Постановление Тринадцатого арбитражного апелляционного суда от 27 июля 2017 г. N 13АП-12966/17

ГАРАНТ:

Постановлением Арбитражного суда Северо-Западного округа от 21 ноября 2017 г. N Ф07-11732/17 настоящее постановление оставлено без изменения

г. Санкт-Петербург

27 июля 2017 г.

Дело N А42-342/2017

Резолютивная часть постановления объявлена 17 июля 2017 года.

Постановление изготовлено в полном объеме 27 июля 2017 года.

Тринадцатый арбитражный апелляционный суд

в составе:

председательствующего Толкунова В.М.

судей Зотеевой Л.В., Протас Н.И.,

при ведении протокола судебного заседания: секретарем Бурак К.Д.,

при участии:

от заявителя: Рыхлюк Д.А., по доверенности от 12.07.2017

от заинтересованного лица: не явился, извещен

рассмотрев в открытом судебном заседании апелляционные жалобы (регистрационный номер 13АП-12966/2017, 13АП-12968/2017) ГОУП "Учебно-спортивный центр" Комитета по физической культуре и спорту Мурманской области и Управления Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Мурманской области на решение Арбитражного суда Мурманской области от 03.04.2017 по делу N А42-342/2017 (судья Карачева А.Е.), принятое

по заявлению ГОУП "Учебно-спортивный центр" Комитета по физической культуре и спорту Мурманской области

к Управлению Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Мурманской области

об оспаривании предписания

установил:

Государственное областное унитарное предприятие "Учебно-спортивный центр" Комитета по физической культуре и спорту Мурманской области (ОГРН 1025100865855, ИНН 5192110050, место нахождения: 183038, г. Мурманск, ул. Челюскинцев, д. 2а, далее - заявитель, Предприятие, ГОУП "УСЦ", оператор) обратилось в Арбитражный суд Мурманской области с заявлением к Управлению Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Мурманской области (ОГРН 1045100175570, ИНН 5190128220, место нахождения: 183038, г. Мурманск, пер. Русанова, д. 10, далее - Управление, Роскомнадзор) о признании недействительным предписания N П-51/4/129-нд/-/1/40 от 28.10.2016.

Решением суда от 03.04.2017 заявленные требования удовлетворены.

Не согласившись с принятым решением, Управление направило апелляционную жалобу, в которой просит отменить решение и принять новый судебный акт - об отказе в удовлетворении заявленных требований. Управление указывает, что прямым запретом на указание в документе согласия на обработку персональных данных являются положения статей 8 и 9 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных" (далее - Закон N 152-ФЗ, Закон о персональных данных), указанное согласие не определяет конкретного срока действия согласия субъекта на обработку персональных данных, что при отсутствии его отзыва последним не позволит определить срок его действия. Кроме того, Управление считает, что копия пропуска содержит поле для размещения фотографии посетителя, допуская включение в них персональных данных, согласие в письменной форме на размещение которых Предприятием на момент проведения проверки не представлено.

ГОУП "УСЦ" в своей апелляционной жалобе просит изменить в части выводов суда по обработке биометрических персональных данных (фотографии) без письменного согласия субъекта персональных данных, указывая, что добровольно закрепленная посетителем бассейна фотография на бумажном носителе (на пропуск) не относится к биометрическим данным физического лица, поскольку Предприятие в краткосрочные период пребывания посетителя в чаще бассейна не осуществляет какую-либо цифровую или текстовую обработку фотографий, находящихся на пропусках.

В судебном заседании представитель Предприятия поддержал доводы своей апелляционной жалобы, против удовлетворения апелляционной жалобы Управления возразил по основаниям, изложенным в отзыве.

Управление извещено надлежащим образом, своего представителя в судебное заседание не направило, в связи с чем апелляционная жалоба рассмотрена в порядке части 3 статьи 156 и части 1 статьи 266 Арбитражного процессуального кодекса Российской Федерации (далее - АПК РФ) без участия представителей Управления.

В приобщении дополнительных и повторных доказательств, представленных Управлением в качестве приложений к отзыву на апелляционную жалобу Предприятия, отказано, поскольку не установлено уважительных причин непредставления в суд первой инстанции (часть 2 статьи 268 АПК РФ), а дублирование уже имеющихся в деле документов не допускается.

Законность и обоснованность обжалуемого судебного акта проверены в апелляционном порядке.

Как следует из материалов дела, на основании приказа N 129-нд от 23.09.2016 во исполнение Плана деятельности Управления на 2016 год, утвержденного руководителем Управления от 14.12.2015, размещенного на сайте сети "Интернет" http://51.rkn.gov.ru, должностными лицами Управления в период с 03.10.2016 по 28.10.2016 в целях контроля соответствия обработки персональных данных требованиям законодательства проведена плановая выездная проверка в отношении Предприятия (Оператора) по месту нахождения: Мурманская обл., г. Мурманск, ул. Челюскинцев, д. 2а.

В ходе проверки Управлением, в том числе, установлено, что Предприятие обрабатывает следующие категории персональных данных клиентов с их согласия: фамилия, имя, отчество, дата рождения; паспортные данные или данные иного документа, удостоверяющего личность (серия, номер, дата выдачи, наименование органа, выдавшего документ); адрес места жительства; номер телефона (мобильного или домашнего); данные пенсионного удостоверения; данные трудовой книжки; данные о состоянии здоровья (медицинская справка); данные подтверждающие статус; данные об учебном учреждении.

В результате проверки обработки Предприятием персональных данных Управлением установлено следующее:

- Предприятием представлено "Согласие на обработку персональных данных" от 25.08.2016 и от 10.10.2016, содержание которых не соответствует требованиям части 4 статьи 9 Закона N 152-ФЗ, а именно: не указан срок, в течение которого действует согласие субъекта персональных данных;

- в соответствии с Положением о порядке посещения плавательного бассейна для различных категорий населения в рамках Государственной программы Мурманской области "Развитие физической культуры и спорта" на 2014-2020 годы, утвержденного председателем Комитета по физической культуре и спорту Мурманской области 26.04.2016 (далее - Порядок посещения бассейна), лица, указанные в пунктах 3.1, 3.2, 3.3 настоящего Положения, предоставляют Предприятию "фотографию на пропуск", которая размещается Предприятием на документе "Пропуск" с целью использования Предприятием для установления личности субъекта персональных данных. Согласия в письменной форме субъекта персональных данных на обработку его биометрических персональных данных (фотографии) в ходе проверки Предприятием представлено не было. Таким образом, Предприятие обрабатывает биометрические персональные данные в отсутствие письменного согласия субъекта персональных данных, что является нарушением требований части 1 статьи 11 Закона N 152-ФЗ.

Результаты проверки отражены в акте N А-51/4/129- нд/153 от 28.10.2016, а также в Справке (сведения) о результатах осуществления государственного контроля и надзора за соответствием обработки персональных данных требованиям законодательства Российской Федерации в области персональных данных, являющейся приложением к указанному акту.

Предприятию для устранения выявленных нарушений выдано предписание N П-51/4/129-нд/-/1/40 от 28.10.2016, которым в срок до 09.12.2016 предписано устранить выявленные нарушения: требований части 4 статьи 9 Закона N 152-ФЗ по несоответствию содержания письменного согласия субъекта персональных данных на обработку персональных данных; требований части 1 статьи 11 Закона N 152-ФЗ по обработке биометрических персональных данных без письменного согласия субъекта персональных данных; об устранении выявленных нарушений сообщить в Роскомнадзор в срок не позднее 16.12.2016.

Полагая вынесенное Управлением предписание незаконным и нарушающим права и законные интересы Предприятия, последнее обратилось в арбитражный суд с настоящим заявлением.

Суд первой инстанции, сделав вывод об отсутствии доказательств вменяемых Предприятию нарушений, признал предписание недействительным и удовлетворил заявленные требования, между тем не учел следующего.

Отношения, связанные с обработкой персональных данных, осуществляемой федеральными органами государственной власти, органами государственной власти субъектов Российской Федерации, иными государственными органами, органами местного самоуправления, не входящими в систему органов местного самоуправления муниципальными органами, юридическими лицами, физическими лицами регулируются Законом N 152-ФЗ, целью которого является обеспечение защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну (статьи 1 и 2).

Согласно пункту 1 части 1 статьи 6 закона N 152-ФЗ обработка персональных данных должна осуществляться с соблюдением принципов и правил, предусмотренных настоящим Федеральным законом. Обработка персональных данных допускается, в случае если обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных.

В силу части 1 статьи 9 Закона N 152-ФЗ субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, информированным и сознательным. Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом.

Частью 4 статьи 9 Закона N 152-ФЗ определено, что в случаях, предусмотренных федеральным законом, обработка персональных данных осуществляется только с согласия в письменной форме субъекта персональных данных. Равнозначным содержащему собственноручную подпись субъекта персональных данных согласию в письменной форме на бумажном носителе признается согласие в форме электронного документа, подписанного в соответствии с федеральным законом электронной подписью. Согласие в письменной форме субъекта персональных данных на обработку его персональных данных должно включать в себя, в частности: срок, в течение которого действует согласие субъекта персональных данных, а также способ его отзыва, если иное не установлено федеральным законом (подпункт 8).

Из представленных согласий на обработку персональных данных от 25.08.2016 и от 10.10.2016 следует, что согласие вступает в силу со дня его подписания и действует в течение неопределенного срока и может быть отозвано на основании письменного заявления в произвольной форме.

Установив, что представленные заявителем в ходе проверки согласия на обработку персональных данных не содержат конкретного срока, в течение которого они действуют, Управление посчитало, что Предприятием нарушены требования подпункта 8 части 4 статьи 9 Закона N 152-ФЗ.

Вместе с тем вышеуказанная законодательная норма не предусматривает указания в согласии конкретного срока, в течение которого оно действует, предельный срок действия такого согласия так же не установлен законодателем. В рассматриваемом случае срок действия согласия определен началом его действия (со дня подписания) и заканчивается моментом востребования - письменным отзывом в произвольной форме. Кроме того, в приведенных согласиях посетителей указан конкретный способ отзыва этих согласий - посредством подачи письменного заявления. Таким образом, срок действия согласий субъектов персональных данных на их обработку в любом случае ограничен действием самого субъекта персональных данных по представлению письменного отзыва ранее данного им согласия, в связи с чем указанный срок можно квалифицировать сроком, определяющим момент востребования. Указанное не противоречит общим правилам определения сроков, установленных по аналогии закона гражданским законодательством (статья 190 Гражданского кодекса Российской Федерации).

Управление не учитывает, что указание точного срока действия согласия субъекта персональных данных на их обработку в привязке к конкретному временному периоду или календарной дате в данном случае невозможно, поскольку Предприятие, как оператор персональных данных, не в состоянии заранее с достоверностью определить временной промежуток, до какой календарной даты конкретный пользователь услуг плавательного бассейна будет фактически посещать бассейн и в какую дату пользователь таких услуг может прекратить таковое посещение по собственной инициативе. Между тем действием самого субъекта персональных данных по представлению письменного отзыва ранее данного им согласия его права не нарушаются.

В связи с вышеизложенным в части получения согласия на обработку персональных данных в отношении срока такого согласия нарушений Предприятием не допущено, выводы суда первой инстанции в этой части являются правильными.

По второму эпизоду суд первой инстанции согласился с позицией Роскомнадзора, что для осуществления обработки оператором фотографического изображения на пропуске с указанием фамилии имени и отчества, необходимо письменное согласие субъекта биометрических персональных данных.

Вместе с тем, признавая предписание недействительным, суд первой инстанции учел отсутствие фотографий клиентов на образцах пропуска, представленных Управлением, а также непредставление Управлением доказательств фактического представления фотографий клиентами и обработку фотографий оператором для установления личности субъекта биометрических персональных данных. На этом основании суд посчитал, что доказательств обработки Предприятием фотографий не собрано.

Между тем суд не учел следующее.

Согласно части 1 статьи 11 Закона N 152-ФЗ сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность (биометрические персональные данные) и которые используются оператором для установления личности субъекта персональных данных, могут обрабатываться только при наличии согласия в письменной форме субъекта персональных данных, за исключением случаев, предусмотренных частью 2 данной статьи.

Таким образом, нормами Закона N 152-ФЗ предусматривается обязательное письменное согласие субъекта персональных данных, при одновременном наличии следующих условий:

1) персональные данные являются биометрическими;

2) оператор персональных данных использует биометрические персональные данные для установления личности субъекта персональных данных.

Исходя из определения, данного Законом N 152-ФЗ, к биометрическим персональным данным относятся физиологические или биологические характеристики человека, в том числе изображение человека (фотография и видеозапись), которые позволяют установить его личность и используются оператором для установления личности субъекта.

За исключениями, предусмотренными статьей 152.1 Гражданского кодекса Российской Федерации, обнародование и дальнейшее использование изображения гражданина (в том числе его фотографии, а также видеозаписи или произведения изобразительного искусства, в которых он изображен) допускаются только с согласия этого гражданина.

Заявитель и суд первой инстанции не учли, что в соответствии части 3 статьи 3 Закона N 152-ФЗ обработка персональных данных - это любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

То есть, под обработкой персональных данных понимается любое действие (операция) или совокупность действий (операций), совершаемых и без использования средств автоматизации, включая сбор, использование, передачу (распространение, предоставление, доступ) персональных данных.

В данном случае пропуск с фотографией, характеризующей физиологические и биологические особенности человека (относящейся к биометрическим персональным данным), позволяет установить, принадлежит ли данному лицу предъявляемый пропуск, на основе которых можно установить его личность путем сравнения фото с лицом предъявителя пропуска и указываемых владельцем пропуска фамилии, имени и отчества. То есть, эти данные используются оператором для установления личности субъекта персональных данных в случае сомнения в том, что пропуск предъявляется его действительным владельцем, а потому он используется оператором для установления личности субъекта персональных данных и данная обработка должна осуществляться в строгом соответствии со статьей 11 Закона N 152-ФЗ.

Заявитель не отрицает, что не получал от посетителей письменное согласие на обработку фотографий.

При этом представитель заявителя пояснил, что по правилам посещения граждане приносят фотографии, которые остаются у заявителя для оформления пропуска (наклейки фотографии, заполнения персональных данных), затем готовый пропуск с фотографией выдается гражданину и каждый раз предъявляется при посещении бассейна.

Ссылка суда первой инстанции на недоказанность обработки Предприятием фотографий клиентов несостоятельна, поскольку заявитель не отрицал исполнение правил посещения бассейна в части оформления и применения пропусков с фотографиями, настаивая в суде на необязательности получения письменного согласия посетителя при использовании фотографии на бумажном пропуске. Однако в силу вышеизложенного обработка персональных данных в смысле Закона N 152-ФЗ в данной ситуации имелась, а форма выпуска пропуска (на бумаге) соблюдения рассмотренной обязанности не отменяет. Кроме того, формы (образцы) пропуска без фотографий представлены в ходе проверки Управлению самим заявителем.

Таким образом, в указанной выше части предписание не возлагает на заявителя незаконных обязанностей и ограничений.

На основании вышеизложенного решение суда в части признания недействительным предписания по нарушению обработки биометрических персональных данных (фотографии) без письменного согласия субъекта персональных данных подлежит отмене с принятием в этой части нового судебного акта - об отказе в удовлетворении заявления.

Нарушений норм процессуального права, влекущих в силу части 4 статьи 270 АПК РФ безусловную отмену судебного акта, не допущено.

Заявителю следует возвратить из федерального бюджета сумму государственной пошлины, излишне уплаченную при подаче апелляционной жалобы по данной категории дел.

На основании вышеизложенного и руководствуясь статьями 176, 269-271 Арбитражного процессуального кодекса Российской Федерации, Тринадцатый арбитражный апелляционный суд

постановил:

решение Арбитражного суда Мурманской области от 03.04.2017 по делу N А42-342/2017 в части признания недействительным предписания по нарушению обработки биометрических персональных данных (фотографии) без письменного согласия субъекта персональных данных отменить, в указанной части в удовлетворении заявленных требований отказать.

В остальной части решение суда оставить без изменения, апелляционные жалобы - без удовлетворения.

Возвратить государственному областному унитарному предприятию "Учебно-спортивный центр" Комитета по физической культуре и спорту Мурманской области из федерального бюджета 1 500 руб. государственной пошлины, излишне уплаченной при подаче апелляционной жалобы платежным поручением от 26.04.2017 N 545.

Постановление может быть обжаловано в Арбитражный суд Северо-Западного округа в срок, не превышающий двух месяцев со дня его принятия.

Председательствующий

В.М. Толкунов

Судьи

Л.В. Зотеева Н.И. Протас