Постановление Восемнадцатого арбитражного апелляционного суда от 9 декабря 2013 г. N 18АП-13107/13

г. Челябинск

09 декабря 2013 г.

Дело N А34-3659/2013

Резолютивная часть постановления объявлена 09.12.2013.

Постановление в полном объеме изготовлено 09.12.2013.

Восемнадцатый арбитражный апелляционный суд в составе:

председательствующего судьи Арямова А.А.,

судей Баканова В.В., Костина В.Ю.,

при ведении протокола секретарем судебного заседания Червяковой Е.А.,

рассмотрел в открытом судебном заседании апелляционную жалобу открытого акционерного общества "Энергосбытовая компания "Восток" на решение Арбитражного суда Курганской области от 15.10.2013 по делу N А34-3659/2013 (судья Шестакова Л.П.).

В судебном заседании приняли участие представители:

открытого акционерного общества "Энергосбытовая компания "Восток" - Чувашова А.Ю. (доверенность от 11.01.2013 N 2/01-13).

Открытое акционерное общество "Энергосбытовая компания "Восток" (далее - заявитель, общество, ОАО "ЭК "Восток") обратилось в Арбитражный суд Курганской области с заявлением к Управлению Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Курганской области (далее - заинтересованное лицо, управление, Управление Роскомнадзора по Курганской области) о признании недействительным предписания от 22.04.2013 N П-45-03/002.

Определением суда от 26.06.2013 к участию в деле в качестве третьего лица, не заявляющего самостоятельных требований относительно предмета спора, привлечен Дорошенко Александр Юрьевич (далее - Дорошенко А.Ю.).

Решением Арбитражного суда Курганской области от 15.10.2013 (резолютивная часть объявлена 09.10.2013) в удовлетворении требований заявителя отказано.

Не согласившись с решением суда, ОАО "ЭК "Восток" обжаловало его в апелляционном порядке. В обоснование апелляционной жалобы заявитель ссылается на незаконность оспоренного ненормативного акта. В частности, полагает правомерным передачу иному лицу персональных данных без согласия субъекта персональных данных в целях исполнения договора энергоснабжения, а также неправомерным требование о представлении указанных в оспоренном акте сведений в управление. При этом заявитель ссылается на определение заместителя прокурора города Кургана от 31.05.2013 об отказе в возбуждении уголовного дела, которым установлено отсутствие в действиях заявителя нарушений. Указывает на то, что в силу ст.3 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных" (далее - Закон N 152-ФЗ) сведения о площади помещения, показаниях и номере электросчетчика, сумме начислений и (или) задолженности не относятся к персональным данным, так как не содержат характеристик субъекта. Общество и Дорошенко А.Ю. состоят в договорных отношениях по энергоснабжению, в силу чего заявитель, исполняя свои обязанности, обрабатывает персональные данные указанного лица без его согласия на основании п.п.5, 7 ч.1 ст.6 Закона N 152-ФЗ, а также вправе осуществлять расчеты с привлечением платежных агентов, и без согласия указанного лица передавать им для обработки персональные данные этого лица.

В судебном заседании представитель общества поддержал доводы апелляционной жалобы.

Представители иных участвующих в деле лиц, извещенных о времени и месте рассмотрения апелляционной жалобы надлежащим образом, в судебное заседание не явились. От управления в материалы дела поступило ходатайство о рассмотрении апелляционной жалобы без участия его представителя. Апелляционная жалоба рассмотрена без участия представителей заинтересованного лица и третьего лица.

В представленном в материалы дела отзыве на апелляционную жалобу заинтересованное лицо возражает против удовлетворения жалобы, ссылаясь на законность и обоснованность решения суда первой инстанции.

Арбитражный суд апелляционной инстанции, повторно рассмотрев дело в порядке статей 268, 269 Арбитражного процессуального кодекса Российской Федерации (далее - АПК РФ), исследовав имеющиеся в деле доказательства, проверив доводы апелляционной жалобы, полагает обжалованный судебный акт не подлежащим отмене по следующим основаниям.

Как следует из материалов дела ОАО "ЭК "Восток" зарегистрировано в качестве юридического лица 19.12.2001, имеет основной государственный регистрационный номер 1037739123696, осуществляет на территории Курганской области деятельность по продаже электрической энергии гражданам и юридическим лицам в качестве гарантирующего поставщика и на основании поданного в уполномоченный орган по защите персональных данных уведомления от 29.12.2012 включено в реестр операторов, осуществляющих обработку персональных данных, за N 77-13-001076.

В связи с поступлением в Управление Роскомнадзора по Курганской области из Прокуратуры города Кургана обращения Дорошенко А.Ю. от 19.03.2013, приказом руководителя управления от 28.03.2013 N 038 (в редакции изменений от 22.04.2013) в отношении "Энергосбыт" - филиала ОАО "ЭК "Восток" назначено проведение внеплановой документарной проверки в целях контроля за соблюдением обязательных требований в области обработки персональных данных.

На основании указанного приказа должностными лицами управления в период с 01.04.2013 по 22.04.2013 в отношении заявителя проведена внеплановая документарная проверка, результаты которой отражены в Акте проверки от 22.04.2013 N А-45-03/020, зафиксировавшем факт нарушения обществом требований ч.3 ст.6, ч.3 ст.22 Закона N 152-ФЗ, а именно: 1) представление в уполномоченный орган уведомления об обработке персональных данных от 29.12.2012, содержащего неполные и (или) недостоверные сведения (в уведомлении не указаны обрабатываемые категории персональных данных - номер лицевого счета, площадь помещения, сумма начисления и (или) задолженности, показания электрического счетчика, номер электрического счетчика); 2) поручение иному лицу (ООО "ЕРЦ "Прогресс") осуществлять обработку персональных данных без согласия субъекта персональных данных,

По итогам проверки заявителю выдано предписание от 22.04.2013 N П-45-03/002 об устранении выявленных нарушений, содержащее ссылку на выявление указанных нарушений, а также требование в срок до 22.07.2013 устранить нарушения, для чего подать в уполномоченный орган по защите прав субъектов персональных данных "Информационное письмо о внесении изменений в сведения в реестре операторов, осуществляющих обработку персональных данных", и взять с Дорошенко А.Ю. письменное согласие на передачу его персональных данных в ООО "ЕРЦ "Прогресс".

Считая указанный ненормативный акт незаконным, заявитель обратился с рассматриваемым заявлением в арбитражный суд.

Отказывая в удовлетворении заявленных требований, суд первой инстанции исходил из вывода о правомерности содержащихся в оспоренном предписании требований.

Оценив в порядке статьи 71 АПК РФ все имеющиеся в деле доказательства в их совокупности, суд апелляционной инстанции приходит к следующим выводам.

Требования заявителя носят характер оспаривания ненормативного правового акта органа, осуществляющего публичные полномочия. Порядок рассмотрения таких требований установлен положениями главы 24 АПК РФ.

Частью 1 статьи 198 АПК РФ установлено, что граждане, организации и иные лица вправе обратиться в арбитражный суд с заявлением о признании недействительными ненормативных правовых актов, незаконными решений и действий (бездействия) органов, осуществляющих публичные полномочия, должностных лиц, если полагают, что оспариваемый ненормативный правовой акт, решение и действие (бездействие) не соответствуют закону или иному нормативному правовому акту и нарушают их права и законные интересы в сфере предпринимательской и иной экономической деятельности, незаконно возлагают на них какие-либо обязанности, создают иные препятствия для осуществления предпринимательской и иной экономической деятельности.

То есть для признания недействительными ненормативных правовых актов органов, осуществляющих публичные полномочия, необходима совокупность двух условий: несоответствие оспариваемого акта закону и иному нормативному правовому акту, а также нарушение этими действиями и решениями прав и законных интересов заявителя.

В соответствии с ч.1 ст.1 Закона N 152-ФЗ, этим законом регулируются отношения, связанные с обработкой персональных данных, осуществляемой федеральными органами государственной власти, органами государственной власти субъектов Российской Федерации, иными государственными органами, органами местного самоуправления, иными муниципальными органами, юридическими лицами и физическими лицами с использованием средств автоматизации, в том числе в информационно-телекоммуникационных сетях, или без использования таких средств, если обработка персональных данных без использования таких средств соответствует характеру действий (операций), совершаемых с персональными данными с использованием средств автоматизации, то есть позволяет осуществлять в соответствии с заданным алгоритмом поиск персональных данных, зафиксированных на материальном носителе и содержащихся в картотеках или иных систематизированных собраниях персональных данных, и (или) доступ к таким персональным данным.

Статьей 3 этого же Закона установлено, что под персональными данными понимается любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных) (п.1); оператором является государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными (п.2); под обработкой персональных данных понимается любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных (п.3); под предоставлением персональных данных понимаются действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц (п.6).

В силу части 1 статьи 23 Закона N 152-ФЗ, а также пунктов 1, 4, 6.5 Положения о Федеральной службе по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор), утвержденным Постановлением Правительства РФ от 16.03.2009 N 228, уполномоченным органом по защите прав субъектов персональных данных, на который возлагается обеспечение контроля и надзора за соответствием обработки персональных данных требованиям закона, является Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций, действующая непосредственно и через свои территориальные органы. Для исполнения указанной функции Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций вправе в порядке и случаях, которые установлены законодательством Российской Федерации, применять в установленной сфере ведения меры профилактического и пресекательного характера, направленные на недопущение нарушений юридическими лицами и гражданами обязательных требований в этой сфере и (или) ликвидацию последствий таких нарушений.

Пунктами 6, 10-11, 28-32, 76, 85, 86 Административного регламента исполнения Федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций государственной функции по осуществлению государственного контроля (надзора) за соответствием обработки персональных данных требованиям законодательства Российской Федерации в области персональных данных, утвержденного Приказом Министерства связи и массовых коммуникаций Российской Федерации от 14.11.2011 N 312, установлено, что указанная служба проводит проверки деятельности операторов на предмет соответствия требованиям законодательства Российской Федерации в области персональных данных, которые могут носить как плановый, так и внеплановый характер, в форме документарной или выездной проверки. Внеплановые проверки проводятся, в том числе, в связи с поступлением в Службу или ее территориальные органы обращений и заявлений граждан, юридических лиц, индивидуальных предпринимателей, информации от органов государственной власти, органов местного самоуправления, из средств массовой информации, в том числе о следующих фактах: нарушение прав и законных интересов граждан действиями (бездействием) операторов при обработке их персональных данных, нарушение операторами требований законодательства Российской Федерации в области персональных данных, а также о несоответствии сведений, содержащихся в уведомлении об обработке персональных данных, фактической деятельности. Проверка службы и ее территориального органа завершается составлением и вручением оператору акта проверки, выдачей оператору предписаний об устранении выявленных нарушений требований законодательства Российской Федерации в области персональных данных.

Таким образом, оспоренное предписание выдано управление в пределах предоставленных ему полномочий.

В силу статьи 22 Закона N 152-ФЗ оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи (ч.1). Уведомление должно содержать следующие сведения: наименование (фамилия, имя, отчество), адрес оператора; цель обработки персональных данных; категории персональных данных; категории субъектов, персональные данные которых обрабатываются; правовое основание обработки персональных данных; перечень действий с персональными данными, общее описание используемых оператором способов обработки персональных данных; описание мер, предусмотренных статьями 18.1 и 19 Закона N 152-ФЗ, в том числе сведения о наличии шифровальных (криптографических) средств и наименования этих средств; фамилия, имя, отчество физического лица или наименование юридического лица, ответственных за организацию обработки персональных данных, и номера их контактных телефонов, почтовые адреса и адреса электронной почты; дата начала обработки персональных данных; срок или условие прекращения обработки персональных данных; сведения о наличии или об отсутствии трансграничной передачи персональных данных в процессе их обработки; сведения об обеспечении безопасности персональных данных в соответствии с требованиями к защите персональных данных, установленными Правительством Российской Федерации (ч.3).

По итогам проведенной в ходе проверки оценки содержания поступившего в уполномоченный орган по защите персональных данных уведомления ОАО "ЭК "Восток" об обработке персональных данных от 29.12.2012, а также оценки персональных данных, указанных в Едином информационном листе на оплату коммунальных услуг и в платежных документах на оплату услуг, заинтересованным лицом установлена неполнота содержания указанного уведомления ввиду отсутствия в нем сведений о следующих обрабатываемых категориях персональных данных: номер лицевого счёта, площадь помещения, сумма начисления и (или) задолженности, показания электрического счетчика, номер электрического счетчика.

Факт отсутствия указанной информации в уведомлении от 29.12.2012 подтвержден материалами дела и заявителем по существу не оспаривается.

Поскольку указанная информация относится к определяемому физическому лицу, вывод заинтересованного лица о ее отнесении к персональным данным (в соответствии с п.1 ст.3 Закона N 152-ФЗ) и, как следствие, о необходимости ее отражения в уведомлении, направляемом оператором в уполномоченный орган по защите прав субъектов персональных данных, следует признать обоснованным. Изложенные в апелляционной жалобе возражения заявителя в этой части подлежат отклонению, как основанные на неверном толковании закона.

Субъект персональных данных принимает решение о предоставлении своих персональных данных и дает согласие на их обработку своей волей и в своем интересе (ч.1 ст.9 Закона N 152-ФЗ).

В соответствии с ч.1 ст.6 Закона N 152-ФЗ, обработка персональных данных должна осуществляться с соблюдением принципов и правил, предусмотренных настоящим Федеральным законом. Обработка персональных данных допускается в том числе в следующих случаях: обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных (п.1); обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем (п.5); обработка персональных данных необходима для осуществления прав и законных интересов оператора или третьих лиц либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъекта персональных данных (п.7).

Оператор вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора, в том числе государственного или муниципального контракта, либо путем принятия государственным или муниципальным органом соответствующего акта. Лицо, осуществляющее обработку персональных данных по поручению оператора, обязано соблюдать принципы и правила обработки персональных данных, предусмотренные настоящим Федеральным законом. В поручении оператора должны быть определены перечень действий (операций) с персональными данными, которые будут совершаться лицом, осуществляющим обработку персональных данных, и цели обработки, должна быть установлена обязанность такого лица соблюдать конфиденциальность персональных данных и обеспечивать безопасность персональных данных при их обработке, а также должны быть указаны требования к защите обрабатываемых персональных данных в соответствии со статьёй 19 настоящего Федерального закона (ч.3 ст.6 Закона N 152-ФЗ).

Операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом (ст.7 Закона N 152-ФЗ).

Из материалов дела следует, что на основании заключенного ОАО "ЭК "Восток" (принципал) с ООО "Единый Расчётный Центр "Прогресс" (агент) агентского договора от 01.07.2007 N 24/АД/07-07 (с учетом дополнительного соглашения N 6 от 01.11.2012), в целях осуществления агентом от имени и за счет заявителя действий по приему денежных средств в счет оплаты по договорам энергоснабжения, ООО "Единый Расчетный Центр "Прогресс" производит оформление информационных листов на оплату коммунальных услуг (счетов на оплату) и приём платежей, в которых вносятся персональные данные граждан (фамилия, имя, отчество, адрес места жительства, номер лицевого счёта, площадь помещения, сумма начисления и (или) задолженности, показания электрического счетчика, номер электрического счетчика).

Как установлено управлением, передача указанному лицу персональных данных Дорошенко А.Ю. осуществлена заявителем в соответствии с приведенным агентским договором, без предварительного согласия субъекта персональных данных.

Общество, ссылаясь на положения п.п.5 и 7 ч.1 ст.6 Закона N 152-ФЗ полагает, что в целях исполнения обязательств по договору электроснабжения, заключенному с Дорошенко А.Ю., ему, как оператору, не требуется получать от указанного субъекта персональных данных согласия на обработку персональных данных.

Однако, как обоснованно отмечено судом первой инстанции, в рассматриваемой ситуации персональные данные гражданина переданы заявителем ООО "ЕРЦ "Прогресс" во исполнение заключенного между заявителем и указанным юридическим лицом агентского договора, а не в целях исполнения договора заключенного с Дорошенко А.Ю. договора электроснабжения. Дорошенко А.Ю. не является стороной агентского договора, а потому положения п.п.5 и 7 ч.1 ст.6 Закона N 152-ФЗ в рассматриваемой ситуации неприменимы. Позиция заявителя в указанной части противоречит требованиям статьи 7 Закона N 152-ФЗ, прямо устанавливающей запрет на раскрытие персональных данных третьим лицам лицами, получившими доступ к таким данным.

В этой связи, вывод заинтересованного лица о нарушении действиями общества положений ч.3 ст.6 Закона N 152-ФЗ является обоснованным. Содержащиеся в апелляционной жалобе заявителя возражения в этой части не могут быть приняты судом апелляционной инстанции, как не основанные на законе.

Таким образом, изложенные в оспоренном предписании выводы управления о допущенных заявителем нарушениях являются законными и требование об устранении этих нарушений соответствует ч.1 ст.23 Закона N 152-ФЗ.

Учитывая указанные обстоятельства, у суда первой инстанции отсутствовали основания для удовлетворения заявленных требований.

Процессуальных нарушений, являющихся в силу ч.4 ст.270 Арбитражного процессуального кодекса Российской Федерации безусловным основанием для отмены судебного акта, не установлено.

С учетом изложенного, суд апелляционной инстанции не усматривает оснований для удовлетворения апелляционной жалобы и отмены решения суда первой инстанции.

При обращении в суд с апелляционной жалобой ОАО "ЭК "Восток" излишне уплачена госпошлина в размере 1000 руб. В соответствии с пп.1 п.1 ст.333.40 Налогового кодекса Российской Федерации, эта сумма подлежит возврату заявителю из федерального бюджета.

Руководствуясь статьями 176, 268-271 Арбитражного процессуального кодекса Российской Федерации, суд апелляционной инстанции

ПОСТАНОВИЛ:

решение Арбитражного суда Курганской области от 15.10.2013 по делу N А34-3659/2013 оставить без изменения, апелляционную жалобу открытого акционерного общества "Энергосбытовая компания "Восток" - без удовлетворения.

Возвратить открытому акционерному обществу "Энергосбытовая компания "Восток" (основной государственный регистрационный номер 1037739123696) из федерального бюджета госпошлину в размере 1000 руб., излишне уплаченную по платежному поручению от 28.10.2013 N 10765.

Постановление может быть обжаловано в порядке кассационного производства в Федеральный арбитражный суд Уральского округа в течение двух месяцев со дня его принятия (изготовления в полном объеме) через арбитражный суд первой инстанции.

Председательствующий судья

А.А. Арямов

Судьи

В.В. Баканов В.Ю. Костин