о персональных данных, в том числе с требованиями к защите персональных данных и локальными актами по вопросам обработки персональных данных, не осуществляется внутренний контроль соответствия обработки персональных данных установленным требованиям. Управление ФСКН не согласно с предписанием, поскольку обработка персональные данные осуществляется в соответствии с трудовым законодательством и с постановлением Правительства Российской Федерации от 15 сентября 2008 года № 687, что подпадает под исключающие случаи, то есть без уведомления уполномоченного органа по защите прав субъектов персональных данных. На основании изложенного заявитель просит признать незаконным и отменить пункты 1 и 2 вышеуказанного предписания.

В судебном заседании представитель Управления ФСНК ФИО1, действующая на основании доверенности, поддержала заявление по изложенным в нем доводам. В дополнение пояснила, что нарушения, указанные в пунктах 3 и 4 оспариваемого предписания, Управлением ФСКН учтены и устранены. В этой части предписание не обжалуется.

Представители Управления Роскомнадзора по Новгородской области ФИО2 и ФИО3, действующие на основании доверенностей, просили в удовлетворении заявления отказать. В обоснование ФИО2 сослалась на доводы, приведенные в письменном отзыве на иск, который приобщен к материалам дела.

Выслушав объяснения лиц, участвующих в деле, исследовав письменные материалы дела, суд приходит к следующему.

В соответствии с ч.1 ст.254 ГПК РФ гражданин, организация вправе оспорить в суде решение, действие органа государственной власти, органа местного самоуправления, должностного лица, государственного или муниципального служащего.

Суд отказывает в удовлетворении заявления, если установит, что оспариваемое решение или действие принято либо совершено в соответствии с законом в пределах полномочий органа государственной власти, органа местного самоуправления, должностного лица, государственного или муниципального служащего и права либо свободы гражданина не были нарушены (ч.4 ст. 258 ГПК РФ).

Согласно статье 3 Федерального закона от 27 июля 2006 года №152-ФЗ «О персональных данных» (далее - Закон 152-ФЗ) в целях настоящего Федерального закона используются следующие основные понятия: 1) персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных); 2) оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными; 3) обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных; 4) автоматизированная обработка персональных данных - обработка персональных данных с помощью средств вычислительной техники. персональные данные - это любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).

В силу части 1 статьи 22 названного Закона 152-ФЗ оператор до начала обработки персональных данных обязануведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи.

Такое уведомление, как следует из пунктов 3 и 4 части 3 статьи 22 Закона №152-ФЗ, должно содержать, в том числе, сведения о категориях персональных данных и категориях субъектов, персональные данные которых обрабатываются.

Частью 2 статьи 22 указанного Закона 152-ФЗ определены исключающие случаи, предусматривающие право оператора осуществлять обработку персональных данных без уведомления уполномоченного органа по защите прав субъектов персональных данных. К ним отнесены случаи:

- обработки персональных данных в соответствии с трудовым законодательством (пункт 1 части 2),

- обработки без использования средств автоматизации в соответствии с федеральными законами или иными нормативными правовыми актами Российской Федерации, устанавливающими требования к обеспечению безопасности персональных данных при их обработке и к соблюдению прав субъектов персональных данных (пункт 8 части 2).

Таким образом, Закон №152-ФЗ возлагает на операторов, к которым относятся, в том числе органы государственной власти, проведение мероприятий, связанных с защитой персональных данных. Проведение названных мероприятий и соблюдение установленных ограничений является публично-правовой обязанностью органов государственной, в том числе Управления ФСКН.

Судом установлено, что в период с ДД.ММ.ГГГГ Управлением Роскомнадзора по Новгородской области в отношении Управления ФСКН проведена плановая проверка по вопросу соблюдения требований законодательства об обработке персональных данных.

В ходе проверки выявлено и отражено в пункте 1 обжалуемого предписания № от ДД.ММ.ГГГГ, что Управление ФСКН обрабатывает персональные данные в отношении следующих категорий субъектов персональных данных: работники, федеральные государственные гражданские служащие РФ и сотрудники Управления ФСКН, а также члены их семей, кандидаты на замещение вакантной должности или на включение в кадровый резерв, граждане РФ, обратившиеся в Управление ФСКН с жалобой, с информацией или с иной целью, граждане, совершившие административное правонарушение или преступление и др. Осуществление обработки персональных данных в отношении перечисленных субъектов персональных данных не подпадает под исключающие случаи ч.2 ст.22 Федерального закона от 27.07.2006 года №152-ФЗ «О персональных данных», то есть требуют подачи уведомления об обработке (о намерении осуществлять обработку) персональных данных.

Суд находит пункт 1 предписания П-53-02/0516 от 31.03.2014 года отвечающим нормам закона исходя из следующего.

Согласно приказу Федеральной службы Российской Федерации по контролю за оборотом наркотиков от 27.06.2008 года №199 «Об утверждении Типового положения о региональном управлении Федеральной службы Российской Федерации по контролю за оборотом наркотиков и управлении Федеральной службы Российской Федерации по контролю за оборотом наркотиков по субъекту Российской Федерации» Управление ФСКН, как территориальный орган ФСКН России, в числе иных отнесенных к его компетенции функций и задач производит дознание и предварительное следствие по уголовным делам о преступлениях, отнесенных законодательством Российской Федерации к подследственности органов наркоконтроля;

осуществляет в соответствии с законодательством Российской Федерации производство по делам об административных правонарушениях, отнесенных законодательством Российской Федерации к компетенции органов наркоконтроля; осуществляет прием граждан, регистрацию и рассмотрение сообщений о преступлениях, а также предложений, заявлений и жалоб по вопросам, отнесенным к компетенции Управления; осуществляет кадровое обеспечение Управления и др.

В соответствии с возложенными на Управление ФСКН функциями по кадровому обеспечению оно осуществляет как автоматизированную так и неавтоматизированную обработку персональных данных в отношении следующих категорий субъектов персональных данных: работников, федеральных государственных гражданских служащих, сотрудников Управления ФСКН и членов их семей, кандидатов на замещение вакантных должностей или на включение в кадровый резерв.

Правоотношения, связанные с поступлением в Управление ФСНК на службу и на государственную гражданскую службу Российской Федерации, ее прохождением и прекращением, регулируется «Положением о правоохранительной службе в органах по контролю за оборотом наркотических средств и психотропных веществ», утвержденным Указом Президента РФ от 05.06.2003 года №613 «О правоохранительной службе в органах по контролю за оборотом наркотических средств и психотропных веществ», и, соответственно, Федеральным законом от 27.07.2004 года №79-ФЗ «О государственной гражданской службе Российской Федерации».

Таким образом, обработка персональных данных в отношении состоящих на службе в Управлении ФСКН федеральных государственных гражданских служащих, служащих этого органа наркоконтроля и членов их семей, а также кандидатов на замещение вакантных должностей или на включение в кадровый резерв, как осуществляемая не в соответствии с трудовым законодательством, не относится к числу исключительных случаев, а потому на Управление ФСКН возлагается предусмотренная частью 1 статьи 22 Закона №152-ФЗ обязанность оператора уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных.

Помимо обработки персональных данных, осуществляемой в связи с кадровым обеспечением, Управление ФСКН осуществляет как автоматизированную так и неавтоматизированную обработку персональных данных таких субъектов персональных данных как граждан, обратившихся в Управление ФСКН с жалобами, с информацией или с иной целью, лиц, совершивших административное правонарушение или преступление.

Обработка таких персональных данных в силу части 1 статьи 22 названного Закона 152-ФЗ также сопряжена с обязанностью уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку подобных персональных данных.

При этом доводы представителя Управления ФСКН о том, что обработка поименованных персональных данных подпадает под исключающий случай, предусмотренный пунктом 8 части 2 статьи 22 Закона №152-ФЗ, когда оператор вправе осуществлять обработку персональных данных без подачи уведомления, суд находит ошибочными.

Как указано выше, в названном пункте части 2 статьи 22 Закона №152-ФЗ речь идет о персональных данных, обрабатываемых без использования средств автоматизации в соответствии с федеральными законами или иными нормативными правовыми актами Российской Федерации, устанавливающими требования к обеспечению безопасности персональных данных при их обработке и к соблюдению прав субъектов персональных данных.

Под данное исключение подпадает обработка персональных данных, осуществляемой без использования средств автоматизации, поскольку требования по обеспечению безопасности при такой обработке установлены Постановлением Правительства РФ от 15.09.2008 года №687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации» (далее - Положение).

В пункте 1 названного Положением определено, что обработка персональных данных, содержащихся в информационной системе персональных данных либо извлеченных из такой системы (далее - персональные данные), считается осуществленной без использования средств автоматизации (неавтоматизированной), если такие действия с персональными данными, как использование, уточнение, распространение, уничтожение персональных данных в отношении каждого из субъектов персональных данных, осуществляются при непосредственном участии человека.

Из буквального содержания приведенной нормы следует, что названным Положением урегулирован вопрос относительно ограниченного числа операций по неавтоматизированной обработке персональных данных, как то - использование, уточнение, распространение и уничтожение. Следовательно, совершение иных операций по неавтоматизированной обработке, таких как сбор персональных данных, запись, систематизация, накопление, хранение, извлечение, обезличивание, блокирование, удаление (статья 3 Закона №152-ФЗ), под исключающий случай не подпадают и влечет обязанность оператора уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных.

Кроме того, достоверных данных о том, что обработка персональных данных граждан, обратившихся в Управление ФСКН с жалобами, с информацией или с иной целью, а также лиц, совершивших административное правонарушение или преступление, осуществляется Управлением ФСКН неавтоматизированным способом в смысле нормы, содержащейся в пункте 1 Положения, заявитель суду при рассмотрении дела настоящего дела не представил, равно как не представил таких сведений и сотрудникам Управления Роскомнадзора при проведении ими проверки.

Кроме того, согласно данным «Реестра операторов, осуществляющих обработку персональных данных», ведение которого предусмотрено Законом №152-ФЗ и осуществляется Роскомнадзором, обязанность уведомить уполномоченный территориальный орган Роскомнадзора об обработке персональных данных ряд региональных органов наркоконтроля в других субъектах Российской Федерации исполнили, они значатся в Реестре как зарегистрированные операторы (Интернет-сайт http://rkn.gov.ru).

Таким образом, поскольку на момент проведение проверки такое уведомление заявителем не было подано, то в пункте 1 предписания № от ДД.ММ.ГГГГ Управлением Роскомнадзора по Новгородской области совершенно обосновано было указано на данное нарушение и на необходимость его устранения.

Разрешая вопрос о законности предписания, содержащегося в пункте 2, суд также не находит оснований для признания его незаконным и отмене.

Согласно статье 18.1 Закона №152-ФЗ оператор обязан принимать меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных настоящим Федеральным законом и принятыми в соответствии с ним нормативными правовыми актами. Оператор самостоятельно определяет состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных настоящим Федеральным законом и принятыми в соответствии с ним нормативными правовыми актами, если иное не предусмотрено настоящим Федеральным законом или другими федеральными законами.

Частью 3 названной статьи Закона №125-ФЗ предусмотрено, что Правительство Российской Федерации устанавливает перечень мер, направленных на обеспечение выполнения обязанностей, предусмотренных настоящим Федеральным законом и принятыми в соответствии с ним нормативными правовыми актами, операторами, являющимися государственными или муниципальными органами.

В развитие данной нормы закона Постановлением Правительства РФ от 21.03.2012 года №211 утвержден «Перечень мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом «О персональных данных» и принятыми в соответствии с ним нормативными правовыми актами, операторами, являющимися государственными или муниципальными органами» (далее - Перечень).

В числе таких мер, которые обязаны предпринять государственные органы, указано на то, что они: а) назначают ответственного за организацию обработки персональных данных в государственном или муниципальном органе из числа государственных или муниципальных служащих (далее - служащие) данного органа); б) утверждают актом руководителя государственного или муниципального органа следующие документы:

правила обработки персональных данных, устанавливающие процедуры, направленные на выявление и предотвращение нарушений законодательства Российской Федерации в сфере персональных данных, а также определяющие для каждой цели обработки персональных данных содержание обрабатываемых персональных данных, категории субъектов, персональные данные которых обрабатываются, сроки их обработки и хранения, порядок уничтожения при достижении целей обработки или при наступлении иных законных оснований; правила рассмотрения запросов субъектов персональных данных или их представителей; правила осуществления внутреннего контроля соответствия обработки персональных данных требованиям к защите персональных данных, установленным Федеральным законом "О персональных данных", принятыми в соответствии с ним нормативными правовыми актами и локальными актами оператора; правила работы с обезличенными данными; перечень информационных систем персональных данных; перечни персональных данных, обрабатываемых в государственном или муниципальном органе в связи с реализацией служебных или трудовых отношений, а также в связи с оказанием государственных или муниципальных услуг и осуществлением государственных или муниципальных функций; перечень должностей служащих государственного или муниципального органа, ответственных за проведение мероприятий по обезличиванию обрабатываемых персональных данных; перечень должностей служащих государственного или муниципального органа, замещение которых предусматривает осуществление обработки персональных данных либо осуществление доступа к персональным данным; должностной регламент (должностные обязанности) или должностная инструкция ответственного за организацию обработки персональных данных в государственном или муниципальном органе; типовое обязательство служащего государственного или муниципального органа, непосредственно осуществляющего обработку персональных данных, в случае расторжения с ним служебного контракта (контракта) или трудового договора прекратить обработку персональных данных, ставших известными ему в связи с исполнением должностных обязанностей; типовая форма согласия на обработку персональных данных служащих государственного или муниципального органа, иных субъектов персональных данных, а также типовая форма разъяснения субъекту персональных данных юридических последствий отказа предоставить свои персональные данные; порядок доступа служащих государственного или муниципального органа в помещения, в которых ведется обработка персональных данных;

д) в целях осуществления внутреннего контроля соответствия обработки персональных данных установленным требованиям организуют проведение периодических проверок условий обработки персональных данных в государственном или муниципальном органе. Проверки осуществляются ответственным за организацию обработки персональных данных в государственном или муниципальном органе либо комиссией, образуемой руководителем государственного или муниципального органа. О результатах проведенной проверки и мерах, необходимых для устранения выявленных нарушений, руководителю государственного или муниципального органа докладывает ответственный за организацию обработки персональных данных в государственном или муниципальном органе либо председатель комиссии;

е) осуществляют ознакомление служащих государственного или муниципального органа, непосредственно осуществляющих обработку персональных данных, с положениями законодательства Российской Федерации о персональных данных (в том числе с требованиями к защите персональных данных), локальными актами по вопросам обработки персональных данных и (или) организуют обучение указанных служащих.

Помимо этого такие операторы опубликуют на официальном сайте государственного органа документы, определяющие политику в отношении обработки персональных данных в течение 10 дней после их утверждения (п.2 Перечня).

В как следует из 2 обжалуемого предписания № от ДД.ММ.ГГГГ, Управлением ФСКН допущены следующие нарушения: так, в нарушение пункта 2 Перечня Управлением ФСКН не приняты меры по опубликованию на официальном сайте органа документов, определяющих политику в отношении обработки персональных данных; в нарушение подпункта «б» пункта 1 Перечня не утверждены документы, регламентирующие обработку персональных данных; в нарушение подпункта «д» пункта 1 Перечня не соблюдены требования в части осуществления внутреннего контроля соответствия обработки персональных данных установленным требованиям; в нарушение подпункта «е» пункта 1 Перечня не приняты меры по ознакомлению служащих, непосредственно осуществляющих обработку персональных данных, с положениями законодательства Российской Федерации о персональных данных, в том числе с требованиями к защите персональных данных и локальными актами по вопросам обработки персональных данных.

Наличие указанных нарушений по существу не оспорено представителем Управления ФСКН при рассмотрении настоящего спора.

При таких обстоятельствах суд приходит к выводу о том, что проверка, по результатам которой выдано спорное предписание осуществлена Управлением Роскомнадзора в соответствии с законом, и не нарушает прав и законных интересов заявителя.

Согласно Положению о Федеральной службе по надзору в сфере связи, информационных технологий и массовых коммуникаций, утвержденному постановлением Правительства Российской Федерации от 16.03.2009 года №228, Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) является федеральным органом исполнительной власти, осуществляющим функции по контролю и надзору за соответствием обработки персональных данных требованиям законодательства Российской Федерации в области персональных данных. При этом Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций является уполномоченным федеральным органом исполнительной власти по защите прав субъектов персональных данных.

На основании раздела 5 данного Положения Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций осуществляет полномочия по государственному контролю и надзору за соответствием обработки персональных данных требованиям законодательства Российской Федерации в области персональных данных.

В соответствии с разделом 6 названного Положения Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций с целью реализации полномочий в установленной сфере ведения имеет право: запрашивать и получать в установленном порядке сведения, необходимые для принятия решений по вопросам, отнесенным к компетенции Службы; проводить необходимые расследования, испытания, экспертизы, анализы и оценки, а также научные исследования по вопросам, отнесенным к компетенции Службы; в порядке и случаях, которые установлены законодательством Российской Федерации, применять в установленной сфере ведения меры профилактического и пресекательного характера, направленные на недопущение нарушений юридическими лицами и гражданами обязательных требований в этой сфере и (или) ликвидацию последствий таких нарушений.

Приказом Министерства связи и массовых коммуникаций Российской Федерации от 14.11.2011 года №312 утвержден Административный регламент исполнения Федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций государственной функции по осуществлению государственного контроля (надзора) за соответствием обработки персональных данных требованиям законодательства Российской Федерации в области персональных данных. Данный Регламент определяет сроки и последовательность действий (административных процедур) Службы и ее территориальных органов, а также порядок взаимодействия с государственными органами, муниципальными органами, юридическими или физическими лицами, организующими и (или) осуществляющими обработку персональных данных, а также определяющими цели и содержание обработки персональных данных, в рамках проведения проверок при осуществлении государственной функции.

Согласно пунктам 6, 10-11, 28-32 Регламента Управление проводит проверки деятельности операторов на предмет соответствия требованиям законодательства Российской Федерации в области персональных данных, которые могут носить как плановый, так и внеплановый характер, в форме документарной или выездной проверки. Проверка завершается составлением и вручением Оператору акта проверки, выдачей Оператору предписаний об устранении выявленных нарушений требований законодательства Российской Федерации в области персональных данных.

Таким образом, учитывая, что проверка проведена административным органом на законных основаниях, предписание № от ДД.ММ.ГГГГ вынесено в рамках компетенции Управления Рокомнадзора по Новгородской области, обоснованность оспариваемых пунктов 1 и 2 предписания нашла свое подтверждения при рассмотрении дела, нарушений прав и законных интересов заявителя не усмотрено, то его заявление удовлетворению не подлежит.

Руководствуясь ст.ст. 194-199, 258 ГПК РФ, суд

Р Е Ш И Л:

Заявление Управления Федеральной службы Российской Федерации по контролю за оборотом наркотиков по Новгородской области об оспаривании пунктов 1 и 2 предписания Управления Роскомнадзора по Новгородской области от ДД.ММ.ГГГГ № оставить без удовлетворения.

Решение может быть обжаловано в Новгородский областной суд через Новгородский районный суд в течение одного месяца со дня составления мотивированного решения.

Председательствующий Т.А.Арзуманова

Мотивированное решение составлено 18 июля 2014 года.