Постановление Четырнадцатого арбитражного апелляционного суда от 25 апреля 2013 г. N 14АП-2080/13

г. Вологда

25 апреля 2013 г.

Дело N А44-7781/2012

Четырнадцатый арбитражный апелляционный суд в составе председательствующего Ралько О.Б., судей Докшиной А.Ю. и Тарасовой О.А. при ведении протокола секретарем судебного заседания Воробьевой Н.Н.,

при участии от открытого акционерного общества междугородной и международной электрической связи "Ростелеком" в лице филиала в Новгородской и Псковской областях Муравьевой В.Н. по доверенности от 18.12.2012,

рассмотрев в открытом судебном заседании апелляционную жалобу открытого акционерного общества междугородной и международной электрической связи "Ростелеком" в лице филиала в Новгородской и Псковской областях на решение Арбитражного суда Новгородской области от 30 января 2013 года по делу N А44-7781/2012 (судья Максимова Л.А.),

установил:

открытое акционерное общество междугородной и международной электрической связи "Ростелеком" в лице филиала в Новгородской и Псковской областях (далее - ОАО "Ростелеком", общество) обратилось в Арбитражный суд Новгородской области с заявлением к Управлению Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Новгородской области (далее - управление, Роскомнадзор) о признании недействительным предписания от 10.09.2012 N П-53-02/0478.

Определением суда от 04 декабря 2012 года к участию в деле в качестве третьего лица, не заявляющего самостоятельных требований относительно предмета спора, привлечено Министерство связи и массовых коммуникаций Российской Федерации (далее - Минкомсвязь России, министерство).

Решением Арбитражного суда Новгородской области от 30 января 2013 года в удовлетворении заявленных требований обществу отказано.

Общество с судебным решением не согласилось и обратилось с апелляционной жалобой, в которой просит суд апелляционной инстанции его отменить. Мотивируя апелляционную жалобу, указывает на неполное выяснение судом обстоятельств, имеющих значение для дела, а также на несоответствие выводов, изложенных в решении, обстоятельствам дела. Общество полагает, что оснований у управления для проведения проверки не имелось, поскольку жалоба от гражданина Абрамова Л.А. поступила в общество, которое в установленном порядке подготовило соответствующий ответ, тогда как доказательств поступления жалобы от указанного лица непосредственно в управление в материалах дела не имеется. Кроме того, общество считает, что нарушений норм Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных" (далее - Закон N 152-ФЗ) им допущено не было.

Управление в отзыве на апелляционную жалобу с доводами в ней изложенными не согласилось, решение суда считает законным и обоснованным.

Министерство в отзыве на апелляционную жалобу указало, что получения согласия на обработку персональных данных от лиц, обратившихся за кодом активации, не требуется в силу в силу части 4 статьи 6 Закона N 152-ФЗ, как не требуется и наделения общества от имени министерства полномочиями на получение от лиц, обратившихся за кодом активации, такого согласия. Просит о рассмотрении дела без участия своего представителя.

Управление и министерство надлежащим образом извещены о времени и месте судебного заседания апелляционной инстанции, представителей в суд не направили, в связи с этим дело рассмотрено в их отсутствие в соответствии со статьями 123, 156, 266 Арбитражного процессуального кодекса Российской Федерации (далее - АПК РФ).

Заслушав объяснения представителя общества, исследовав доказательства по делу, проверив законность и обоснованность оспариваемого решения, суд апелляционной инстанции не находит оснований для удовлетворения апелляционной жалобы.

Как следует из материалов дела, в связи с поступлением от гражданина Абрамова Л.А. жалобы на действия общества, нарушающие его права в области персональных данных, гарантированных ему нормами Закона N 152-ФЗ, управлением в период с 14.08.2012 по 10.09.2012 проведена внеплановая проверка заявителя, по итогам которой составлен акт от 10.09.2012 N А-53-02/1161 (т. 1, л. 25-27).

По результатам рассмотрения материалов проверки управление выдало обществу предписание от 10.09.2012 N П-53-02/0478 об устранении выявленных нарушений (т. 1, л. 24).

Не согласившись с указанным предписанием, общество обратилось в Арбитражный суд Новгородской области с соответствующим заявлением.

Суд первой инстанции, отказывая обществу в удовлетворении заявленных требований, правомерно руководствовался следующим.

Постановлением Правительства Российской Федерации от 16.03.2009 N 228 утверждено Положение о Федеральной службе по надзору в сфере связи, информационных технологий и массовых коммуникаций (далее - Положение N 228), согласно которому Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) является федеральным органом исполнительной власти, осуществляющим функции по контролю и надзору в сфере средств массовой информации, в том числе электронных, и массовых коммуникаций, информационных технологий и связи, функции по контролю и надзору за соответствием обработки персональных данных требованиям законодательства Российской Федерации в области персональных данных, а также функции по организации деятельности радиочастотной службы.

Роскомнадзор является уполномоченным федеральным органом исполнительной власти по защите прав субъектов персональных данных и к его полномочиям отнесен государственный контроль и надзор за соответствием обработки персональных данных требованиям законодательства Российской Федерации в области персональных данных.

Распоряжением Правительства Российской Федерации от 15.10.2009 N 1475-р ОАО "Ростелеком" определено единственным исполнителем работ по эксплуатации инфраструктуры электронного правительства.

На основании указанного распоряжения Минкомсвязью России с ОАО "Ростелеком" заключен государственный контракт от 30.03.2012 на выполнение работ по эксплуатации инфраструктуры электронного правительства и оказание операторских услуг инфраструктуры электронного правительства в 2012 году (т. 2, л. 13-50).

В силу подпункта "в" пункта 2 части 2 статьи 10 Федерального закона от 26.12.2008 N 294-ФЗ "О защите прав юридических лиц и индивидуальных предпринимателей при осуществлении государственного контроля (надзора) и муниципального контроля" (далее - Закон N 294-ФЗ) поступление в орган государственного контроля (надзора) обращений граждан по вопросам нарушения прав потребителей является основанием для проведения внеплановой проверки.

Как следует из материалов дела, проверка общества проведена в связи с поступлением в управление от гражданина Абрамова Л.А. жалобы о нарушении обществом его прав в области персональных данных.

Общество в апелляционной жалобе указало, что доказательств поступления жалобы от указанного лица непосредственно в управление в материалах дела не имеется.

В материалы дела управлением представлена копия указанной жалобы, которая также направлена в адрес общества и получена последним, что подтверждается письмом общества от 25.04.2013.

При этом из приказа управления от 10.08.2012 N 252, а также уведомления о проведении в отношении общества проверки от 13.08.2012 следует, что проверка проведена именно в связи с поступлением в управление жалобы от гражданина Абрамова Л.А. (т. 2, л. 67-73).

Апелляционной инстанцией не принимаются доводы подателя жалобы о том, что управление при проведении проверки неправомерно вышло за пределы доводов, содержащихся в поступившей жалобе, поскольку с учетом положений, содержащихся в пункте 6 статьи 2, пункте 1 статьи 10 Закона N 294-ФЗ, органы государственного контроля (надзора), муниципального контроля в ходе внеплановой проверки вправе проверять не только нарушения, явившиеся основанием для назначения проведения внеплановой проверки.

Материалами дела подтверждается, что управление при проведении проверки общества по вопросам исполнения законодательства в области защиты персональных данных и выдаче предписания об устранении выявленных нарушений действовало в пределах полномочий, предоставленных ему действующим законодательством.

Оспариваемым предписанием обществу предложено в срок до 10.10.2012 устранить нарушение части 5 статьи 5 Закона N 152-ФЗ, выразившееся в избыточности обрабатываемых обществом персональных данных по отношению к заявленным целям их обработки, а также устранить нарушение части 1 статьи 6 Закона N 152-ФЗ, выразившееся в нарушении установленного законом порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных) в части обработки персональных данных без согласия субъекта персональных данных.

Отношения, связанные с обработкой персональных данных, осуществляемой федеральными органами государственной власти, органами государственной власти субъектов Российской Федерации, иными государственными органами (далее - государственные органы), органами местного самоуправления, иными муниципальными органами (далее - муниципальные органы), юридическими лицами и физическими лицами с использованием средств автоматизации, в том числе в информационно-телекоммуникационных сетях, или без использования таких средств, регулируются Законом N 152-ФЗ.

Целью настоящего федерального закона является обеспечение защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну (статья 2 Закона N 152-ФЗ).

Статья 3 Закона N 152-ФЗ определяет основные понятия, используемые в целях названного закона:

1) персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);

2) оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;

3) обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;

4) автоматизированная обработка персональных данных - обработка персональных данных с помощью средств вычислительной техники;

5) распространение персональных данных - действия, направленные на раскрытие персональных данных неопределенному кругу лиц.

В силу части 5 статьи 5 Закона N 152-ФЗ содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки.

В силу статьи 6 Закона N 152-ФЗ обработка персональных данных должна осуществляться с соблюдением принципов и правил, предусмотренных настоящим федеральным законом. Обработка персональных данных допускается, наряду с иными случаями, в случаях, если:

1) обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных;

4) обработка персональных данных необходима для предоставления государственной или муниципальной услуги в соответствии с Федеральным законом от 27.07.2010 N 210-ФЗ "Об организации предоставления государственных и муниципальных услуг" (далее - Закон N 210-ФЗ), для обеспечения предоставления такой услуги, для регистрации субъекта персональных данных на едином портале государственных и муниципальных услуг (далее - ЕПГУ).

Как следует из материалов дела и не оспаривается подателем жалобы, общество, действуя в порядке, предусмотренном им же утвержденным Руководством пользователя АРМ оператора ver.2.2, для предоставления гражданину кода активации на ЕПГУ собирает (обрабатывает) у обратившихся к нему граждан категории их персональных данных, указанные на ЕПГУ, а дополнительно к ним - паспортные данные (серия, номер, кем выдан, дата выдачи) и адрес регистрации (адрес места жительства) (т. 2, л. 94-106).

Кроме того, согласно названному Руководству код активации выдается лицу, обратившемуся за получением кода активации, только после получения от него согласия на обработку персональных данных, данного Минкомсвязи России (т. 2, л. 104).

Однако из анализа положений Закона N 210-ФЗ в совокупности с анализом условий регистрации в Единой системе идентификации и аутентификации для работы с ЕПГУ (распечатки html-страниц Портала государственных услуг; т. 1, л. 106-109, 127-134) следует, что в соответствии с прохождением процедуры регистрации на ЕПГУ у граждан есть два варианта получения кода активации: почтовым отправлением через ФГУП "Почта России" при указании почтового адреса регистрируемого лица и ожиданием кода активации около двух недель, или путем обращения в центр продаж и обслуживания клиентов ОАО "Ростелеком" при себе имея паспорт гражданина Российской Федерации и страховое свидетельство обязательного пенсионного страхования.

При этом общество не сослалось на соответствующие нормы права, обязывающие его при выдаче кода активации не только устанавливать личность лиц, обратившихся за кодом активации, но и обрабатывать их персональные данные, такие как паспортные данные (серия, номер, кем выдан, дата выдачи) и адрес регистрации (адрес места жительства).

При таких обстоятельствах, управление при проведении проверки пришло к обоснованному выводу о том, что общество производит обработку избыточных персональных данных, по сравнению с теми, которые определены к заявленным целям их обработки (для прохождения регистрации на ЕПГУ), что является нарушением части 5 статьи 5 Закона N 152-ФЗ.

Таким образом, предписание в указанной части является законным и обоснованным.

При проведении проверки управлением также установлено, что общество для предоставления кода активации обрабатывает паспортные данные граждан, предоставляя для заполнения согласие на обработку персональных данных лица, обратившегося в общество за кодом активации.

Указанное согласие гражданин подписывает до момента получения кода активации. О данном обстоятельстве указано в жалобе Абрамова Л.А., которое подтвердилось при проведении проверки и следует из содержания Руководства пользователя АРМ оператора.

При этом согласие отбирается обществом у лиц, обратившихся за кодом активации, не от лица общества, а от имени Минкомсвязи России (т. 1, л. 117). Такого рода согласие отобрано обществом и у Абрамова Л.А. (т. 2, л. 65).

Вместе с тем, в силу пункта 4 части 1 статьи 6 Закона N 152-ФЗ при обработке персональных данных для предоставления государственной или муниципальной услуги в соответствии с Законом N 210-ФЗ, для обеспечения предоставления такой услуги, для регистрации субъекта персональных данных на ЕПГУ такое согласие не требуется.

Соответственно, общество неправомерно отбирало у лиц, обратившихся за кодом активации ЕПГУ, согласие на обработку персональных данных от имени Минкомсвязи России.

Довод общества о том, что обработка персональных данных лиц, обратившихся за кодом активации (паспортные данные (серия, номер, кем выдан, дата выдачи) и адрес регистрации (адрес места жительства)), необходима для реализации собственных целей общества, а именно в целях контроля за правильностью выдачи кодов активации, учета лиц, получивших названные коды, обоснованно отклонен судом первой инстанции, поскольку при таких обстоятельствах общество должно было представить управлению доказательства того, что именно от собственного имени общества отбиралось соответствующее согласие лиц на обработку дополнительных персональных данных. Вместе с тем, соответствующих доказательств в материалы не представлено.

Имеющиеся в деле согласия (типовое, утвержденное приказом общества (т. 1, л. 122), и фактически отобранное у Абрамова Л.А.) свидетельствуют о том, что они отбираются от имени Минкомсвязи России в целях предоставления лицу сервисов в инфраструктуре электронного правительства, включая информацию с использованием функциональных возможностей ЕПГУ, то есть в целях реализации положений Закона N 210-ФЗ.

Однако общество, обрабатывая персональные данные лиц в объеме большем, чем предусмотрено Законом N 210-ФЗ, и при условии, если такая обработка вызвана потребностями самого общества, должно было от своего имени получить согласие лица на обработку персональных данных с указанием в таком согласии соответствующей цели обработки персональных данных, как того требует пункт 1 части 1 статьи 6 Закона N 152-ФЗ.

Общество такие согласия от своего имени не отбирало, что свидетельствует о нарушении им положений пункта 1 части 1 статьи 6 Закона N 152-ФЗ.

Следовательно, оспариваемое предписание в части пункта 2 также является законным и обоснованным.

При изложенных обстоятельствах, следует вывод о правомерности отказа суда первой инстанции в удовлетворении заявленных обществом требований.

С учетом изложенного оснований для отмены принятого по данному делу решения суда и удовлетворения апелляционной жалобы общества не имеется.

Руководствуясь статьями 269, 271 Арбитражного процессуального кодекса Российской Федерации, Четырнадцатый арбитражный апелляционный суд

постановил:

решение Арбитражного суда Новгородской области от 30 января 2013 года по делу N А44-7781/2012 оставить без изменения, апелляционную жалобу открытого акционерного общества междугородной и международной электрической связи "Ростелеком" в лице филиала в Новгородской и Псковской областях - без удовлетворения.

Председательствующий

О.Б. Ралько

Судьи

А.Ю. Докшина О.А. Тарасова