Постановление Пятого арбитражного апелляционного суда от 19 мая 2020 г. N 05АП-2669/20 по делу N А51-24867/2019

ГАРАНТ:

Постановлением Арбитражного суда Дальневосточного округа от 3 сентября 2020 г. N Ф03-3253/20 настоящее постановление оставлено без изменения

г. Владивосток

19 мая 2020 г.

Дело N А51-24867/2019

Резолютивная часть постановления объявлена 18 мая 2020 года.

Постановление в полном объеме изготовлено 19 мая 2020 года.

Пятый арбитражный апелляционный суд в составе:

председательствующего А.В. Гончаровой,

судей О.Ю. Еремеевой, С.В. Понуровской,

при ведении протокола секретарем судебного заседания Д.Е.Филипповой,

рассмотрев в открытом судебном заседании апелляционную жалобу

общества с ограниченной ответственностью "Дром Ассист",

апелляционное производство N 05АП-2669/2020

на решение от 13.03.2020

судьи А.А. Фокиной

по делу N А51-24867/2019 Арбитражного суда Приморского края

по заявлению общества с ограниченной ответственностью "Дром Ассист" (ИНН 2536285785; 2536285785, ОГРН 1152536007139; 1152536007139)

к Управлению Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Приморскому краю (ИНН 2539063082, ОГРН 1042504058343)

об оспаривании письма от 04.09.2019 N 12516-05/25,

при участии: от Управления Роскомнадзора по Приморскому краю: Зайцева О.В. по доверенности от 17.12.2019 сроком действия до 31.12.2020, диплом (регистрационный номер 46447), удостоверение.

ООО "Дром Ассист" не явилось, извещено.

УСТАНОВИЛ:

Общество с ограниченной ответственностью "Дром Ассист" (далее - заявитель, общество, ООО "Дром Ассист") обратилось в арбитражный суд с заявлением к Управлению Роскомнадзора по Приморскому краю (далее - административный орган, Управление Роскомнадзора по Приморскому краю, Роскомнадзор, Управление) о признании недействительным письма Управления Роскомнадзора по Приморскому краю от 04.09.2019 N 12516-05/25.

Решением Арбитражного суда Приморского края от 13.03.2020 в удовлетворении заявленных требований отказано.

Не согласившись с принятым судебным актом, общество обратилось в Пятый арбитражный апелляционный суд с апелляционной жалобой, в которой просит решение суда от 13.03.2020 отменить, принять новый судебный акт об удовлетворении заявленных требований.

В обоснование своей правовой позиции общество ссылается на нарушение Управлением Роскомнадзора процедуры запроса информации, установленной Федеральным законом "О персональных данных". По мнению заявителя жалобы, порядок организации и проведения мероприятий по контролю без взаимодействия с операторами не предусматривает права Роскомнадзора направлять какие-либо запросы в адрес оператора или требовать предоставления оператором каких-либо сведений или документов, поскольку указанные процедуры осуществляются только при проведении проверки оператора в порядке разделов II-VIII Правил организации и осуществления государственного контроля и надзора за обработкой персональных данных, утвержденных Постановлением Правительства Российской Федерации от 13.02.2019 N 146 (далее - Правила N 146). Ввиду того, что проверка в отношении общества не проводилась, требование административного органа о предоставлении значительного объема сведений и документов незаконно. Настаивает на том, что поскольку общество обрабатывает персональные данные из установленного в статье 22 Федерального закона "О персональных данных" перечня, то имеет право не уведомлять Управление об обрабатываемых персональных данных.

Общество с ограниченной ответственностью "Дром Ассист", надлежащим образом извещенное о времени и месте судебного разбирательства в заседание суда не явилось, в порядке ст. 156 АПК РФ коллегия рассмотрела апелляционную жалобу в отсутствие заявителя.

Управление Роскомнадзора по тексту представленного отзыва, приобщенного коллегией к материалам дела в порядке статьи 262 АПК РФ, с доводами жалобы не согласилось, решение суда первой инстанции просило оставить без изменения, апелляционную жалобу - без удовлетворения.

В судебном заседании представитель Управления Роскомнадзора на доводы апелляционной жалобы возразила.

Из материалов дела коллегия суда установила следующее.

Согласно сведениям ЕГРЮЛ общество осуществляет деятельность, связанную с использованием вычислительной техники и информационных технолгий, а также деятельность по созданию и использованию баз данных и информационных ресурсов.

В ходе реализации возложенных полномочий Управление Роскомнадзора по Приморскому краю были выявлены признаки деятельности, предполагающей обработку ООО "Дром Ассист" персональных данных, в связи с чем 04.09.2019 в его адрес было направлено уведомление за N 12516-05/25, которое содержало требование:

- уведомить уполномоченный орган о своём намерении осуществлять обработку персональных данных до начала обработки персональных данных;

- в случае наличия у ООО "Дром Ассист" оснований, позволяющих осуществлять деятельность по обработке персональных данных без уведомления уполномоченного органа, просило предоставить следующие сведения об обработке ООО "Дром Ассист" персональных данных:

перечень персональных данных, обрабатываемых ООО "Дром Ассист", и источники их получения;

сведения о категориях лиц, чьи персональные данные обрабатывает ООО "Дром Ассист";

цели и правовые основания осуществления ООО "Дром Ассист" обработки персональных данных, в том числе относительно передачи персональных данных третьим лицам;

способы обработки ООО "Дром Ассист" персональных данных;

использование информационных систем персональных данных, имеющих в соответствии с федеральными законами статус государственных автоматизированных информационных систем;

информацию, подтверждающую принятие мер по соблюдению требований части 1 статьи 18.1 Закона о персональных данных;

сведения о соблюдении требований части 5 статьи 18 Закона о персональных данных в части обеспечения размещения баз персональных данных на территории Российской Федерации.

Запрашиваемую информацию необходимо было предоставить в сроки, установленные части 4 статьи 20 Закона, по электронной почте на адрес rsockanc25@rkn.gov.ru, rkn25@pfrkn.cloud.rt.ru и направить письмо по адресу Беломорская ул., д. 18, 690041; а/я 2210, г. Владивосток, 690022.

Также ООО "Дром Ассист" было разъяснено, что в случае непредставления или несвоевременного представления в государственный орган сведений, представление которых предусмотрено законом и необходимо для осуществления этим органом его законной деятельности, а равно представление таких сведений в не полном объеме или в искаженном виде, предусматривается административная ответственность в соответствии со статьей 19.7 КоАП РФ.

Не согласившись с названным письмом, полагая, что как ненормативный акт оно возлагает на общество обязанности и нарушает его права в предпринимательской деятельности, общество обратилось в арбитражный суд с рассматриваемым заявлением, в удовлетворении которого судом отказано.

Исследовав материалы дела, проверив в порядке статей 266 - 271 АПК РФ правильность применения судом первой инстанции норм материального и процессуального права, арбитражный суд апелляционной инстанции не находит оснований для отмены обжалуемого судебного акта на основании следующего.

Согласно части 1 статьи 198, части 4 статьи 200, частям 2 и 3 статьи 201 АПК РФ для признания недействительными ненормативных правовых актов, незаконными решений и действий (бездействия) государственных органов и их должностных лиц необходимо наличие в совокупности двух условий: несоответствия оспариваемого ненормативного правового акта, решений и действий (бездействия) закону или иному нормативному правовому акту и нарушение прав и законных интересов заявителя в сфере предпринимательской и иной экономической деятельности.

Отношения, связанные с обработкой персональных данных, осуществляемой федеральными органами государственной власти, органами государственной власти субъектов Российской Федерации, иными государственными органами (далее - государственные органы), органами местного самоуправления, иными муниципальными органами (далее - муниципальные органы), юридическими лицами и физическими лицами с использованием средств автоматизации, в том числе в информационно-телекоммуникационных сетях, или без использования таких средств, если обработка персональных данных без использования таких средств соответствует характеру действий (операций), совершаемых с персональными данными с использованием средств автоматизации, то есть позволяет осуществлять в соответствии с заданным алгоритмом поиск персональных данных, зафиксированных на материальном носителе и содержащихся в картотеках или иных систематизированных собраниях персональных данных, и (или) доступ к таким персональным данным регулируются Федеральным законом Российской Федерации от 27.07.2006 N 152-ФЗ "О персональных данных" (далее - Закон N 152-ФЗ).

Целью названого Закона является обеспечение защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну (статья 2 Закона N 152-ФЗ).

В силу пункта 1 статьи 4 Закона N 152-ФЗ законодательство Российской Федерации в области персональных данных основывается на Конституции Российской Федерации и международных договорах Российской Федерации и состоит из настоящего Федерального закона и других определяющих случаи и особенности обработки персональных данных федеральных законов.

В соответствии с частью 4 статьи 15 Конституции Российской Федерации общепризнанные принципы и нормы международного права и международные договоры Российской Федерации являются составной частью ее правовой системы. Если международным договором Российской Федерации установлены иные правила, чем предусмотренные законом, то применяются правила международного договора.

Основные принципы защиты данных личного характера получили закрепление в Конвенции Совета Европы N 108 "О защите физических лиц при автоматизированной обработке персональных данных" (Страсбург, 28 января 1981 г.).

Эти принципы отражают требования, предъявляемые: к качеству данных (получены и обработаны законным путем, зарегистрированы с определенной и законной целью и не используются вразрез с этой целью и др.); специальным категориям данных (данные личного характера, отражающие расовое происхождение, политические убеждения, религиозные верования или другие принципы, а также относящиеся к здоровью или сексуальной жизни, подлежат автоматизированной обработке только в том случае, если законодательство предоставляет надлежащие гарантии; аналогичное правило применяется относительно данных личного характера, связанных с уголовным осуждением); безопасности данных (приняты надлежащие меры безопасности для защиты данных личного характера, зарегистрированных в автоматизированных картотеках, от случайного или неразрешенного разрушения или от случайной утери, а также от неразрешенных доступа к ним, изменения или распространения); дополнительным гарантиям для субъекта данных (любое лицо должно иметь возможность: узнать о существовании автоматизированной картотеки данных личного характера, ее цели; получить в подходящее время, через любой срок и без особых затрат подтверждение наличия или отсутствия в автоматизированной картотеке данных личного характера, к нему относящихся, а также получить эти данные в надлежащей форме; требовать в случае необходимости исправления или стирания данных, если они были обработаны с нарушением положений законодательства, и т.д.).

Россия ратифицировала данную Конвенцию Федеральным законом от 19.12.2005 N 160-ФЗ "О ратификации Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных".

Персональными данными является любая информация, относящаяся прямо или косвенно к определенному или определяемому физическому лицу (субъекту персональных данных). Оператором персональных данных признается государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными (пункты 1, 2 статьи 3 Закона N 152-ФЗ).

Согласно пункту 3 статьи 3 Закона N 152-ФЗ под обработкой персональных данных понимаются действия (операции) с персональными данными, включая сбор, систематизацию, накопление, хранение, уточнение (обновление, изменение), использование, распространение (в том числе передачу), обезличивание, блокирование, уничтожение персональных данных.

На основании части 3 статьи 6 Закона N 152-ФЗ оператор вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора. Лицо, осуществляющее обработку персональных данных по поручению оператора, обязано соблюдать принципы и правила обработки персональных данных, предусмотренные настоящим Федеральным законом.

В силу части 1 статьи 22 Закона N 152-ФЗ оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи.

Из изложенного следует, что оператором признается лицо, осуществляющее либо намеревающееся осуществлять обработку персональных данных, при этом закон не связывает признание лица оператором с фактом включения (регистрации) такого лица в реестр операторов, осуществляющих обработку персональных данных.

Правовое значение для квалификации в качестве оператора имеет факт осуществления лицом видов деятельности, при которых оно может обрабатывать персональные данные, а равно намерение осуществлять такие виды деятельности.

Согласно сведениям ЕГРЮЛ ООО "Дром Ассист" осуществляет в том числе деятельность, связанную с использованием вычислительной техники и информационных технологий, прочую (код 62.09), а также деятельность по созданию и использованию баз данных и информационных ресурсов (код 63.11.1).

Учитывая, что при осуществлении указанных видов деятельности заявитель может производить обработку персональных данных, судебная коллегия считает, что в соответствии со статьей 3 Закона N 152-ФЗ он является оператором.

Судом ранее отмечено, что основной целью Закона о персональных данных является обеспечение защиты прав и свобод человека и гражданина при обработке его персональных данных, которой корреспондируют закрепленные в Главе 4 Закона N 152-ФЗ обязанности оператора при обращении с персональными данными.

В силу пункта 5 статьи 18 Закона N 152-ФЗ при сборе персональных данных, в том числе посредством информационно-телекоммуникационной сети "Интернет", оператор обязан обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации, за исключением случаев, указанных в пунктах 2, 3, 4, 8 части 1 статьи 6 настоящего Федерального закона.

Согласно пункту 1 статьи 19 Закона N 152-ФЗ оператор при обработке персональных данных обязан принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.

В соответствии с частью 1 статьи 23 Закона N 152-ФЗ уполномоченным органом по защите прав субъектов персональных данных, на который возлагается обеспечение контроля и надзора за соответствием обработки персональных данных требованиям настоящего Федерального закона, является федеральный орган исполнительной власти, осуществляющий функции по контролю и надзору в сфере информационных технологий и связи.

Пунктом 1 Положения о Федеральной службе по надзору в сфере связи, информационных технологий и массовых коммуникаций, утвержденного Постановлением Правительства Российской Федерации от 16.03.2009 N 228, определено, что Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) является федеральным органом исполнительной власти, осуществляющим функции по контролю и надзору в сфере средств массовой информации, в том числе электронных, и массовых коммуникаций, информационных технологий и связи, функции по контролю и надзору за соответствием обработки персональных данных требованиям законодательства Российской Федерации в области персональных данных, а также функции по организации деятельности радиочастотной службы.

Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций является уполномоченным федеральным органом исполнительной власти по защите прав субъектов персональных данных.

Согласно пунктам 2, 6 Положения об управлении Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Приморскому краю, утвержденного приказом Роскомнадзора от 25.01.2016 N 70, на территории Приморского края функции по контролю и надзору за соответствием обработки персональных данных требованиям законодательства Российской Федерации в области персональных данных осуществляет управление.

В соответствии с пунктом 1 части 3 статьи 23 Закона N 152-ФЗ, пунктом 8.1 указанного Положения, уполномоченный орган по защите прав субъектов персональных данных имеет право запрашивать и получать на безвозмездной основе у федеральных органов исполнительной власти и их территориальных органов, органов исполнительной власти субъектов Российской Федерации и органов местного самоуправления, а также у юридических и физических лиц сведения и материалы, необходимые для выполнения полномочий в установленной сфере деятельности.

Данное право реализуется Роскомнадзором посредством направления оператору персональных данных запроса (требования) о предоставлении информации в отношении обработки персональных данных.

Указанному праву уполномоченного органа в свою очередь корреспондирует установленная частью 4 статьи 20 Закона N 152-ФЗ обязанность оператора персональных данных сообщить в уполномоченный орган по запросу этого органа необходимую информацию в течение 30 дней с даты получения такого запроса.

Таким образом, как верно отметил суд первой инстанции, учитывая, что ООО "Дром Ассист" в соответствии со статьями 3, 20 Закона N 152-ФЗ является оператором, обязанным предоставлять уполномоченному органу запрашиваемые сведения, касающиеся деятельности по обработке персональных данных, основания для признания требования Управления, изложенного в письме от 04.09.2019 N 12516-05/25, незаконным отсутствуют.

Ссылки заявителя жалобы на положения Правил организации и осуществления государственного контроля и надзора за обработкой персональных данных", утвержденных Постановлением Правительства России от 13.02.2019 N 146, коллегией не принимаются, поскольку направление в порядке пункта 1 части 3 статьи 23 Закона N 152-ФЗ подобного запроса о предоставлении информации, необходимой для реализации задач, возложенных на органы Роскомнадзора, не может рассматриваться в качестве проведения в отношении заявителя каких-либо из мероприятий, перечисленных в пункте 3 Правил N146.

Соответственно не может быть признан обоснованным и довод общества об отсутствии у Управления повода для направления требования, поскольку реализация административным органом функции контроля и надзора за соответствием обработки персональных данных требованиям законодательства Российской Федерации в области персональных данных предполагает полномочие на самостоятельное выявление операторов и возможность запроса у них необходимой информации.

Довод апеллянта о том, что общество обрабатывает персональные данные исключительно из перечня части 2 статьи 22 Закона N 152-ФЗ, что дает право не уведомлять Управление о намерении осуществлять обработку персональных данных, апелляционной коллегией также не принимается, поскольку в оспариваемом запросе от 04.09.2019 помимо указания на необходимость представления уведомления об обработке персональных данных, также было указано на необходимость представить соответствующие сведения об обработке персональных данных в случае наличия у заявителя оснований, позволяющих осуществлять деятельность по обработке персональных данных без уведомления. Однако данное требование обществом выполнено не было.

При таких обстоятельствах, учитывая, что оспариваемое требование не противоречит закону и не нарушает права и законные интересы заявителя, суд первой инстанции обоснованно в соответствии с частью 3 статьи 201 АПК РФ отказал в удовлетворении заявленных требований.

Таким образом, доводы, изложенные в апелляционной жалобе, не нашли своего подтверждения при ее рассмотрении, по существу сводятся к переоценке законных и обоснованных, по мнению суда апелляционной инстанции, выводов суда первой инстанции, не содержат фактов, которые имели бы юридическое значение для вынесения судебного акта по существу, влияли на обоснованность и законность решения, либо опровергали выводы суда первой инстанции, в связи с чем признаются судом апелляционной инстанции несостоятельными и не влекущими отмену либо изменение обжалуемого судебного акта.

Нарушений норм процессуального права, являющихся в силу части 4 статьи 270 АПК РФ безусловными основаниями для отмены судебного акта, судом апелляционной инстанции не установлено.

Следовательно, оснований для отмены обжалуемого решения арбитражного суда и удовлетворения апелляционной жалобы не имеется.

По результатам рассмотрения апелляционной жалобы, исходя из отсутствия оснований для ее удовлетворения, судебные расходы по уплате государственной пошлины в сумме 1 500 рублей, понесенные заявителем при подаче апелляционной жалобы, на основании статьи 110 АПК РФ относятся коллегией на заявителя. Излишне уплаченная при подаче апелляционной жалобы государственная пошлина в сумме 1 500 рублей подлежит возврату лицу, ее уплатившему, из федерального бюджета.

Руководствуясь статьями 258, 266-271 Арбитражного процессуального кодекса Российской Федерации, Пятый арбитражный апелляционный суд

ПОСТАНОВИЛ:

Решение Арбитражного суда Приморского края от 13.03.2020 по делу N А51-24867/2019 оставить без изменения, апелляционную жалобу - без удовлетворения.

Возвратить Казакову Николаю Михайловичу из федерального бюджета государственную пошлину в размере 1 500 (одна тысяча пятьсот) рублей, излишне уплаченную при подаче апелляционной жалобы по чеку-ордеру от 24.03.2020, номер операции 8639381.

Выдать справку на возврат государственной пошлины.

Постановление может быть обжаловано в Арбитражный суд Дальневосточного округа через Арбитражный суд Приморского края в течение двух месяцев.

Председательствующий

А.В. Гончарова

Судьи

О.Ю. Еремеева С.В. Понуровская