9999
СПС «Право.ru» не несет ответственности за размещение персональных данных в текстах судебных актов. Подробнее
Комментарии
Российская Федерация
Российская Федерация
Девятый арбитражный апелляционный суд

Постановление от

По делу № А40-32030/2016
  1. Резолютивная часть постановления объявлена 25 июля 2016 года
  2. Постановление изготовлено в полном объеме 02 августа 2016 года
  3. Девятый арбитражный апелляционный суд в составе:
  4. председательствующего судьи Кочешковой М.В.
  5. судей:
  6. Мухина С.М., Румянцева П.В.,
  7. при ведении протокола
  8. секретарем судебного заседания Рясиной П.В.,
  9. рассмотрев в открытом судебном заседании апелляционную жалобу ООО «Скартел»
  10. на решение Арбитражного суда г.Москвы от 26.04.2016 по делу №А40-32030/2016 (145-275), принятое судьей Вигдорчиком Д.Г.,
  11. по заявлению» ООО «Скартел»
  12. к Управлению Роскомнадзора по ЦФО
  13. о признании недействительным и отмене предписания,
  14. при участии:
  15. от заявителя:
  16. Юсупова М.А. по дов. от 21.12.2015;
  17. от заинтересованного лица:
  18. Овраменко Д.Г. по дов. от 20.10.2016, Поляков Д.А. по дов. от 30.12.2015, Соломоненко В.А. по дов. от 30.12.2015;
  19. Установил:

  20. Общество с ограниченной ответственностью «Скартел» (далее – ООО «Скартел», Общество, Заявитель) обратилось в Арбитражный суд г. Москвы с заявлением к Управлению Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Центральному федеральному округу (далее – Роскомнадзор, Заинтересованное лицо) о признании недействительным и отмене предписания № П-77/07/1148-нд от 24.11.2015г.
  21. Решением Арбитражного суда города Москвы от 26.04.2016г. в удовлетворении требований ООО «Скартел» отказано.
  22. ООО «Скартел» обратилось с апелляционной жалобой, в которой просит решение суда отменить. По мнению Заявителя при вынесении обжалуемого решения судом первой инстанции неправильно применены нормы материального права, выводы суда не соответствуют обстоятельства дела.
  23. В судебном заседании представитель Общества поддержал доводы апелляционной жалобы, просил решение суда первой инстанции отменить.
  24. В судебном заседании представитель Заинтересованного лица с доводами апелляционной жалобы не согласился по основаниям, изложенным в отзыве на апелляционную жалобу, просит решение суда первой инстанции оставить без изменения.
  25. Рассмотрев дело в порядке статей 266, 268 Арбитражного процессуального кодекса Российской Федерации, изучив материалы дела, заслушав представителей сторон по делу, суд апелляционной инстанции не находит оснований для удовлетворения апелляционной жалобы и отмены или изменения решения арбитражного суда, принятого в соответствии с действующим законодательством Российской Федерации.
  26. Согласно части 1 статьи 198 АПК РФ граждане, организации и иные лица вправе обратиться в арбитражный суд с заявлением о признании недействительными ненормативных правовых актов, незаконными решений и действий (бездействия) государственных органов, если полагают, что оспариваемый ненормативный правовой акт, решение и действие (бездействие) не соответствуют закону или иному нормативному правовому акту и нарушают их права и законные интересы в сфере предпринимательской и иной экономической деятельности, незаконно возлагают на них какие-либо обязанности, создают иные препятствия для осуществления предпринимательской и иной экономической деятельности.
  27. В соответствии с частью 4 статьи 200 АПК РФ при рассмотрении дел об оспаривании ненормативных правовых актов, решений и действий (бездействия) государственных органов, органов местного самоуправления, иных органов, должностных лиц арбитражный суд в судебном заседании осуществляет проверку оспариваемого акта или его отдельных положений, оспариваемых решений и действий (бездействия) и устанавливает их соответствие закону или иному нормативному правовому акту, устанавливает наличие полномочий у органа или лица, которые приняли оспариваемый акт, решение или совершили оспариваемые действия (бездействие), а также устанавливает, нарушают ли оспариваемый акт, решение и действия (бездействие) права и законные интересы заявителя в сфере предпринимательской и иной экономической деятельности.
  28. Таким образом, в круг обстоятельств, подлежащих установлению при рассмотрении дел об оспаривании ненормативных актов, действий (бездействия) госорганов входят проверка соответствия оспариваемого акта закону или иному нормативному правовому акту, проверка факта нарушения оспариваемым актом действием (бездействием) прав и законных интересов заявителя, а также соблюдение срока на подачу заявления в суд.
  29. Исследовав материалы дела, суд апелляционной инстанции приходит к выводу, что, принимая оспариваемое решение, суд первой инстанции законно и обоснованно исходил из имеющихся в деле доказательств, спорным отношениям дана надлежащая правовая оценка, нормы материального права применены правильно.
  30. При этом согласно части 5 статьи 200 АПК РФ с учетом части 1 статьи 65 АПК РФ обязанность доказывания соответствия оспариваемого ненормативного правового акта закону или иному нормативному правовому акту, законности принятия оспариваемого решения, совершения оспариваемых действий (бездействия), наличия у органа или лица надлежащих полномочий на принятие оспариваемого акта, решения, совершение оспариваемых действий (бездействия), а также обстоятельств, послуживших основанием для принятия оспариваемого акта, решения, совершения оспариваемых действий (бездействия), возлагается на орган или лицо, которые приняли акт, решение или совершили действие (бездействие).
  31. В силу указанных норм и статьи 13 ГК РФ в круг обстоятельств, подлежащих установлению при рассмотрении дел об оспаривании ненормативных актов, действий (бездействия) госорганов входят проверка соответствия оспариваемого акта, действия (бездействия) закону или иному нормативному правовому акту, факта нарушения оспариваемым актом, действием (бездействием) прав и законных интересов заявителя, а также соблюдение срока на обращение с заявлением в суд.
  32. Принимая оспариваемое решение, суд первой инстанции, вопреки доводам апелляционной жалобы, полно и всесторонне исследовал имеющие значение для правильного рассмотрения дела обстоятельства, применил и истолковал нормы материального права, подлежащие применению, и на их основании сделал обоснованный вывод об отсутствии в настоящем споре совокупности необходимых условий для удовлетворения заявленных требований.
  33. Апелляционная коллегия поддерживает данный вывод суда первой инстанции исходя из следующего.
  34. Судом первой инстанции установлено, что в период с 02.10.2015г. по 24.11.2015г. сотрудниками Роскомнадзора на основании Приказа № 1148-нд от 09.09.2015г. проведена плановая выездная проверка ООО «Скартел».
  35. В ходе проведения проверки Управлением установлено, что между ООО «Скартел» и ООО «Айрон Маунтен СНГ» заключен договор № 11-1005 от 01.07.2011г., предметом которого является оказание услуг по хранению документов, а также услуги по архивированию и уничтожению документов. В рамках исполнения данного договора сети электросвязи не используются.
  36. В соответствии с пункта 1 Приложения № 1 к договору ООО «Айрон Маунтен СНГ» будет предоставлять клиенту услуги по хранению документов в Архивных коробах и носителей, а также прочие услуги, указанные в Прайс-листе. В Прайс-листе, в частности, указаны следующие услуги: хранение документов; расформирование папок-регистраторов, упаковка документов в архивную папку, составление описи документов; поиск Архивного короба, поиск дела, поиск на уровне документа, стандартная доставка, электронная доставка (факс, e-mail), - копирование хранимых документов из дел с брошюровкой копий; распечатка документов с электронного архива и брошюровка; сертифицированное уничтожение; опечатывание архивного короба; уничтожение ненужных данных; сканирование (с целью последующего размещения в архиве электронных копий документов); хранение в архиве электронных копий документов и иных файлов заказчика; предоставление доступа к архиву электронных копий документов; хранение медиа-носителей (поиск в хранилище, возврат в хранилище); архивная обработка документов (комплексное обследование состояния и наличия документов форда организации, экспертиза научной и практической ценности с полистным просмотром и отбором документов из дел, формирование дел, оформление дел и прочее); переплет, сшив документов, систематизация документов, упаковка в архивные короба, предоставление документов и материалов, находящихся в производстве, курьеру заказчика.
  37. Таким образом, во время оказания услуг по договору ООО «Айрон Маунтен СНГ» может получить доступ к персональным данным абонентов ООО «Скартел».
  38. По окончанию проверки административным органом составлен Акт проверки от 24.11.2015г. № А-77/11/1148-нд и вынесено Предписание от 24.11.2015г. № П-77/07/1148-нд об устранении выявленного нарушения.
  39. В соответствии с Предписанием Обществу предписано устранить следующие нарушения:
  40. 1) ООО «Скартел» посредством формы Анкеты кандидата для вакансии Специалиста по продажам и обслуживанию, размещенной и доступной по адресу http:www.yota.ru/corporate/jobs/-/vacancy/4412/#questionary в сети «Интернет» осуществляет сбор ПДн без согласия, что нарушает требования части 1 статьи 6 Федерального закона от 27.07.2006г. № 152-ФЗ «О персональных данных».
  41. Для устранения выявленного нарушения ООО «Скартел» необходимо прекратить осуществление обработки персональных данных без согласия на сайге и реализовать функции получения предварительного согласия кандидата, получаемого путем проставления соответствующей отметки в поле согласия до момента отправки анкеты ООО «Скартел».
  42. 2) ООО «Скартел» не обеспечило уничтожение персональных данных кандидатов на замещение вакантных должностей, содержащихся в резюме на электронной почте сотрудников ООО «Скартел», и срок, не превышающий тридцати дней с момента принятия решения о приеме либо отказе в приеме па работу, что нарушает требования ч.4 ст.21 Федерального закона от 27.07.2006г. № 152-ФЗ «О персональных данных».
  43. Для устранения выявленного нарушения ООО «Скартел» необходимо обеспечить уничтожение персональных данных кандидатов на замещение вакантных должностей, содержащихся в резюме на электронной почте сотрудников ООО«Скартел», в срок, не превышающий тридцати дней с момента принятия решения о приеме либо отказе в приеме на работу.
  44. 3) ООО «Скартел» получает резюме кандидатов па электронную почте своих сотрудников и раскрывает содержащиеся в них персональные данные третьим лицам без согласия кандидатов, что нарушает требования статьи 7 Федерального закона от 21.07.2006г. № 152-ФЗ «О персональных данных».
  45. Для устранения выявленного нарушения ООО «Скартел» необходимо прекратить раскрытие персональных данных кандидатов третьим лицам без их согласия.
  46. 4) ООО «Скартел», осуществляя передачу персональных данных работников третьим лицам, использует типовую письменную форму согласия на обработку персональных данных работника, предусматривающую наличие нескольких целей обработки персональных данных, что нарушает требования пункта 4 части 4 статьи 9 Федерального закона от 27.07.2006г. № 152-ФЗ «О персональных данных».
  47. Для устранения выявленного нарушения ООО «Скартел» необходимо разработать и использовать типовую письменную форму согласия на обработку персональных данных работника, предусматривающую наличие одной цели обработки в случае передачи персональных данных работников третьим лицам.
  48. 5) ООО «Скартел», осуществляя передачу персональных данных работников третьим липам, использует типовую письменную форму согласия на обработку персональных данных работника, не предусматривающую указание наименования лица, осуществляющего обработку персональных данных по поручению ООО «Скартел» в части обработки персональных данных работников в рамках кадрового и бухгалтерского учета, что нарушает требования пункта 6 части 4 статьи 9 Федерального закона от 27.07.2006г. № 152-ФЗ «О персональных данных».
  49. Для устранения выявленного нарушения ООО «Скартел» необходимо разработать и использовать типовую письменную форму согласия на обработку персональных данных работника, предусматривающую указание наименования лица, осуществляющего обработку персональных данных по поручению ООО «Скартел».
  50. 6) ООО «Скартел» осуществляет включение в общедоступный источник Yammer персональных данных работников в отсутствие письменного согласия работников, что нарушает требования части 1 статьи 8 Федерального закона от 27.07.2006г. № 152-ФЗ «О персональных данных».
  51. Для устранения выявленного нарушения ООО «Скартел» необходимо разработать и использовать типовую форму письменного согласия субъекта персональных данных на включение его персональных данных в Yammer.
  52. 7) Оператор осуществляет трансграничную передачу персональных данных работников на территорию США в отсутствие согласия в письменной форме работников на трансграничную передачу их персональных данных, что нарушает положения пункт 1 части 4 статьи 12 Федерального закона от 27.07.2006г. № 152-ФЗ «О персональных данных».
  53. Для устранения выявленного нарушения ООО «Скартел» необходимо разработать и использовать типовую форму письменного согласия субъекта ПДн на осуществление трансграничной передачи персональных данных па территорию США.
  54. 8) ООО «Скартел» поручает ООО «Айрон Маунтен» хранение персональных данных абонентов без их согласия, что нарушает требования части 3 статьи 6 Федерального закона от 27.07.2006г. № 152-ФЗ «О персональных данных».
  55. Для устранения выявленного нарушения ООО «Скартел» необходимо обеспечить получение согласий абонентов на поручение храпения их персональных данных в ООО «Айрон Маунтен».
  56. 9) ООО «Скартел» осуществляет раскрытие персональных данных клиентов, содержащихся в Заявлениях о переносе абонентского номера ООО «Лирой Маунтен» без их согласия, чем нарушает требования статьи 7 Федерального закона от 27.07.2006г. № 152-ФЗ «О персональных данных».
  57. Для устранения выявленного нарушения ООО «Скартел» необходимо прекратить раскрытие персональных данных клиентов, содержащихся в Заявлениях о переносе абонентского номера третьим лицам, без их согласия в ООО «Айрон Маунтен».
  58. Не согласившись с указанным Предписанием, Заявитель обратился в арбитражный суд с заявлением.
  59. Суд первой инстанции, отказывая ООО «Скартел» в удовлетворении заявления, обоснованно исходил из следующего.
  60. В соответствии с Положением о Федеральной службе по надзору в сфере связи, информационных технологий и массовых коммуникаций, утвержденного Постановлением Правительства РФ от 16 марта 2009 г. № 228, Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) является федеральным органом исполнительной власти, осуществляющим функции по контролю и надзору в сфере средств массовой информации, в том числе электронных, и массовых коммуникаций, информационных технологий и связи, функции по контролю и надзору за соответствием обработки персональных данных требованиям законодательства Российской Федерации в области персональных данных, а также функции по организации деятельности радиочастотной службы.
  61. Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций является уполномоченным федеральным органом исполнительной власти по защите прав субъектов персональных данных.
  62. В соответствии с п. 6.1 Административного регламента исполнения Федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций государственной функции по осуществлению государственного контроля (надзора) за соответствием обработки персональных данных требованиям законодательства Российской Федерации в области персональных данных утв. Приказом Минкомсвязи России от 14.11.2011г. № 312 должностные лица Службы или ее территориального органа при проведении проверок вправе в пределах своей компетенции выдавать обязательные для выполнения предписания об устранении выявленных нарушений в области персональных данных.
  63. Выявленные в ходе проверки нарушения регулируются Федеральным законом от 27.07.2006г. № 152-ФЗ «О персональных данных» (Закон № 152-ФЗ, Закон о персональных данных). Настоящим Федеральным законом регулируются отношения, связанные с обработкой персональных данных, осуществляемой федеральными органами государственной власти, органами государственной власти субъектов Российской Федерации, иными государственными органами (далее - государственные органы), органами местного самоуправления, иными муниципальными органами (далее - муниципальные органы), юридическими лицами и физическими лицами с использованием средств автоматизации, в том числе в информационно- телекоммуникационных сетях, или без использования таких средств, если обработка персональных данных без использования таких средств соответствует характеру действий (операций), совершаемых с персональными данными с использованием средств автоматизации, то есть позволяет осуществлять в соответствии с заданным алгоритмом поиск персональных данных, зафиксированных на материальном носителе и содержащихся в картотеках или иных систематизированных собраниях персональных данных, и (или) доступ к таким персональным данным.
  64. В силу статьи 6 Закона № 152-ФЗ обработка персональных данных должна осуществляться с соблюдением принципов и правил, предусмотренных настоящим Федеральным законом.
  65. Оператор вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора, в том числе государственного или муниципального контракта, либо путем принятия государственным или муниципальным органом соответствующего акта (далее - поручение оператора). Лицо, осуществляющее обработку персональных данных по поручению оператора, обязано соблюдать принципы и правила обработки персональных данных, предусмотренные настоящим Федеральным законом. В поручении оператора должны быть определены перечень действий (операций) с персональными данными, которые будут совершаться лицом, осуществляющим обработку персональных данных, и цели обработки, должна быть установлена обязанность такого лица соблюдать конфиденциальность персональных данных и обеспечивать безопасность персональных данных при их обработке, а также должны быть указаны требования к защите обрабатываемых персональных данных в соответствии со статьей 19 настоящего Федерального закона.
  66. В силу статьи 7 Закона № 152-ФЗ операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.
  67. В соответствии с положениями статьи 9 Закона № 152-ФЗ субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, информированным и сознательным.
  68. В случаях, предусмотренных федеральным законом, обработка персональных данных осуществляется только с согласия в письменной форме субъекта персональных данных. Согласие в письменной форме субъекта персональных данных на обработку его персональных данных должно включать в себя, в частности цель обработки персональных данных (пункт 4 части 4 статьи 9 Закона).
  69. В силу пункта 1 части 4 статьи 12 Закона № 152-ФЗ трансграничная передача персональных данных на территории иностранных государств, не обеспечивающих адекватной защиты прав субъектов персональных данных, может осуществляться в случаях наличия согласия в письменной форме субъекта персональных данных на трансграничную передачу его персональных данных.
  70. В силу части 4 статьи 21 Закона № 152-ФЗ в случае достижения цели обработки персональных данных оператор обязан прекратить обработку персональных данных или обеспечить ее прекращение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) и уничтожить персональные данные или обеспечить их уничтожение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) в срок, не превышающий тридцати дней с даты достижения цели обработки персональных данных, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, иным соглашением между оператором и субъектом персональных данных либо если оператор не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных настоящим Федеральным законом или другими федеральными законами.
  71. Как следует из материалов дела, ООО «Скартел», рассмотрев акт проверки от 24.11.2015г. № А-77/11/1148-нд и предписание об устранении выявленного нарушения от 24.11.2015 № П-77/07/1148-нд, направило в адрес Управления письмо от 09.12.2015г. № 09122015/1 за вх. от 17.12.2015 № 35554/77, которым сообщило, что ряд нарушений, указанных в обжалуемом предписании (под номерами 1-3, 7), Обществом признаются; Обществом указано, что нарушения будут устранены в срок не позднее 24.05.2016г.
  72. В заявлении, поданном в суд, Общество указывает на факт устранения нарушений, предусмотренных пунктами 1-3, 7 обжалуемого Предписания.
  73. При этом судом первой инстанции правильно указал, что устранение выявленных нарушений после их выявления не может служить основанием для отмены обжалуемого акта.
  74. Довод Заявителя по пункту 4 Предписания, об отсутствии оснований для получения нескольких согласий на обработку персональных данных, суд учитывает следующее.
  75. В соответствии с частью 4 статьи 9 Закона № 152-ФЗ в случаях, предусмотренных федеральным законом, обработка персональных данных осуществляется только с согласия в письменной форме субъекта персональных данных. Равнозначным содержащему собственноручную подпись субъекта персональных данных согласию в письменной форме на бумажном носителе признается согласие в форме электронного документа, подписанного в соответствии с федеральным законом электронной подписью. Согласие в письменной форме субъекта персональных данных на обработку его персональных данных должно включать в себя, в частности: фамилию, имя, отчество, адрес субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе; фамилию, имя, отчество, адрес представителя субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе, реквизиты доверенности или иного документа, подтверждающего полномочия этого представителя (при получении согласия от представителя субъекта персональных данных); наименование или фамилию, имя, отчество и адрес оператора, получающего согласие субъекта персональных данных; цель обработки персональных данных; перечень персональных данных, на обработку которых дается согласие субъекта персональных данных; наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка будет поручена такому лицу; перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых оператором способов обработки персональных данных; срок, в течение которого действует согласие субъекта персональных данных, а также способ его отзыва, если иное не установлено федеральным законом; подпись субъекта персональных данных.
  76. Из материалов дела следует, что Общество в своей деятельности использует согласие в письменной форме работника Общества: «согласие на обработку персональных данных работника».
  77. В силу положений статьи 88 Трудового Кодекса РФ при передаче персональных данных работника работодатель должен соблюдать в том числе следующие требования: не сообщать персональные данные работника третьей стороне без письменного согласия работника, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью работника, а также в других случаях, предусмотренных настоящим Кодексом или иными федеральными законами; не сообщать персональные данные работника в коммерческих целях без его письменного согласия;
  78. Таким образом, если цели обработки персональных данных выходят за рамки ТК РФ, для каждого случая передачи ПДн работников третьим лицам необходимо получать отдельное письменное согласие работника.
  79. Судом первой инстанции учитено, что во время оказания услуг по договору № 11-005 от 01.07.2011г. ООО «Айрон Маунтен СНГ» может получить доступ к персональным данным абонентов ООО «Скартел». Сведения об абоненте, передаваемые в ООО «Айрон Маунтен СНГ» с целью хранения, архивирования, обработки и уничтожения не относятся к предмету исполнения договора об оказании услуг связи.
  80. Информация, получаемая ООО «Айрон Маунтен СНГ» от оператора связи, позволяет прямо (или косвенно) идентифицировать пользователя как определенное физическое лицо (субъект персональных данных).
  81. Таким образом, при передаче сведений об абонентах в ООО «Айрон Маунтен СНГ» оператору связи ООО «Скартел» необходимо получение согласия от абонентов в письменной форме.
  82. В ходе проведения внеплановой выездной проверки согласия абонентов на передачу сведений о них и на иную обработку их персональных данных ООО «Айрон Маунтен СНГ» в письменной форме ООО «Скартел» в Управление не представлено.
  83. В связи с изложенным, суд приходит к выводу, что доводы заявителя о не Доводы общества о том, что п. 5 Предписания не обоснован, в связи с тем, что Типовая форма, разработанная обществом соответствует требованиям действующего законодательства, также подлежат отклонению.
  84. Суд учитывает, что передача ПДн работников относится к особому случаю, предусмотренному статьей 88 ТК РФ, при котором обработка персональных данных осуществляется только с согласия в письменной форме субъекта ПДн. В соответствии с пунктом 6 части 4 статьи 9 Закона № 152-ФЗ согласие в письменной форме субъекта персональных данных на обработку его персональных данных должно включать в себя, в частности наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка будет поручена такому лицу.
  85. Таким образом, доводы ООО «Скартел» о том, что Обществом разработан некий перечень контрагентов, которым может быть поручена обработка персональных данных, является необоснованным и не соответствующим требованиям статьи 9 Закона о персональных данных.
  86. Доводы о необоснованности пункта 6 Предписания в связи с отсутствием в действиях общества нарушений положений части 1 статьи 8 Закона № 152-ФЗ правомерно отклонены судом первой инстанции по следующим основаниям.
  87. В силу части1 статьи 8 Закона № 152-ФЗ в целях информационного обеспечения могут создаваться общедоступные источники персональных данных (в том числе справочники, адресные книги). В общедоступные источники персональных данных с письменного согласия субъекта персональных данных могут включаться его фамилия, имя, отчество, год и место рождения, адрес, абонентский номер, сведения о профессии и иные персональные данные, сообщаемые субъектом персональных данных.
  88. В ходе проверки ООО «Скартел» представлена информация относительно организации обществом осуществления обработки ПДн работников в целях информационного обеспечения посредством использования общедоступного источника ПДн работников - Yammer.
  89. В соответствии с пояснениями Общества, им осуществляется трансграничная передача ПДн своих работников на территорию Нидерландов в рамках использования «облачного» сервиса компании Microsoft - Office 365, в том числе корпоративной социальной сети Yammer.
  90. Таким образом, именно Обществом организовано использование для своих работников корпоративной социальной сети Yammer, тем самым организована обработка ПДн работников в Yammer, что подтверждается получением Обществом письменных согласий от работников.
  91. Общедоступный источник ПДн - Yammer, создан (развернут облачный сервис) Обществом в целях информационного обеспечения. В связи с чем Обществу необходимо получение в силу части 1 статьи 8 Закона письменного согласия субъекта персональных данных на включение его ПДн в Yammer.
  92. При этом ссылка Общества на наличие письменного согласия не правомерна, поскольку согласие не соответствует требованиям части 4 статьи 9 Закона о персональных данных, о чем указано выше.
  93. По нарушениям, изложенным в пункте 8 Предписания судом первой инстанции установлено следующее.
  94. Заявителем указано, что персональные данные ООО «Скартел» передавались в ООО «Айрон Маунтен» в соответствии с Федеральным законом от 22.10.2004г. № 125-ФЗ «Об архивном деле Российской Федерации», в связи с чем Закон о персональных данных не распространяется на указанные правоотношения.
  95. В соответствии с частью 2 статьи 1 Закона о персональных данных действие настоящего указанного закона не распространяется на отношения, возникающие при организации хранения, комплектования, учета и использования содержащих персональные данные документов Архивного фонда Российской Федерации и других архивных документов в соответствии с законодательством об архивном деле в Российской Федерации.
  96. Вместе с тем, отношения, которые сложились между ООО «Скартел» и ООО «Айрон Маунтен СНГ» не регулируются законодательством в сфере организации хранения, комплектования, учета и использования документов Архивного фонда Российской Федерации и других архивных документов, поскольку на хранение передаются документы (в том числе абонентские договоры), не закрытые делом.
  97. ООО «Айрон Маунтен СНГ» оказывает услуги по хранению всех документов, а не только тех, которые исполнены (прекратили свое действие, расторгнуты и т.д.). ООО «Скартел» передает в ООО «Айрон Маунтен СНГ» договоры об оказании услуг связи (и иные документы) не после того, как они прекратили свое действие, а после заключения, в момент их исполнения.
  98. До закрытия исполненного документа и передачи его на архивное хранение на отношения по передаче данного документа распространяется действие законодательства о защите прав субъектов персональных данных, в случае, если в нем содержатся сведения, подлежащие защите в соответствии с требованиями законодательства о персональных данных и законодательства о связи, в части соблюдения тайны связи и порядка предоставления сведений об абонентах третьим лицам.
  99. Таким образом, передача всех документов, в том числе абонентских договоров, до закрытия соответствующего дела (до прекращения действия договора) должна осуществляться, в том числе, в соответствии с требованиями законодательства о персональных данных и законодательства о связи.
  100. Указанные обстоятельства подтверждаются условиями заключенного между ООО «Скартел» и ООО «Айрон Маунтен СНГ» договора № 11-1005 от 01.07.2011г., в соответствии с которым предметом Договора является оказание услуг по хранению документов, а также услуги по архивированию и уничтожению документов.
  101. ООО «Скартел» в рамках данного договора передает документы, касающиеся деятельности организации, в том числе договоры об оказании услуг связи, заключаемые с абонентами - физическими лицами.
  102. В соответствии со статьей 53 Федерального закона от 07.07.2003 № 126-ФЗ «О связи» (Закон о связи) сведения об абонентах и оказываемых им услугах связи, ставшие известными операторам связи в силу исполнения договора об оказании услуг связи, являются информацией ограниченного доступа и подлежат защите в соответствии с законодательством Российской Федерации. В настоящем случае, указанные отношения регулируются Законом о персональных данных.
  103. Доводы Заявителя об отсутствии нарушений им положений статьи 7 Закона № 152-ФЗ, изложенных в пункте 9 Предписания судом первой инстанции отклонены по следующим основаниям.
  104. Заявитель указывает, что между Обществом и ООО «Айрон Маунтен СНГ» также действует соглашение о конфиденциальности, в соответствии с которым последнее обязалось соблюдать конфиденциальность всех полученных от Заявителя данных.
  105. Однако указанное соглашение не может служить основанием для освобождения общества от соблюдения норм и правил, установленных Законом № 152-ФЗ.
  106. Так, оператором при заключении Договора (Правила оказания услуг связи Оператора) предусмотрена возможность переноса абонентского номера.
  107. В ходе проверки Общества административным органом получена копия Заявления о переносе абонентского номера от 14.10.2015г., подписанная клиентом. По результатам анализа представленного Заявления о переносе абонентского номера административным органом установлено следующее.
  108. Посредством заявления Оператор осуществляет сбор ПДн в объеме: ФИО, паспортные данные (серия, номер, кем выдан), адрес регистрации, контактный телефон, email.
  109. Подписывая заявление, клиент дает свое согласие на обработку указанных в заявлении его ПДн Оператору, в том числе их передачу третьим лицам и обработку третьим лицам, при переносе абонентского номера.
  110. Подписанное заявление Оператор передает на хранение в ООО «Айрон Маунтен СНГ» на основании договора от 01 июля 2011 года №11-1005.
  111. Передача ПДн на хранение предусмотрена пунктом 4.7 Положения об обработке и защите персональных данных (Приложение № 1 Приказу № 17-Sc-П09-02/15 от 02 сентября 2015г), согласно которому хранение ПДн, обрабатываемых без использования средств автоматизации, поручается третьим лицам на основании заключенных договоров и «Блок-схемой сбора и последующей передачи ПДн абонентов Общества», представленной Оператором в ходе проверки.
  112. Персональные данные, которые собираются ООО «Скартел» посредством «Заявления о переносе абонентского номера», относятся в соответствии с частью 1 статьи 53 Закона о связи к сведениям об абоненте, в связи с чем, оператор связи может поручить их обработку без согласия абонента третьему лицу только в целях заключения и (или) исполнения договора об оказании услуг связи, стороной которого является абонент-гражданин.
  113. При этом поручение на хранение и архивирование данных не относятся к случаям указанным в части 1 статьи 53 Закона о связи, предусматривающим передачу данных абонентов третьим лицам в целях заключения и (или) исполнения договора об оказании услуг связи.
  114. В связи с чем, оператор связи в силу положений части 1 статьи 53 Закона о связи обязан предоставить доказательство получения согласия абонента-гражданина на предоставление сведений о нем третьим лицам.
  115. По результатам анализа пунктов 2 и 2.5. «Заявления о переносе абонентского номера», административном органом установлено следующее.
  116. Так, в из пункта 2.2. следует, что настоящим заявлением выражаю свое согласие на обработку моих персональных данных, указанных в настоящем Заявлении, оператором ООО «Скартел», в том числе их передачу третьим лицам и обработку третьими лицами, при переносе абонентского номера.
  117. Таким образом, установлено, что у ООО «Скартел» согласие абонента на поручение обработки его персональных данных таким видом обработки, как хранение в ООО «Айрон Маунтен СНГ», отсутствует.
  118. Следовательно, ООО «Скартел» в отсутствие согласия абонента поручило хранение его ПДн другому лицу (ООО «Айрон Маунтен СНГ»), тем самым раскрыло ПДн своих абонентов при передачи их на хранение, предусматривающее сканирование и создание электронного архива в ООО «Айрон Маунтен СНГ» (договор № 11-1005).
  119. В соответствии с частью 2 статьи 5 Закона 152-ФЗ обработка ПДн должна ограничиваться достижением конкретных, заранее определенных и законных целей. Не допускается обработка ПДн, несовместимая с целями сбора ПДн.
  120. Таким образом, суд первой инстанции правомерно поддержал выводы административного органа о наличии в действиях Общества нарушений требования части 3 статьи 6 Закона 152-ФЗ в части поручения хранения ПДн клиентов другому лицу без его согласия, а также требований статьи 7 Закона, в части раскрытия ПДн клиентов третьим лицам без их согласия.
  121. Нарушений при назначении и проведении проверки Заинтересованное лицо не допустило. Федеральный закон от 26.12.2008г. № 294-ФЗ «О защите прав юридических лиц и индивидуальных предпринимателей при осуществлении государственного контроля (надзора) и муниципального контроля», устанавливающий порядок организации и проведения проверок, не применяются при осуществлении контроль и надзор за обработкой персональных данных.
  122. Учитывая изложенные обстоятельства, суд первой инстанции пришёл к правильному выводу о том, что оспариваемое Заявителем Предписание предписания № П-77/07/1148-нд от 24.11.2015г. является законным и обоснованным.
  123. Апелляционной инстанцией рассмотрены все доводы апелляционной жалобы, однако они не опровергают выводы суда, положенные в основу решения, и не могут служить основанием для отмены решения и удовлетворения апелляционной жалобы.
  124. Обстоятельства по делу судом первой инстанции установлены полно и правильно, им дана надлежащая правовая оценка.
  125. Нарушений норм процессуального права, которые привели к принятию неправильного решения, судом первой инстанции не допущено. Основания для отмены решения суда отсутствуют.
  126. руководствуясь ст.ст. 266, 268, 269, 271 Арбитражного процессуального кодекса Российской Федерации,
  127. Постановил:

  128. решение Арбитражного суда г.Москвы от 26.04.2016 по делу №А40-32030/2016 оставить без изменения, апелляционную жалобу – без удовлетворения.
  129. Постановление вступает в законную силу со дня его принятия и может быть обжаловано в течение двух месяцев со дня изготовления постановления в полном объеме в Арбитражный суд Московского округа.
  130. Председательствующий судья: М.В. Кочешкова
  131. Судьи: С.М. Мухин
  132. П.В. Румянцев
  133. Телефон справочной службы суда – 8 (495) 987-28-00.

Печать

Печатать