Постановление Арбитражного суда Северо-Кавказского округа от 14 июня 2017 г. N Ф08-3596/17 по делу N А63-4578/2016

г. Краснодар

14 июня 2017 г.

Дело N А63-4578/2016

Резолютивная часть постановления объявлена 6 июня 2017 года.

Постановление изготовлено в полном объеме 14 июня 2017 года.

Арбитражный суд Северо-Кавказского округа в составе председательствующего Прокофьевой Т.В., судей Драбо Т.Н. и Воловик Л.Н. при ведении протокола помощником судьи Филипповой Е.Н., в отсутствие в судебном заседании с использованием системы видеоконференц-связи с Арбитражным судом Ставропольского края (судья Ермилова Ю.В.) заявителя - муниципального унитарного предприятия "Жилищно-коммунальное хозяйство города Михайловска" (ИНН 2623011815, ОГРН 1022603020560), надлежаще извещенного о времени и месте судебного заседания, в том числе путем размещения информации на официальном сайте арбитражного суда в информационно-телекоммуникационной сети "Интернет", и заинтересованного лица - Управления Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Северо-Кавказскому федеральному округу, заявившего ходатайство о рассмотрении дела в его отсутствие, рассмотрев кассационную жалобу муниципального унитарного предприятия "Жилищно-коммунальное хозяйство города Михайловска" на постановление Шестнадцатого арбитражного апелляционного суда от 07.03.2017 по делу N А63-4578/2016 (судьи Цигельников И.А., Афанасьева Л.В., Семенов М.У.), установил следующее.

Муниципальное унитарное предприятие "Жилищно-коммунальное хозяйство города Михайловска" (далее - предприятие) обратилось в Арбитражный суд Ставропольского края с заявлением к Управлению Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Северо-Кавказскому федеральному округу (далее - управление) о признании недействительным предписания от 18.03.2016 N П-26/7/20-нд/-/1/1818 в части, указывающей на то, что в уполномоченный орган представлены недостоверные сведения о месте нахождения базы данных информации, содержащей персональные данные граждан Российской Федерации, и требования по устранению данного нарушения.

Решением суда от 15.11.2016 (судья Алиева А.К.) заявленные требования предприятия удовлетворены, признано недействительным предписание управления от 18.03.2016 N П-26/7/20-нд/-/1/1818 в части, указывающей на то, что в уполномоченный орган представлены недостоверные сведения о месте нахождения базы данных информации, содержащей персональные данные граждан Российской Федерации и требования по устранению данного нарушения. С управления в пользу предприятия взыскано 3 тыс. рублей судебных расходов.

Суд пришел к выводу, что в материалы дела не представлены доказательства, подтверждающие, что предприятие является лицом, обязанным предоставлять уведомление об обработке персональных данных. Договор на оказание телематических услуг не свидетельствует о нахождении базы данных информации предприятия, содержащей персональные данные, по адресу в г. Москва.

Постановлением от 07.03.2017 суд апелляционной инстанции отменил решение суда от 15.11.2016, отказал в удовлетворении требований предприятия.

Судебный акт мотивирован тем, что представив в адрес управления уведомление об обработке (о намерении осуществлять обработку) персональных данных, приложив к нему договор от 29.02.2016 на предоставление ООО "Кнопп" телематических услуг, в отсутствие сведений о наличии собственных серверных мощностей, предприятие указало недостоверные сведения о месте нахождения базы данных информации содержащей персональные данные граждан Российской Федерации, тем самым нарушив положения части 3 статьи 22 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных" (далее - Закон N 152-ФЗ).

Предприятие обратилось в Арбитражный суд Северо-Кавказского округа с кассационной жалобой, в которой просит отменить постановление апелляционной инстанции от 07.03.2017, оставить в силе решение суда от 15.11.2016. Заявитель жалобы считает, что предписание в оспариваемой части является незаконным, поскольку сервер по договору на предоставление телематических услуг N 40279 арендуется для размещения сайта предприятия и содержит сведения общего характера о деятельности организации и не используется для хранения и обработки персональных данных, кроме того, предоставление сведений, в том числе недостоверных или неполных, лицом, на которое законом не возложена обязанность их предоставлять в силу требования части 2 статьи 22 Закона N 152-ФЗ, исключает возможность их требовать контролирующим органом.

В отзыве на кассационную жалобу управление считает обжалуемый судебный акт законным и обоснованным и просит кассационную жалобу оставить без удовлетворения.

Изучив материалы дела, доводы кассационной жалобы, отзыва, Арбитражный суд Северо-Кавказского округа считает, что постановление апелляционной инстанции надлежит отменить на основании следующего.

Как видно из материалов дела, юридическим и фактическим адресом предприятия является: Ставропольский края, Шпаковский район, город Михайловск, ул. Фрунзе, д. 9. Указанный адрес указан предприятием в уведомлении об обработке персональных данных в графе: "Сведения о месте нахождения базы данных информации, содержащей персональные данные граждан Российской Федерации" как собственный центр обработки данных.

В соответствии с пунктом 12 Рекомендаций по заполнению формы уведомления об обработке (о намерении осуществлять обработку) персональных данных (утверждены Роскомнадзором 29.01.2016) в этой графе приводятся страна (страны) размещения базы данных, ее адрес (адреса) местонахождения.

На основании приказа от 24.02.2016 N 20-нд управление провело плановую выездную проверку предприятия по вопросу соблюдения требований законодательства Российской Федерации в области персональных данных, в ходе которой выявило факт нарушения положений части 3 статьи 22 Закона N 152-ФЗ - предприятие указало в уведомлении об обработке персональных данных недостоверные сведения о месте нахождения базы данных информации, содержащей персональные данные граждан Российской Федерации. Составлен акт проверки от 18.03.2016 N 26/7/20-нд/22.

Согласно представленному договору - оферте на предоставление телематических услуг от 29.02.2016 N 40279, заключенному с ООО "Кнопп" (провайдер), предприятию предоставлены услуги аренды серверов центра обработки данных, расположенных по адресу: г. Москва, Колпачный переулок, д. 5, стр. 5, фактический адрес: г. Москва, Колпачный пер., д. 4, стр. 1. Следовательно, серверы центра обработки данных, расположенные по указанному в договоре-оферте от 29.02.2016 адресу, не являются для общества собственными, а арендуются у ООО "Кнопп".

Предписанием от 18.03.2016 N П-26/7/20-нд/-/1/1818 предприятию предписано в срок до 20.04.2016 устранить выявленные нарушения положений части 3 статьи 22 Закона N 152-ФЗ.

Считая предписание управления от 18.03.2016 N П-26/7/20-нд/-/1/1818 в оспариваемой части незаконным, предприятие обратилось в суд с заявлением.

Согласно части 1 статьи 22 Закона N 152-ФЗ оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных частью 2 данной статьи.

Исключение составляют случаи, предусмотренные частью 2 статьи 22 Закона N 152-ФЗ - оператор вправе осуществлять без уведомления уполномоченного органа по защите прав субъектов персональных данных обработку персональных данных:

1) обрабатываемых в соответствии с трудовым законодательством;

2) полученных оператором в связи с заключением договора, стороной которого является субъект персональных данных, если персональные данные не распространяются, а также не предоставляются третьим лицам без согласия субъекта персональных данных и используются оператором исключительно для исполнения указанного договора и заключения договоров с субъектом персональных данных;

3) относящихся к членам (участникам) общественного объединения или религиозной организации и обрабатываемых соответствующими общественным объединением или религиозной организацией, действующими в соответствии с законодательством Российской Федерации, для достижения законных целей, предусмотренных их учредительными документами, при условии, что персональные данные не будут распространяться или раскрываться третьим лицам без согласия в письменной форме субъектов персональных данных;

4) сделанных субъектом персональных данных общедоступными;

5) включающих в себя только фамилии, имена и отчества субъектов персональных данных;

6) необходимых в целях однократного пропуска субъекта персональных данных на территорию, на которой находится оператор, или в иных аналогичных целях;

7) включенных в информационные системы персональных данных, имеющие в соответствии с федеральными законами статус государственных автоматизированных информационных систем, а также в государственные информационные системы персональных данных, созданные в целях защиты безопасности государства и общественного порядка;

8) обрабатываемых без использования средств автоматизации в соответствии с федеральными законами или иными нормативными правовыми актами Российской Федерации, устанавливающими требования к обеспечению безопасности персональных данных при их обработке и к соблюдению прав субъектов персональных данных;

9) обрабатываемых в случаях, предусмотренных законодательством Российской Федерации о транспортной безопасности, в целях обеспечения устойчивого и безопасного функционирования транспортного комплекса, защиты интересов личности, общества и государства в сфере транспортного комплекса от актов незаконного вмешательства.

Из содержания части 3 статьи 22 Закона N 152-ФЗ следует, что уведомление должно содержать, в том числе, сведения о месте нахождения базы данных информации, содержащей персональные данные граждан Российской Федерации.

Суд первой инстанции, удовлетворяя заявленные требования предприятия, исходил из того, что в материалы дела не представлены доказательства, подтверждающие, что предприятие является лицом, обязанным предоставлять уведомление об обработке персональных данных. Договор на оказание телематических услуг не свидетельствует о нахождении базы данных информации предприятия, содержащей персональные данные, в г. Москва.

Отменяя решения суда, суд апелляционной инстанции указал, что поскольку общество самостоятельно, до начала проведения проверки, направило управлению уведомление об обработке персональных данных, заполненное по всем правилам, предусмотренным пунктом 54 Административного регламента, утвержденного Приказом Минкомсвязи России от 21.12.2011 N 346, и послужившее основанием для включения предприятия в реестр операторов, осуществляющих обработку персональных данных (приказом от 14.03.2016 N 50 присвоен номер 26-16-000923), предприятие вступило в правоотношения с управлением, в связи с чем на него начали распространяться ряд особенностей, предусмотренных Административным регламентом. Суд первой инстанции не учел, что после включения предприятия в реестр операторов, осуществляющих обработку персональных данных, управление обязано рассмотреть вопрос о внесении в уведомление достоверных сведений об операторе в реестр операторов, осуществляющих обработку персональных данных.

Суд апелляционной инстанции не учел следующее.

Само по себе направление предприятием уведомления об обработке (о намерении осуществлять обработку) персональных данных в отсутствие обязанности для подачи такого уведомления не влечет правовых последствий, самостоятельно в отсутствие доказательств обработки персональных данных с использованием средств автоматизации не наделяет предприятие статусом лица, обязанного подавать такое уведомление, не может свидетельствовать о нарушении предприятием положений части 3 статьи 22 Закона N 152-ФЗ и не порождает обязанность предприятия внести изменения в такое уведомление.

При проверке управление не установило и не зафиксировало предоставление ООО "Кнопп" телематических услуг для обработки предприятием персональных данных граждан Российской Федерации (исполнение договора от 29.02.2016), наличие у предприятия собственных серверных мощностей для обслуживания базы данных информации, содержащей персональные данные. Доказательства обратного управление в материалы дела не представило. В материалах дела отсутствуют, и суд апелляционной инстанции не установил какие-либо иные сведения или доказательства, подтверждающие использование предприятием собственных или арендованных серверных мощностей, на которых размещены базы персональных данных, обрабатываемые с обязательным уведомлением уполномоченного органа по защите прав субъектов персональных данных.

Согласно части 1 статьи 22 Закона N 152-ФЗ оператор до начала обработки персональных данных обязан уведомить о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных частью 2 данной статьи.

Управление не представило каких-либо относимых и допустимых доказательств. подтверждающих, что предприятие является лицом, обязанным представлять уведомление об обработке персональных данных, и его деятельность в сфере обработки данных не подпадает под действие части 2 статьи 22 Закона N 152-ФЗ.

Данные обстоятельства послужили основанием для отказа управлению в удовлетворении заявления о привлечении предприятия к административной ответственности по статье 19.7 Кодекса Российской Федерации об административных правонарушениях по факту указания предприятием в уведомлении не соответствующих действительности сведений о месте нахождения базы информации, содержащей персональные данные граждан (постановление мирового судьи Шпаковского района Ставропольского края от 05.05.2016, решение Шпаковского районного суда Ставропольского края от 04.07.2016).

С учетом обстоятельств рассматриваемого дела и имеющихся в деле доказательств у суда первой инстанции имелись основания для признания недействительным предписания управления в оспариваемой части.

Следовательно, при рассмотрении дела суд апелляционной инстанции неправильно установил имеющие значение для дела обстоятельства и неправильно применил нормы материального права. При таких обстоятельствах обжалуемый судебный акт надлежит отменить.

В силу пункта 5 части 1 статьи 287 Арбитражного процессуального кодекса Российской Федерации по результатам рассмотрения кассационной жалобы арбитражный суд кассационной инстанции вправе оставить в силе одно из ранее принятых по делу решений или постановлений.

Суд первой инстанции всесторонне и полно исследовал материалы дела, дал надлежащую правовую оценку всем доказательствам, применил нормы материального права, подлежащие применению, не допустив нарушений процессуального закона. Выводы, содержащиеся в судебном акте, соответствуют фактическим обстоятельствам дела и оснований для их переоценки кассационная инстанция не имеет.

При изложенных обстоятельствах надлежит оставить в силе решение суда первой инстанции и взыскать с управления в пользу предприятия 1500 рублей в возмещение судебных расходов по кассационной жалобе.

Руководствуясь статьями 274, 286 - 289 Арбитражного процессуального кодекса Российской Федерации, Арбитражный суд Северо-Кавказского округа

ПОСТАНОВИЛ:

постановление Шестнадцатого арбитражного апелляционного суда от 07.03.2017 по делу N А63-4578/2016 отменить.

Решение Арбитражного суда Ставропольского края от 15.11.2016 по делу оставить в силе.

Взыскать с Управления Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Северо-Кавказскому федеральному округу в пользу муниципального унитарного предприятия "Жилищно-коммунальное хозяйство города Михайловска" 1500 рублей в возмещение судебных расходов по кассационной жалобе.

Постановление вступает в законную силу со дня его принятия.

Председательствующий

Т.В. Прокофьева

Судьи

Л.Н. Воловик Т.Н. Драбо