Постановление Девятого арбитражного апелляционного суда от 9 февраля 2022 г. N 09АП-87227/21 по делу N А40-163911/2021

г. Москва

09 февраля 2022 г.

Дело N А40-163911/21

Резолютивная часть постановления объявлена 02 февраля 2022 года.

Постановление изготовлено в полном объеме 09 февраля 2022 года.

Девятый арбитражный апелляционный суд в составе:

председательствующего судьи Ж.В. Поташовой,

судей:	И.В.Бекетовой, И.А.Чеботаревой,
при ведении протокола	помощником судьи М.М.Пахомовым,

рассмотрев в открытом судебном заседании в зале N 15 апелляционную жалобу

Управления Роскомнадзора по ЦФО

на решение Арбитражного суда г. Москвы от 16.11.2021 по делу N А40-163911/21

по заявлению ПАО "Аэрофлот-Российские авиалинии"

к Управлению Роскомнадзора по Центральному Федеральному округу

о признании недействительными пунктов 3-7 предписания,

при участии:

от заявителя: от ответчика:

Порошина Н.А. по дов. от 03.12.2021; Соломоненко В.А. по дов; 11.01.2022;

УСТАНОВИЛ:

ПАО "Аэрофлот-Российские Авиалинии" (далее - заявитель, общество) обратилось в Арбитражный суд города Москвы с заявлением о признании пунктов 3-7 предписания от 28.04.2021 N П77/09/39-нд/-/1/11, вынесенного Управлением Роскомнадзора по Центральному федеральному округу (далее - заинтересованное лицо, административный орган), недействительными.

Решением Арбитражного суда города Москвы от 16.11.2021 пункты 3-7 предписания от 28.04.2021 N П77/09/39-нд/-/1/11 Управления Роскомнадзора по Центральному федеральному округу, признаны недействительными.

На указанное решение Ответчиком подана апелляционная жалоба, в которой заявитель просит решение суда отменить, принять новый судебный акт об отказе в удовлетворении заявленных требований.

В судебном заседании апелляционного суда представитель Ответчика поддержал требования апелляционной жалобы по изложенным в ней доводам.

Представитель Заявителя возражал против удовлетворения апелляционной жалобы, представил письменный отзыв, в котором просил решение оставить без изменений, апелляционную жалобу - без удовлетворения.

Законность и обоснованность решения проверены в соответствии со ст. ст. 266 и 268 АПК РФ.

Сроки, предусмотренные ч. 4 ст. 198 АПК РФ, суд первой инстанции обоснованно счел соблюденными.

В соответствии с ч. 4 ст. 200 АПК РФ, ст. 13 Гражданского кодекса Российской Федерации, п. 6 Постановления Пленума Верховного Суда Российской Федерации и Пленума Высшего Арбитражного Суда Российской Федерации от 01.07.1996 N 6/8 "О некоторых вопросах, связанных с применением части первой Гражданского кодекса Российской Федерации" в круг обстоятельств, подлежащих установлению при рассмотрении дел об оспаривании ненормативных актов, действий (бездействия) госорганов входят проверка соответствия оспариваемого акта закону или иному нормативному правовому акту, проверка факта нарушения оспариваемым актом действием (бездействием) прав и законных интересов заявителя, а также соблюдение срока на подачу заявления в суд.

Принимая оспариваемое решение, суд первой инстанции, вопреки доводам апелляционной жалобы, полно и всесторонне исследовал имеющие значение для правильного рассмотрения дела обстоятельства, правильно применил и истолковал нормы материального и процессуального права.

Как установлено судом первой инстанции, в соответствии с приказом от 15.03.2021 N 39-пд Управлением Роскомнадзора по Центральному федеральному округу проведена плановая выездная проверка в отношении ПАО "Аэрофлот".

По результатам проверки в отношении заявителя составлен акт проверки от 28.04.2021 N А-77/09/39-нд/77, из которого следует, что административным органом выявлено нарушение заявителем Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных".

В целях устранения нарушений административным органом заявителю выдано предписание от 28.04.2021 N П-77/09/.39-нд/-/1/11 (далее - предписание).

Как следует из п. 3 указанного предписания, ПАО "Аэрофлот" нарушены требования ч. 4 ст. 21 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных" в части несоблюдения установленных Федеральным законом от 27.07.2006 N 152-ФЗ "О персональных данных" требований по уничтожению персональных данных уволенных работников.

Так, административным органом был выявлен факт обработки заявителем персональных данных уволенных государственных гражданских служащих после достижения цели обработки (увольнение, исполнение требований законов о бухгалтерском учете, о налоговом учете), уволенных свыше 5 лет на момент проверки, что подтверждается снимками экрана информационной системы "SAP", в том числе отображающими карточку уволенного работника Егановой Т.С., Неизвестных С.Ю., Гришина М.В. (приказ от 14.03.2014 N 2603/л о прекращении (расторжении) трудового договора с работником (увольнение), приказ от 23.01.2014 N 675/л о прекращении (расторжении) трудового договора с работником (увольнение), приказ от 27.11.2014 ШЭ053/л о прекращении (расторжении) трудового договора с работником (увольнение).

Также, согласно пп. 4,5 предписания ПАО "Аэрофлот" нарушены требования ч. 4 ст. 9 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных" в части использования письменного согласия работников, несоответствующего требованиям ч. 4. ст. 9 Федерального закона от 27.07,2006 N 152-ФЗ "О персональных данных", при передаче персональных данных работников в адрес САО "РЕСО-Гарантия" (Договор N1/21 добровольного медицинского страхования от 29.12.2020, заключенный с САО "РЕСО-Гарантия"), что является нарушением ст. 88 Трудового кодекса Российской Федерации.

Административным органом установлено, что ПАО "Аэрофлот" осуществляется добровольное медицинское страхование работников в соответствии с условиями договора N 1/21 добровольного медицинского страхования от 29.12.2020, заключенного с САО "РЕСO-Гарантия".

Персональные данные работников в САО "PЕCO-Гарантия" передаются в объеме: ФИО; пол; дата рождения; адрес; телефон; подразделение.

При этом, как следует из пп. 4-5 предписания, ПАО "Аэрофлот" представлен пример передачи персональных данных работника Якимчука А.П. в адрес САО "РЕСОГарантия" от 01.03.2021 в объеме: ФИО, пол, дата рождения, адрес, подразделение. Передача персональных данных работника Якимчука А.П. в адрес САО "РЕСОГарантия" осуществлялась в рамках включения к базу застрахованных.

В ходе проведения проверки ПАО "Аэрофлот" административному органу представлено "Соглашение на обработку персональных данных" Якимчука А.П. от 03.02.2020.

Административный орган указал на то, что согласие в письменной форме на обработку персональных данных должно содержать цель (одну) обработки персональных данных в силу требований закона. В то же время, как было установлено заинтересованным лицом, представленное ПАО "Аэрофлот" согласие на обработку персональных данных" Якимчука А.П. от 03.02.2020 не содержит указание цели обработки персональных данных "предоставление сведений третьим лицам для оформления полиса ДМС".

Согласно пп. 6, 7 обжалуемого предписания ПАО "Аэрофлот" нарушены требования ч. 4 ст. 9 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных" в части использования письменного согласия работников, несоответствующего требованиям ч. 4 ст. 9 Федерального закона от 27.07.2006 N 152- ФЗ "О персональных данных", при передаче персональных данных работников и адрес ООО "Санаторий Плаза СПА" (Договор по представлению услуг санаторно-курортного лечения работников ПАО "Аэрофлот" и членов их семей от 20.07.2020), АО "Шеротель" (Договор об оказании услуг по предоставлению помещений для размещения работников ПАО "Аэрофлот" на период с 01.01.2020 по 31.12.2022 от 27.12.2019), что также является нарушением ст. 88 Трудового кодекса Российской Федерации.

При этом, как следует из пп. 6-7 предписания, ПАО "Аэрофлот" направляет в адрес контрагента заявку на санаторно-курортное лечение в санаторий либо в адрес страховой компании.

В качестве правового основания передачи персональных данных работников в целях обеспечения санаторно-курортным лечением ПАО "Аэрофлот" ссылается на раздел X Коллективного договора, заявление на предоставление курса санаторнокурортного лечения, а также на согласие на обработку персональных данных.

В соответствии с разделом X Коллективного договора ПАО "Аэрофлот" совместно с профсоюзом обязуется вести работу по организации санаторно-курортного лечения и отдыха работников и членов их семей на территории РФ и за границей в период отпусков.

ПАО "Аэрофлот" обязуется обеспечивать своевременную оплату санаторно - курортного лечения работников и членов их семей, а также оздоровительного отдыха их детей в период школьных каникул из средств Фонда социального страхования, добровольного медицинского страхования, предусмотренного бюджетом ПАО "Аэрофлот" и других источников.

ПАО "Аэрофлот" представлен Договор N 1ПЛ по представлению услуг санаторно-курортного лечения работников ПАО "Аэрофлот" и членов их семей от 20.07.2020, заключенный с ООО "Санаторий Плаза", а также заявление на предоставление курса санаторно-курортного лечения Чижова А.Ю.

Указанное заявление содержит персональные данные Чижова А.Ю. в объеме: ФИО, дата рождения, должность, стаж, номер телефона, адрес электронной почты.

ПАО "Аэрофлот" представлен пример передачи персональных данных Чижова А.Ю. в адрес ООО "Санаторий Плаза СПА" от 09.04.2021 в объеме: ФИО, дата заезда, количество дней, тип номера.

ПАО "Аэрофлот" представлено "Согласие на обработку персональных данных" Чижова А.Ю. от 18.01.2019 в качестве правового основания передачи персональных данных в адрес ООО "Санаторий Плаза СПА".

С учетом установленных требований согласие в письменной форме на обработку персональных данных должно содержать цель (одну) обработки персональных данных.

В то же время, как указывает административный орган в пп. 6-7 предписания, представленное ПАО "Аэрофлот" согласие на обработку персональных данных Чижова А.Ю. от 18.01.2019 содержит указание нескольких целей обработки персональных данных, а именно: обеспечение соблюдения законов и иных нормативных правовых актов; заключения и регулирования трудовых отношений и иных непосредственно связанных с ними отношений; отражение информации в кадровых документах; начисления заработной платы; предоставление гарантий и льгот, предусмотренных действующим законодательством, а также Коллективным договором ПАО "Аэрофлот"; исчисление и уплата предусмотренных законодательством Российской Федерации налогов, сборов и взносов на обязательное социальное и пенсионное страхование; представление работодателем установленной законодательством отчетности в отношении физических лиц, в том числе сведений персонифицированного учета в Пенсионный фонд Российской Федерации, сведений подоходного налога в ФПС России, сведений в ФСС России; предоставление сведений в кредитную организацию для оформлении банковской карты и перечисления на нее заработной платы; предоставление сведений третьим лицам для оформления полиса ДМС; оформление заграничных паспортов и иностранных виз; предоставления налоговых вычетов; обеспечения безопасности; прохождение обучения; контроль количества и качества выполняемой работы; обеспечение сохранности имущества работодателя.

ПАО "Аэрофлот" представлен договор об оказании услуг по предоставлению помещений для размещения работников ПАО "Аэрофлот" на период с 01.01.2020 по 31.12,2022 от 27.12.2019, заключенный с АО "Шеротель".

ПАО "Аэрофлот" в качестве правового основания передачи персональных данных в адрес АО "Шеротель" указывает п. 11.1 раздела XI Коллективного договора, согласие на обработку персональных данных.

В соответствии с п. 11.1 раздела XI Коллективного договора 11.1 работодатель оказывает содействие работникам в улучшении их жилищных условий путем предоставления консультационно-юридической помощи и организации работы по получению льготных кредитов и займов, а также выделения собственных средств.

ПАО "Аэрофлот" представлен пример передачи персональных данных работника Сазонова А.Д. в адрес АО "Шеротель" от 09.04.2021 в объеме: ФИО, должность, пол. ПАО "Аэрофлот" представлено согласие на обработку персональных данных Сазонова А.Д. от 09.04.2021 в качестве правового основания передачи персональных данных в адрес АО "Шеротель".

С учетом установленных требований согласие в письменной форме па обработку персональных данных должно содержать цель (одну) обработки персональных данных.

В то же время, административным органом установлено, что представленное ПАО "Аэрофлот" согласие на обработку персональных данных Сазонова А.Д. от 09.04.2021 содержит указание нескольких целей обработки персональных данных, а именно: обеспечение соблюдения законов и иных нормативных правовых актов; заключения и реагирования трудовых отношений и иных непосредственно связанных с ними отношений; отражение информации в кадровых документах; начисления заработной платы; предоставление гарантий и льгот, предусмотренных действующим законодательством, а также Коллективным договором ПАО "Аэрофлот"; исчисление и уплата предусмотренных законодательством Российской Федерации налогов, сборов и взносов на обязательное социальное и пенсионное страхование; представление работодателем установленной законодательством отчетности в отношении физических лиц, в том числе сведений персонифицированного учета в Пенсионный фонд Российской Федерации, сведений подоходного налога в ФНС России, сведений в ФСС России; предоставление сведений в кредитную организацию дни оформления банковской карты и перечисления на нее заработной штаты; предоставление сведений третьим лицам для оформления полиса ДМС; оформление заграничных паспортов и иностранных виз; предоставления налоговых вычетов; обсеменения безопасности; прохождение обучения; контроль количества и качества выполняемой работы; обеспечение сохранности имущества работодателя.

Срок исполнения указанных пунктов предписания установлен до 28.10.2021. Не согласившись с указанным предписанием от 28.04.2021 N П-77/09/39-нд/- /1/11 в части пунктов 3-7, заявитель обратился в суд с настоящим заявлением. Удовлетворяя заявленные требования, суд исходит из следующего.

Согласно п. 1 ч. 1 ст. 17 Федерального закона от 26.12.2008 N 294-ФЗ "О защите прав юридических лиц и индивидуальных предпринимателей при осуществлении государственного контроля (надзора) и муниципального контроля" в случае выявления при проведении проверки нарушений юридическим лицом, индивидуальным предпринимателем обязательных требований или требований, установленных муниципальными правовыми актами, должностные лица органа государственного контроля (надзора), органа муниципального контроля, проводившие проверку, в пределах полномочий, предусмотренных законодательством Российской Федерации, обязаны, в частности, выдать предписание юридическому лицу, индивидуальному предпринимателю об устранении выявленных нарушений с указанием сроков их устранения и (или) о проведении мероприятий по предотвращению причинения вреда жизни, здоровью людей, вреда животным, растениям, окружающей среде, объектам культурного наследия (памятникам истории и культуры) народов Российской Федерации, музейным предметам и музейным коллекциям, включенным в состав Музейного фонда Российской Федерации, особо ценным, в том числе уникальным, документам Архивного фонда Российской Федерации, документам, имеющим особое историческое, научное, культурное значение, входящим в состав национального библиотечного фонда, безопасности государства, имуществу физических и юридических лиц, государственному или муниципальному имуществу, предупреждению возникновения чрезвычайных ситуаций природного и техногенного характера, а также других мероприятий, предусмотренных федеральными законами.

Признавая незаконным пункт 3 оспариваемого предписания, суд исходит из следующего.

Согласно п. 3 оспариваемого предписания ПАО "Аэрофлот" нарушены требования ч. 4 ст. 21 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных" в части требований по уничтожению персональных данных уволенных работников; при исследовании был выявлен факт обработки персональных данных уволенных государственных гражданских служащих после достижения цели обработки (увольнение, исполнение требований законов о бухгалтерском учете, о налоговом учете), уволенных свыше 5 лет на момент проверки.

Вместе с тем, согласно ч. 4 ст. 21 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных" в случае достижения цели обработки персональных данных оператор обязан прекратить обработку персональных данных или обеспечить ее прекращение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) и уничтожить персональные данные или обеспечить их уничтожение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) в срок, не превышающий тридцати дней с даты достижения цели обработки персональных данных, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, иным соглашением между оператором и субъектом персональных данных либо если оператор не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных настоящим Федеральным законом или другими федеральными законами.

Таким образом, из приведенной нормы закона следует, что после достижения цели обработки персональных данных оператор обязан уничтожить персональные данные или обеспечить их уничтожение.

При этом какой-либо конкретный срок для уничтожения данных (пять лет или иной) законом не установлен.

По мнению заинтересованного лица, увольнение работника свидетельствует о достижении цели обработки персональных данных.

Однако, из буквального толкования ч. 4 ст. 21 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных" следует, что в случае если оператор вправе осуществлять обработку персональных данных без согласия субъекта персональных данных по основаниям, предусмотренным указанным федеральным законом или иными федеральными законами, обработка персональных данных может осуществляться оператором после достижения цели обработки персональных данных.

Случаи обработки персональных данных без согласия субъекта персональных данных предусмотрены подп. 2-11 ч. 1 ст. 6 Федерального закона от 27.07.2006 N 152- ФЗ "О персональных данных".

При этом согласно п. 2 ч. 2 ст. 6 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных" к указанным случаям относится обработка персональных данных, если она необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей.

Приказом Росархива от 20.12.2019 N 236 утвержден Перечень типовых управленческих архивных документов, образующихся в процессе деятельности государственных органов, органов местного самоуправления и организаций, с указанием сроков их хранения (далее - Перечень).

Согласно п. 1.2 раздела II Перечня перечень включает типовые управленческие архивные документы, образующиеся в процессе деятельности государственных органов, органов местного самоуправления и организаций при осуществлении однотипных (общих для всех или большинства) управленческих функций, независимо от их организационно-правовых форм и от формы собственности, с указанием сроков хранения.

При этом документы/сведения кадрового обеспечения (то есть приказы/распоряжения по личному составу, документы (докладные записки, справки, заявления) к ним о приеме, переводе, перемещении, ротации, совмещении, совместительстве, увольнении, оплате труда, аттестации, повышении квалификации, присвоении классных чинов, разрядов, званий, поощрении, награждении, об изменении анкетно-биографических данных, отпусках по уходу за ребенком, отпусках без сохранения заработной платы; личные карточки работников, в том числе государственных и муниципальных служащих) подлежат хранению в организации в течение 50/75 лет (строки 434, 444 таблицы раздела II Перечня), что исключает их уничтожение ранее установленного срока.

Согласно п. 4 раздела II Перечня также установлены сроки хранения персональных данных уволенных работников, содержащихся в учётных документах, значительно превышающие пятилетний срок (до 50/75 лет). Приказом Росархива от 20.12.2019 N 237 утверждена Инструкция по применению Перечня типовых управленческих архивных документов, образующихся в процессе деятельности государственных органов, органов местного самоуправления и организаций, с указанием сроков их хранения (далее - Инструкция).

В силу п. 4.2 Инструкции сроки хранения документов не зависят от вида носителя и ограничения доступа к ним. В соответствии с п. 4.3 Инструкции сроки временного хранения документов (1 год, 3 года, 5 лет, 6 лет, 10 лет, 15 лет, 45 лет, 50 лет и 75 лет), установленные Перечнем, должны соблюдаться всеми организациями независимо от их организационно-правовых форм и форм собственности.

После истечения сроков временного хранения документы подлежат уничтожению. Уничтожение документов до истечения сроков их временного хранения запрещается.

Таким образом, хранение документов, в том числе архивное хранение, может осуществляться не только в бумажном, но и в электронном виде.

При этом персональные данные уволенных работников, содержащиеся в документах, подлежащих архивному хранению, должны сохраняться в течение нормативно установленных сроков хранения документов и сведений.

Кроме того, суд учитывает, что, как указывает заявитель, он с помощью данных кадровой системы ПАО "Аэрофлот" обрабатывает запросы от органов Пенсионного фонда РФ при назначении пенсий работникам Общества, в том числе бывшим.

Периоды, которые затрагивают запросы органов Пенсионного фонда РФ, могут быть любыми, в том числе свыше 5 лет с момента увольнения. Работники могут быть как действующие, так и давно уволенные.

Перечень подобных запросов на примере 8 месяцев 2021 года представлен заявителем в материалы настоящего дела. Из изложенного следует, что ПАО "Аэрофлот" не были допущены вменяемые нарушения ч. 4 ст. 21 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных".

Согласно пунктам 4, 5, 6, 7 предписания административным органом установлено, что ПАО "Аэрофлот" нарушены требования ст. 88 Трудового кодекса РФ при передаче персональных данных работников в САО "РЕСО-Гарантия" для оформления полиса дополнительного медицинского страхования в ООО Санаторий Плаза СПА" в целях предоставления санаторно-курортного лечения работнику, в АО "Шеротель" для размещения работников Общества.

При этом согласно пунктам 4-5 предписания "предоставленное ПАО "Аэрофлот" согласие на обработку персональных данных Якимчука А.П. от 03.02.2020 не содержит указание цели обработки персональных данных "предоставление сведений третьим лицам для оформления полиса ДМС".

В то же время, как следует из представленных заявителем в материалы дела документов, между ПАО "Аэрофлот" и САО "РЕСО-Гарантия" заключен договор добровольного медицинского страхования N 1/21 от 29.12.2020, по условиям которого САО "РЕСО-Гарантия" (Страховщик) обязуется при наступлении страхового случая организовать и оплатить медицинские услугу Застрахованным (п. 1.1. Договора). Объектом добровольного медицинского страхования являются имущественные интересы Застрахованного, связанные с затратами на оказание ему медицинской и иной помощи при возникновении страхового случая (п. 1.1. Договора).

Согласно ч. 1 ст. 934 Гражданского кодекса РФ по договору личного страхования одна сторона (страховщик) обязуется за обусловленную договором плату (страховую премию), уплачиваемую другой стороной (страхователем), выплатить единовременно или выплачивать периодически обусловленную договором сумму (страховую сумму) в случае причинения вреда жизни или здоровью самого страхователя или другого названного в договоре гражданина (застрахованного лица), достижения им определенного возраста или наступления в его жизни иного предусмотренного договором события (страхового случая).

Договор личного страхования считается заключенным в пользу застрахованного лица, если в договоре не названо в качестве выгодоприобретателя другое лицо (ч. 2 ст. 934 Гражданского кодекса РФ). В договоре добровольного медицинского страхования N 1/21 от 29.12.2020 не названо в качестве выгодоприобретателя другое лицо.

Следовательно, выгодоприобретателем является застрахованное лицо.

Кроме того, как следует из представленных заявителем в материалы дела документов, между ПАО "Аэрофлот" и ООО "Санаторий Плаза" заключен договор по предоставлению услуг санаторно-курортного лечения работников ПАО "Аэрофлот" и членов их семей N 1/21 от 20.07.2020, по условиям которого ООО "Санаторий Плаза" (Исполнитель) оказывает услуги по предоставлению санаторно-курортного лечения и лечебно-профилактической помощи работникам ПАО "Аэрофлот" и членам их семей (п. 1.1. Договора).

Согласно ч. 1 ст. 430 Гражданского кодекса РФ договором в пользу третьего лица признается договор, в котором стороны установили, что должник обязан произвести исполнение не кредитору, а указанному или не указанному в договоре третьему лицу, имеющему право требовать от должника исполнения обязательства в свою пользу.

Таким образом, получателями оказываемых ООО "Санаторий Плаза" услуг (выгодоприобретателями) являются работники Общества, члены их семей.

Как следует из представленных заявителем в материалы дела документов, между ПАО "Аэрофлот" и АО "Шеротель" заключен договор об оказании услуг по предоставлению помещений для размещения работников ПАО "Аэрофлот" на период с 01.01.2020 по 31.12.2022, по условиям которого АО "Шеротель" (Исполнитель) обязуется оказывать услугу по предоставлению помещений для размещения проживающих (работников ПАО "Аэрофлот") (п. 1.1. Договора).

По условиям договора, в соответствии с ч. 1 ст. 430 ГК РФ получателями оказываемых АО "Шеротель" услуг (выгодоприобретателями) являются работники Общества. Передача персональных данных работников ПАО "Аэрофлот" в указанных случаях вызвана необходимостью исполнения обязательств ПАО "Аэрофлот", как работодателя перед работниками в соответствии с условиями Коллективного договора ПАО "Аэрофлот".

Согласно ст. 88 Трудового кодекса РФ работодатель не вправе сообщать персональные данные работника третьей стороне без письменного согласия работника, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью работника, а также в других случаях, предусмотренных настоящим Кодексом или иными федеральными законами.

В то же время пунктами 2-11 ч. 1 ст. 6 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных" предусмотрены случаи, когда не требуется согласия субъекта персональных данных на обработку его персональных данных.

В частности, согласно п. 5 ч. 1 ст. 6 Федерального закона от 27.07.2006 N 152- ФЗ "О персональных данных" обработка персональных данных допускается, если она необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем.

Согласно условиям вышеуказанных договоров по добровольному медицинскому страхованию, санаторно-курортному лечению, предоставлению служебного жилья, заключенных ПАО "Аэрофлот" соответственно с САО "РЕСО-Гарантия", ООО "Санаторий Плаза СПА", АО "Шеротель", работники, в интересах которых ПАО "Аэрофлот" заключены указанные договоры, выступают выгодоприобретателями (застрахованными лицами, потребителями услуг по добровольному медицинскому страхованию, санаторно-курортному лечению, предоставлению служебного жилья).

Следовательно, в соответствии с подп. 5 ч. 1 ст. 6 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных" при обработке персональных данных указанных лиц в рамках обозначенных договоров получение согласия субъекта персональных данных не требуется/ не является обязательным.

С учетом изложенного выше, суд приходит к выводу о том, что требования ст. 88 Трудового кодекса РФ Обществом не нарушены.

Также, пунктами 4, 5, 6, 7 предписания Обществу вменяется нарушение в части использования письменного согласия работников, не соответствующего требованиям ч. 4 ст. 9 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных".

В то же время, обрабатываемые в рамках указанных договоров с САО "РЕСОГарантия", ООО "Санаторий Плаза СПА", АО "Шеротель" персональные данные работников не относятся к специальной категории персональных данных либо биометрическим персональным данным; трансграничная передача персональных данных не осуществляется.

В этой связи получение оператором (ПАО "Аэрофлот") согласий по предусмотренной ч. 4 ст. 9 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных" форме не требовалось.

Согласно ч. 1 ст. 9 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных" субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе.

Согласие на обработку персональных данных должно быть конкретным, информированным и сознательным.

Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом.

В случае получения согласия на обработку персональных данных от представителя субъекта персональных данных полномочия данного представителя на дачу согласия от имени субъекта персональных данных проверяются оператором.

В рассматриваемых случаях (передача персональных данных в САО "РЕСОГарантия", ООО "Санаторий Плаза СПА", АО "Шеротель") представленные согласия работников Якимчука А.П., Чижова А.Ю., Сазонова А.Д. на передачу персональных данных, несмотря на то, что согласно ст. 88 Трудового кодекса РФ и Федеральному закону от 27.07.2006 N 152-ФЗ "О персональных данных" данные согласия не требовались, вместе с тем они являются конкретными, информированными и сознательными, даны в позволяющей подтвердить факт их получения форме, в связи с чем в полной мере соответствуют требованиям ч. 1 ст. 9 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных".

Таким образом, суд соглашается с заявителем и считает, что требования ч. 4 ст. 9 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных" в данном случае Обществом нарушены не были.

В соответствии со ст. 65 АПК РФ каждое лицо, участвующее в деле, должно доказать обстоятельства, на которые оно ссылается в обоснование своих требований или возражений, неся, в противном случае, бремя негативных для себя последствий. Обстоятельства, имеющие значение для правильного рассмотрения дела, определяются арбитражным судом на основании требований и возражений лиц, участвующих в деле в соответствии с подлежащими применению нормами материального права.

На основании ст. 71 АПК РФ арбитражный суд оценивает доказательства по своему внутреннему убеждению, основанному на всестороннем, полном, объективном и непосредственном исследовании имеющихся в деле обстоятельств. Арбитражным процессуальным законодательством установлены критерии оценки доказательств в качестве подтверждающих фактов наличия тех или иных обстоятельств.

Признак допустимости доказательств предусмотрен положениями ст. 68 АПК РФ, в соответствии с которой обстоятельства дела, которые согласно закону должны быть подтверждены определенными доказательствами, не могут подтверждаться в арбитражном суде иными доказательствами.

Доводы заинтересованного лица о законности пункта 3 предписания от 28.04.2021 N П-77/09/39-нд/-/1/11 являются необоснованными.

Нормы Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных" предусматривает возможность обработки персональных данных субъектов, в том числе работников, как с использованием средств автоматизации или без использования таких средств (подп. 3 ст. 3 указанного федерального закона).

В этой связи, как обоснованно указывает заявитель, ПАО "Аэрофлот" вправе обрабатывать персональные данные работников с использованием средств автоматизации (ИСПДн SAP ERP).

Согласно ч.4 ст. 21 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных" оператор обязан прекратить обработку персональных данных в случае достижения цели обработки персональных данных.

Вместе с тем, одной из целей обработки персональных данных в данном случае являются: соблюдение пенсионного законодательства в части предоставления сведений индивидуального (персонифицированного) учета в ПФР (сведения о застрахованных лицах по форме СЗВ-М и сведения о страховом стаже застрахованных лиц по форме СЗВ-СТАЖ).

Данная информация предоставлялась ответчику в ходе проведения проверки (справка о порядке обработки персональных данных уволенных работников в департаменте бухгалтерского учета (ДБУ) (к п. 2.13 запроса РКН)).

Согласно ч. 2 ст. 5 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных" обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей.

В силу ч. 7 ст. 5 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных" хранение персональных данных должно осуществляться в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных.

Обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.

В то же время, как указывает заявитель, он обрабатывает запросы от органов Пенсионного фонда РФ при назначении пенсий работникам Общества, в том числе бывшим.

Периоды, которые затрагивают запросы органов Пенсионного фонда РФ, могут быть любыми, в том числе свыше 5 лет с момента увольнения. Работники могут быть как действующие, так и давно уволенные, в том числе свыше 5 лет с момента увольнения.

В этой связи персональные данные уволенных работников обрабатываются в ИС SAP в целях исполнения требований законодательства по предоставлению запрашиваемой ПФР информации и обеспечения прав уволенных работников.

При этом обработка персональных данных уволенных работников осуществляется в соответствии с требованиями приказа Росархива от 20.12.2019 N 236 и приказа Росархива от 20.12.2019 N 237.

Данными документами прямо предусмотрен запрет на уничтожение документов до истечения сроков их временного хранения (п. 4.3 Инструкции, утвержденной приказом Росархива от 20.12.2019 N 237).

Доводы административного органа о том, что требования приказа Росархива от 20.12.2019 N 236 распространяются на документы, переведенные в статус архивных в соответствии с законодательством РФ об архивном деле, являются несостоятельными.

В законодательстве РФ отсутствует такое понятие, как "документ, переведенный в статус архивного"; установленные приказом Росархива от 20.12.2019 N 236 сроки хранения документов применяются в силу самого факта наличия того или иного документа в перечне документов, утвержденных данных приказом, а не в силу признания документа архивным.

Таким образом, как обоснованно указывает заявитель, если документ подпадает под перечень согласно приказу Росархива N 236, то организацией должна быть обеспечена его сохранность независимо от процедур перевода документа на архивное хранение.

Исходя из вышеизложенного, обработка персональных данных уволенных работников в ИС SAP отвечает целям обработки и срокам хранения, которые регламентированы законодательно. Также суд учитывает, что приказом Минфина России от 16.04.2021 N 62н утвержден Федеральный стандарт бухгалтерского учета ФСБУ 27/2021 "Документы и документооборот в бухгалтерском учете.

Согласно разделу IV данного ФСБУ (п. 23) экономический субъект должен хранить подлинники документов бухгалтерского учета, составленных на бумажном носителе и (или) в виде электронного документа, за исключением случаев, установленных законодательством Российской Федерации.

Документы бухгалтерского учета должны храниться в том виде, в котором они были составлены (п. 24 ФСБУ 27/2021).

Таким образом, если документ был составлен на бумажном носителе и в электронном виде, он должен храниться в обоих случаях.

Доводы заинтересованного лица о законности пунктов 4-7 предписания от 28.04.2021 N П-77/09/39-нд/-/1/11 также являются несостоятельными.

Передача персональных данных работников в САО "РЕСО-Гарантия" для оформления полиса добровольного медицинского страхования, в ООО Санаторий Плаза" в целях предоставления санаторно-курортного лечения работнику, в АО "Шеротель" для размещения работников ПАО "Аэрофлот" не требует наличия письменного согласия работника в силу подп. 5 ч. 1 ст. 6 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных", ст. 88 ТК РФ, ч. 1 ст. 934 ГК РФ, ч. 1 ст. 430 ГК РФ.

При этом норма подп. 5 ч. 1 ст. 6 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных" (когда письменное согласие субъекта персональных данных, в том числе работника не требуется) является общей и не содержит исключений о том, что она не распространяется на отношения между работником и работодателем.

Передача персональных данных работников в САО "РЕСО-Гарантия" для оформления полиса ДМС, в ООО Санаторий Плаза" в целях предоставления санаторнокурортного лечения работнику, в АО "Шеротель" для размещения работников не выходит за рамки трудовых отношений, регулируемых трудовым законодательством. Передача персональных данных работников в указанных случаях вызвана необходимостью исполнения обязательств ПАО "Аэрофлот" как работодателя перед работниками в соответствии с условиями Коллективного договора ПАО "Аэрофлот": в части ДМС - раздел VIII Коллективного договора; в части санаторно-курортного лечения - раздел X Коллективного договора; в части размещения работников - раздел XI Коллективного договора.

С учетом изложенного, отношения между ПАО "Аэрофлот" и работниками в рассматриваемых случаях не выходят за пределы трудовых, норма подп. 5 ч. 1 ст. 6 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных" применима и к трудовым отношениям, в связи с чем при передаче персональных данных работников в САО "РЕСО-Гарантия" для оформления полиса ДМС, в ООО Санаторий Плаза" в целях предоставления санаторно-курортного лечения работнику, в АО "Шеротель" для размещения работников ПАО "Аэрофлот" не требовалось получать письменное согласие работника.

В соответствии с ч. 5 ст. 200 АПК РФ обязанность доказывания соответствия оспариваемого ненормативного правового акта закону или иному нормативному правовому акту, законности принятия оспариваемого решения, совершения оспариваемых действий (бездействия), наличия у органа или лица надлежащих полномочий на принятие оспариваемого акта, решения, совершение оспариваемых действий (бездействия), а также обстоятельств, послуживших основанием для принятия оспариваемого акта, решения, совершения оспариваемых действий (бездействия), возлагается на орган или лицо, которые приняли акт, решение или совершили действия (бездействие).

Аргументированных доводов, основанных на доказательственной базе, опровергающих выводы суда, изложенные в решении, и позволяющих изменить или отменить обжалуемый судебный акт, заявителем на момент рассмотрения апелляционной жалобы не представлено.

Заявителем жалобы не представлено в материалы дела надлежащих и бесспорных доказательств в обоснование своей позиции, доводы, изложенные в апелляционной жалобе, не содержат фактов, которые не были бы проверены и не учтены судом первой инстанции при рассмотрении дела и имели бы юридическое значение для вынесения судебного акта по существу, влияли на обоснованность и законность судебного акта, либо опровергали выводы суда первой инстанции, в связи с чем признаются судом апелляционной инстанции несостоятельными.

При таких обстоятельствах, судом первой инстанции установлены все фактические обстоятельства по делу, правильно применены нормы материального и процессуального права, принято законное и обоснованное решение и у суда апелляционной инстанции отсутствуют основания для отмены обжалуемого судебного акта Арбитражного суда города Москвы.

Нарушений норм процессуального права, влекущих безусловную отмену судебного акта, судом апелляционной инстанции не установлено.

Руководствуясь ст. ст. 266, 268, 269, 271 Арбитражного процессуального кодекса Российской Федерации,

ПОСТАНОВИЛ:

решение Арбитражного суда г. Москвы от 16.11.2021 по делу N А40-163911/21 оставить без изменения, апелляционную жалобу - без удовлетворения.

Постановление Девятого арбитражного апелляционного суда вступает в законную силу со дня его принятия и может быть обжаловано в течение двух месяцев со дня изготовления постановления в полном объеме в Арбитражном суде Московского округа.

Председательствующий судья

Ж.В. Поташова

Судьи

И.А. Чеботарева И.В. Бекетова