Постановление Двенадцатого арбитражного апелляционного суда от 23 ноября 2016 г. N 12АП-11071/16

г. Саратов

23 ноября 2016 г.

Дело N А06-5241/2016

Резолютивная часть постановления объявлена: 21 ноября 2016 года.

Постановление изготовлено в полном объеме 23 ноября 2016 года.

Двенадцатый арбитражный апелляционный суд в составе:

председательствующего судьи Кузьмичева С.А.,

судей Комнатной Ю.А., Цуцковой М.Г.,

при ведении протокола судебного заседания секретарём судебного заседания Маловым В.Е.,

рассмотрев в открытом судебном заседании апелляционную жалобу Управления федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Астраханской области на решение Арбитражного суда Астраханской области от 26 августа 2016 года по делу N А06-5241/2016 (судья Шарипов Ю. Р.)

по заявлению Администрации муниципального образования "Город Астрахань" (ОГРН 1033000821809, ИНН 3015009178)

к Управлению федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Астраханской области (ОГРН 1043000706902, ИНН 3015066338)

о признании незаконными акта от 28.04.2016 г. N А-30/2/42-нд/38 и предписания от 28.04.2016 г. N П-30/2/42-нд/-/1/1,

при участии в судебном заседании представителей: Управления федеральной службы - Купряшина Е.Г., Смирнова Е.Н.

УСТАНОВИЛ:

в Арбитражный суд Астраханской области обратилась Администрация муниципального образования "Город Астрахань" (далее - Администрация, заявитель) с заявлением о признании незаконными акта от 28.04.2016 г. N А-30/2/42-нд/38 и предписания от 28.04.2016 N П-30/2/42-нд/-/1/1 Управления Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Астраханской области (далее - административный орган, Управление Роскомнадзора по Астраханской области), в которых указано о выявленных нарушениях:

- части 5 статьи 18 Федерального закона "О персональных данных" - отсутствие документов, подтверждающих размещение баз персональных данных на технических площадках (ЦОД, сервера), информационных систем, находящихся на территории Российской Федерации;

- подпункта "б" пункта 1 Постановления Правительства Российской Федерации от 21.03.2012 N 211 "Об утверждении перечня мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом "О персональных данных" и принятыми в соответствии с ним нормативными правовыми актами, операторами, являющимися государственными или муниципальными органами" в части отсутствия в должностной инструкции начальника отдела мобилизационной подготовки администрации муниципального образования "Город Астрахань" ответственности за организацию обработки персональных данных в администрации МО "Город Астрахань";

- пункта 2 Постановления Правительства Российской Федерации от 21.03.2012 N 211 "Об утверждении перечня мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом "О персональных данных" и принятыми в соответствии с ним нормативными правовыми актами, операторами, являющимися государственными или муниципальными органами" в части не опубликования на сайте Администрации документов, определяющих политику в области обработки персональных данных.

- части 2.1 статьи 25 Федерального закона "О персональных данных" - отсутствие в уведомлении об обработке персональных данных сведений, которые необходимо было представить не позднее 01.01.2013 в Уполномоченный орган, а именно: перечень действий с персональными данными, общее описание используемых оператором способов обработки персональных данных.

Решением суда первой инстанции от 26.08.2016 заявленные требования удовлетворены частично.

Суд признал недействительными акт проверки N А-30/2/42-нд/38 от 28.04.2016 и предписание N П-30/2/42-нд/-/1/1 от 28.04.2016 Управления Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Астраханской области в части выводов о совершении Администрацией муниципального образования "Город Астрахань" следующих нарушений:

Управление Роскомнадзора по Астраханской области не согласилось с вынесенным решением и обратилось в Двенадцатый арбитражный апелляционный суд с жалобой, в которой просит решение суда первой инстанции отменить, в удовлетворении заявленных Администрацией требований отказать.

Исследовав материалы дела, выслушав доводы участников процесса, арбитражный суд апелляционной инстанции пришел к выводу, что апелляционная жалоба административного органа не подлежит удовлетворению.

Как следует из материалов дела, В период с 01.04.2016 по 28.04.2016 Управлением федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Астраханской области (далее - Роскомнадзор) была проведена проверка за соответствием обработки персональных данных требованиям законодательства Российской Федерации в области персональных данных в администрации муниципального образования "Город Астрахань".

По результатам данной проверки составлен акт проверки от 28.04.2016 N А-30/2/42- нд/38 и выдано предписание об устранении нарушений от 28.04.2016 N П-30/2/42-нд/-/1/1, в которых указано о выявленных нарушениях, а именно:

Считая, что в действиях администрации отсутствуют нарушения Федерального закона "О персональных данных", администрация обратилась в арбитражный суд с настоящим заявлением.

Суд первой инстанции, принимая обжалуемое решение, пришел к выводу о соблюдении Администрацией положений, установленных частью 5 статьи 18 Федерального закона "О персональных данных", подпункта "б" пункта 1, пункта 2 Постановления Правительства Российской Федерации от 21.03.2012 N 211 "Об утверждении перечня мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом "О персональных данных".

Суд также пришел к выводу о нарушении администрацией ч.2.1 ст.25 Федерального закона "О персональных данных".

Изучив доводы апелляционной жалобы, оценив представленные доказательства, в соответствии с положениями статьи 71 Арбитражного процессуального кодекса Российской Федерации, суд апелляционной инстанции не находит оснований для отмены решения суда первой инстанции.

В акте проверки и предписании указано, что в нарушение ч.5 ст. 18 федерального закона "О персональных данных" отсутствуют документы, подтверждающие размещение баз персональных данных на технических площадках (ЦОД, сервера), информационных систем, находящихся на территории Российской Федерации".

При этом ч.5 ст. 18 федерального закона "О персональных данных" предусмотрено, что при сборе персональных данных, в том числе посредством информационно-телекоммуникационной сети "Интернет", оператор обязан обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации, за исключением случаев, указанных в пунктах 2, 3, 4, 8 части 1 статьи 6 настоящего Федерального закона.

Наличие каких-либо документов, подтверждающих нахождение баз Персональных данных на технических площадках на территории Российской Федерации, действующим законодательством не предусмотрено.

В соответствии с ч.3 ст.22 Федерального закона "О персональных данных" сведения о месте нахождения базы данных информации, содержащей персональные данные граждан Российской Федерации указываются в Уведомлении об обработке персональных данных.

Согласно сведениям, указанным в соответствии с ч. 3 ст. 22 Закона в уведомлении об обработке персональных данных, места нахождения базы данных Оператора находятся: 414000, г. Астрахань, ул. Чернышевского, д.6, что не опровергается Управлением федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Астраханской области и установлено судом в ходе рассмотрения дела.

Требование административного органа о необходимости подтверждения места нахождения баз данных соответствующими документами (приказы, Блок-схемы), утвержденными главой администрации, выходит за рамки положений закона. Форма таких документов нормативно не установлена.

В связи с чем, суд апелляционной инстанции соглашается с выводом Арбитражного суда Астраханской области, что указанного в акте проверки нарушения ч.5 ст. 18 Федерального закона "О персональных данных" не имеется, довод административного органа о наличии нарушения названной нормы, является необоснованным.

В акте проверки и предписании указано, что в нарушение п.1 б Постановления Правительства Российской Федерации от 21.03.2012 N 211 "Об утверждения перечня мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом "О персональных данных" и принятыми в соответствии с ними нормативными правовыми актами, операторами, являющимися государственными и муниципальными органами" в должностной инструкции начальника отдела мобилизационной подготовки администрации муниципального образования "Город Астрахань", отсутствует ответственность за организацию обработки персональных данных.

Однако, подпунктами "а", "б" пункта 1 Постановления Правительства РФ от 21.03.2012 N 211 "Об утверждении перечня мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом "О персональных данных" и принятыми в соответствии с ним нормативными правовыми актами, операторами, являющимися государственными или муниципальными органами" предусмотрено, что "операторы, являющиеся государственными или муниципальными органами, принимают следующие меры, направленные на обеспечение выполнения обязанностей, предусмотренных Федеральным законом "О персональных данных" и принятыми в соответствии с ним нормативными правовыми актами:

а) назначают ответственного за организацию обработки персональных данных в государственном или муниципальном органе из числа государственных или муниципальных служащих (далее - служащие) данного органа;

б) утверждают актом руководителя государственного или муниципального органа среди прочих документов:

должностной регламент (должностные обязанности) или должностная инструкция ответственного за организацию обработки персональных данных в государственном или муниципальном органе".

При этом, указанные нормы не регламентируют содержание должностной инструкции, в том числе не устанавливают требования о закреплении в должностной инструкции должностного лица.

Распоряжением администрации муниципального образования "Город Астрахань" от 24.11.2015 N 1212-р ответственным за организацию обработки персональных данных был назначен начальник отдела мобилизационной подготовки администрации муниципального образования "Город Астрахань" И.К. Кириченко.

Распоряжением администрации города Астрахани от 07.05.2014 N 425-р "Об утверждении документов в целях реализации требований законодательства о персональных данных" с изменениями, внесенными распоряжением администрации города Астрахани от 26.08.2014 N 923-р, распоряжениями администрации муниципального образования "Город Астрахань" от 15.03.2016 N 167-р, от 01.04.2016 N 248-р, от 14.04.2016 N 332-р были утверждены обязанности ответственного, за организацию обработки персональных данных в администрации муниципального образования "Город Астрахань". Все поименованные акты были предоставлены проверяющим в ходе проверки.

Таким образом, судебная коллегия соглашается с выводом, что требования подпункта б п. 1 постановления Правительства РФ от 21.03.2012 N 211 Администрацией соблюдены и соответственно, нарушения требований законодательства отсутствуют.

В акте проверки и предписании указано, что в нарушение п. 2 Постановления Правительства РФ от 21.03.2012 N 211 "Об утверждении перечня мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом "О персональных данных" и принятыми в соответствии с ним нормативными правовыми актами, операторами, являющимися государственными или муниципальными органами" не опубликованы на сайте Администрации документы, определяющие политику в области обработки персональных данных".

Данный вывод акта проверки не соответствуют действительности, поскольку распоряжением администрации города Астрахани от 07.05.2014 N 425-р "Об утверждении документов в целях реализации требований законодательства о персональных данных" и вносящие в него изменения, распоряжение администрации города Астрахани от 26.08.2014 N 923-р, распоряжения администрации муниципального образования "Город Астрахань" от 15.03.2016 N 167-р, от 01.04.2016 N 248-р, от 14.04.2016 N 332-р размещены на сайте органов местного самоуправления www.astrgorod.ru. Данные акты размещены на сайте по ссылкам.

Факт отсутствия размещения информации в сети интернет надлежаще не удостоверен, поскольку контролирующий орган представил только распечатанное изображение страницы интернет сайта, подлинность которого оспаривается.

Судебная коллегия обращает внимание, что доводы апелляционной жалобы были предметом исследования в Арбитражном суде Астраханской области и не опровергают правомерность обжалуемого судебного акта, поскольку направлены на переоценку фактических обстоятельств дела и выводов суда первой инстанции.

С учетом изложенного, оснований для отмены решения суда первой инстанции не имеется.

Руководствуясь статьями 268 - 272 Арбитражного процессуального кодекса Российской Федерации, арбитражный апелляционный суд

ПОСТАНОВИЛ:

Решение Арбитражного суда Астраханской области от 26 августа 2016 года по делу N А06-5241/2016 оставить без изменения, апелляционную жалобу - без удовлетворения.

Постановление арбитражного суда апелляционной инстанции вступает в законную силу со дня его принятия и может быть обжаловано в Арбитражный суд Поволжского округа в течение месяца, согласно ч. 5 ст. 188 АПК РФ, со дня изготовления постановления в полном объеме через арбитражный суд первой инстанции.

Председательствующий

С.А. Кузьмичев

Судьи

Ю.А. Комнатная
М.Г. Цуцкова

Откройте актуальную версию документа прямо сейчас

Получить бесплатный доступ

Если вы являетесь пользователем интернет-версии системы ГАРАНТ, вы можете открыть этот документ прямо сейчас или запросить по Горячей линии в системе.