Постановление Федерального арбитражного суда Северо-Кавказского округа от 27 апреля 2011 г. по делу N А32-12882/2010

Резолютивная часть постановления объявлена 26 апреля 2011 г.

Постановление изготовлено в полном объеме 27 апреля 2011 г.

Федеральный арбитражный суд Северо-Кавказского округа в составе председательствующего Мацко Ю.В., судей Калашниковой М.Г. и Прокофьевой Т.В., при участии в судебном заседании от заявителя - закрытого акционерного общества "СевКазТИСИЗ" (ИНН 2308060750, ОГРН 1022301190581) - Костылева А.Н. (доверенность от 11.01.2011), от заинтересованного лица - Управления Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Краснодарскому краю и Республике Адыгея (ИНН 2312112955, ОГРН 1042307165966) -Рахвалова А.Ю. (доверенность 11.01.2011), рассмотрев кассационную жалобу закрытого акционерного общества "СевКазТИСИЗ" на решение Арбитражного суда Краснодарского края от 10 декабря 2010 года (судья Гречка Е.А.) и постановление Пятнадцатого арбитражного апелляционного суда от 21 февраля 2011 года (судьи Захарова Л.А., Золотухина С.И., Ткаченко Т.И.) по делу N А32-12882/2010, установил следующее.

ЗАО "СевКазТИСИЗ" (далее - общество) обратилось в Арбитражный суд Краснодарского края с заявлением о признании недействительными предписаний Управления Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Краснодарскому краю и Республике Адыгея (далее - управление) от 23.04.2010 N П-23-19/00033, П-23-19/00034, П-23-19/00035, П-23-19/00036 и П-23-19/00037.

Решением суда от 10 декабря 2010 года, оставленным без изменения постановлением суда апелляционной инстанции от 21 февраля 2011 года, в удовлетворении заявленных требований отказано. Суд пришел к выводу о законности выданных управлением предписаний об устранении обществом нарушений Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных" (далее - Закон N 152-ФЗ).

Общество обратилось в Федеральный арбитражный суд Северо-Кавказского округа с кассационной жалобой, в которой просит отменить принятые по делу судебные акты и удовлетворить заявленные требования. В обоснование кассационной жалобы общество указывает на незаконность выданных управлением предписаний, поскольку общество имеет право осуществлять обработку персональных данных своих работников без их согласия.

В отзыве на кассационную жалобу управление просит принятые по делу судебные акты оставить без изменения.

В судебном заседании представители общества и управления поддержали доводы жалобы и отзыва.

Изучив материалы дела, доводы кассационной жалобы и отзыва, выслушав представителей лиц, участвующих в деле, Федеральный арбитражный суд Северо-Кавказского округа считает, что кассационная жалоба не подлежит удовлетворению по следующим основаниям.

Как видно из материалов дела, в соответствии с приказом от 22.03.2010 N 303 управлением проведена плановая проверка общества. В ходе проверки управлением установлено, что в нарушение положений Закона N 152-ФЗ обществом представлено в управление уведомление об обработке персональных данных, содержащее неполные сведения; общество осуществляет передачу персональных данных работников без их письменного согласия; в договоре об оказании услуг по организации расчетов от 02.04.2009 N ZD 090407, заключенного между обществом и ОАО АКБ "УРАЛСИБ-ЮГ БАНК" и предусматривающего передачу банку персональных данных работников, отсутствует существенное условие об обеспечении конфиденциальности и безопасности персональных данных при их обработке; в согласии работника Шугайло А.Л. от 01.04.2010 на обработку его персональных данных отсутствует цель обработки персональных данных и порядок отзыва согласия; общество осуществляет обработку специальной категории персональных данных (состояние здоровья). По результатам проверки составлен акт от 08.04.2010 N 23-ПД-19/00024 и выданы предписания от 23.04.2010 N П-23-19/00033, П-23-19/00034, П-23-19/00035, П-23-19/00036 и П-23-19/00037 об устранении выявленных нарушений в срок до 24.05.2010.

Общество, не согласившись с выданными управлением предписаниями, обратилось в арбитражный суд.

Согласно пункту 2 статьи 3 Закона N 152-ФЗ, оператором персональных данных является государственный орган, муниципальный орган, юридическое или физическое лицо, организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели и содержание обработки персональных данных.

Статьей 7 Закона N 152-ФЗ предусмотрено, что операторами и третьими лицами, получающими доступ к персональным данным, должна обеспечиваться конфиденциальность таких данных. Из пункта 1 статьи 22 Закона N 152-ФЗ следует, что оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных частью 2 данной статьи. Частью 3 статьи 22 Закона N 152-ФЗ предусмотрено, что уведомление должно быть направлено в письменной форме и подписано уполномоченным лицом или направлено в электронной форме и подписано электронной цифровой подписью в соответствии с законодательством Российской Федерации. Уведомление должно содержать наименование (фамилия, имя, отчество), адрес оператора; цель обработки персональных данных; категории персональных данных; категории субъектов, персональные данные которых обрабатываются; правовое основание обработки персональных данных; перечень действий с персональными данными, общее описание используемых оператором способов обработки персональных данных; описание мер, которые оператор обязуется осуществлять при обработке персональных данных, по обеспечению безопасности персональных данных при их обработке; дата начала обработки персональных данных.

Согласно части 2 статьи 22 Закона N 152-ФЗ оператор вправе осуществлять без уведомления уполномоченного органа по защите прав субъектов персональных данных обработку персональных данных относящихся к субъектам персональных данных, которых связывают с оператором трудовые отношения.

Из материалов дела следует, что основанием выдачи управлением предписаний от 23.04.2010 N П-23-19/00033 и П-23-19/00037 послужило отсутствие в представленном в управление уведомлении об обработке персональных данных специальной категории персональных данных - состояния здоровья (справка предварительного медицинского осмотра Быковченко Р.А.), обработка (сбор и хранение) которой осуществляется обществом без согласия работника. Данные обстоятельства обществом не оспариваются. Вместе с тем в кассационной жалобе общество со ссылкой на часть 2 статьи 22 Закона N 152-ФЗ указывает, что оно имело право на обработку персональных данных без уведомления уполномоченного органа по защите прав субъектов персональных данных, поскольку Быковченко Р.А. находится с ним в трудовых отношениях.

Данные доводы были предметом рассмотрения суда апелляционной инстанции и правомерно отклонены. Согласно части 1 статьи 10 Закона N 152-ФЗ обработка специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, не допускается, за исключением случаев, предусмотренных частью 2 данной статьи.

Частью 2 статьи 10 Закона 152-ФЗ предусмотрено, обработка специальных категорий персональных данных допускается в случаях, если субъект персональных данных дал согласие в письменной форме на обработку своих персональных данных.

Суд установил, что полученное обществом от Быковченко Р.А. письменное согласие на обработку персональных данных не предусматривает возможность обработки специальной категории персональных данных (о состоянии здоровья). Кроме того, справка предварительного медицинского осмотра Быковченко Р.А. была получена обществом до заключения с ним трудового договора.

При таких обстоятельствах суды пришли к обоснованному выводу о законности выданных обществу предписаний от 23.04.2010 N П-23-19/00033 и П-23-19/00037.

Согласно части 4 статьи 9 Закона N 152-ФЗ письменное согласие субъекта персональных данных на обработку своих персональных данных должно включать в себя: фамилию, имя, отчество, адрес субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе; наименование (фамилию, имя, отчество) и адрес оператора, получающего согласие субъекта персональных данных; цель обработки персональных данных; перечень персональных данных, на обработку которых дается согласие субъекта персональных данных; перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых оператором способов обработки персональных данных; срок, в течение которого действует согласие, а также порядок его отзыва; собственноручную подпись субъекта персональных данных.

Суд установил, материалами дела подтверждено и самим обществом не оспаривается, что в письменном согласии работника Шугайло А.Л. от 01.04.2010 на обработку его персональных данных отсутствует цель обработки персональных данных и порядок отзыва согласия, что является нарушением положений части 4 статьи 9 Закона N 152-ФЗ к его содержанию. При таких обстоятельствах суд пришел к обоснованному выводу о законности выданного обществу предписания от 23.04.2010 N П-23-19/00036.

Согласно части 4 статьи 6 и 7 Закона N 152-ФЗ в случае, если оператор (лицо, организующее обработку персональных данных, а также определяющее цели и содержание обработки) на основании договора поручает обработку персональных данных другому лицу, существенным условием договора является обязанность обеспечения указанным лицом конфиденциальности персональных данных и безопасности персональных данных при их обработке.

Из материалов дела следует, что общество и ОАО АКБ "УРАЛСИБ-ЮГ БАНК" заключили договор об оказании услуг по организации расчетов от 02.04.2009 N ZD 09-04-07. В соответствии с пунктом 2 Приложения N 1 договора общество предоставляет в банк реестр на открытие картсчетов и реестр на зачисление заработной платы, с указанием паспортных данных работников (фамилия, имя, отчество, дата и место рождения, серия и номер паспорта, кем и когда выдан, место выдачи, код подразделения, полный адрес места регистрации).

В соответствии с договором на осуществление бухгалтерского и юридического сопровождения" от 31.08.2009 N 02 общество передает в ООО "Маковецкий и Партнеры" личные карточки учета и трудовые книжки работников, содержащие персональные данные (пункт 1.3.28 дополнительного соглашения к договору). При этом в нарушение части 1 статьи 6 Закона N 152-ФЗ передача данным организациям персональных данных работников осуществляется обществом без письменного согласия работников.

Кроме того, суд установил, что в нарушение названных норм в заключенном с ОАО АКБ "УРАЛСИБ-ЮГ БАНК" договоре об оказании услуг по организации расчетов от 02.04.2009 N ZD 09-04-07 отсутствует существенное условие об обеспечении конфиденциальности и безопасности персональных данных при их обработке. При таких обстоятельствах суды пришли к обоснованному выводу о том, что выданные обществу предписания от 23.04.2010 N П-23-19/00034 и П-23-19/00035 соответствуют закону.

Доводы кассационной жалобы о том, что Федеральным законом от 02.12.1990 N 395-1 "О банках и банковской деятельности" предусмотрено сохранение банковской тайны, были предметом рассмотрения суда апелляционной инстанции и обоснованно отклонены. При этом суд апелляционной инстанции правомерно исходил из того, что данный закон не регулирует отношения, связанные с обработкой персональных данных.

Доводы кассационной жалобы направлены на переоценку фактических обстоятельств и доказательств, которые суды первой и апелляционной инстанций исследовали и оценили с соблюдением положений главы 7 Арбитражного процессуального кодекса Российской Федерации. Статьей 286 Арбитражного процессуального кодекса Российской Федерации определены пределы рассмотрения дела в суде кассационной инстанции, согласно указанной норме переоценка доказательств не входит в компетенцию суда кассационной инстанции.

Нарушения процессуальных норм, влекущие отмену или изменение судебных актов (статья 288 Арбитражного процессуального кодекса Российской Федерации), отсутствуют.

Руководствуясь статьями 274, 286 - 289 Арбитражного процессуального кодекса Российской Федерации, Федеральный арбитражный суд Северо-Кавказского округа постановил:

решение Арбитражного суда Краснодарского края от 10 декабря 2010 года и постановление Пятнадцатого арбитражного апелляционного суда от 21 февраля 2011 года по делу N А32-12882/2010 оставить без изменения, кассационную жалобу - без удовлетворения.

Постановление вступает в законную силу со дня его принятия.

Председательствующий

Ю.В. Мацко

Судьи:

М.Г. Калашникова Т. В. Прокофьева