Постановление Арбитражного суда Московского округа от 30 мая 2022 г. N Ф05-9445/22 по делу N А40-163911/2021

город Москва

30 мая 2022 г.

Дело N А40-163911/21-17-1229

Резолютивная часть постановления объявлена 24 мая 2022 года.

Полный текст постановления изготовлен 30 мая 2022 года.

Арбитражный суд Московского округа

в составе:

председательствующего-судьи Ананьиной Е.А.,

судей Кузнецова В.В., Петропавловской Ю.С.,

при участии в заседании:

от истца (заявителя) ПАО "Аэрофлот": Порошиной Н.А. (дов. от 03.12.2021 г.);

от ответчика (заинтересованного лица) Управления Роскомнадзора по ЦФО: Соломоненко В.А. (дов. N 5-Д от 11.01.2022 г.), Ефимовой Е.А. (дов. N 41-Д от 14.02.2022 г.);

рассмотрев 24 мая 2022 г. в судебном заседании кассационную жалобу Управления Роскомнадзора по ЦФО

на решение Арбитражного суда города Москвы от 16 ноября 2021 г.,

постановление Девятого арбитражного апелляционного суда от 09 февраля 2022 г.

по делу N А40-163911/21-17-1229

по заявлению публичного акционерного общества "Аэрофлот-Российские авиалинии"

к Управлению Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Центральному федеральному округу

о признании недействительными пунктов 3-7 предписания от 28 апреля 2021 г. N П77/09/39-нд/-/1/11,

УСТАНОВИЛ: в период с 01 апреля 2021 г. по 28 апреля 2021 на основании приказа Управления Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Центральному федеральному округу (далее - Управление Роскомнадзора по ЦФО, административный орган) от 15 марта 2021 г. N 39-пд была проведена плановая выездная проверка в отношении публичного акционерного общества "Аэрофлот-Российские авиалинии" (далее - ПАО "Аэрофлот", общество, заявитель), в ходе проведения которой установлены нарушения Федерального закона от 27 июля 2006 г. N 152-ФЗ "О персональных данных" (далее - Закон о персональных данных).

По результатам проведенной проверки составлен акт проверки от 28 апреля 2021 г. N А-77/09/39-нд/77, в котором отражены выявленные нарушения.

28 апреля 2021 г. Управлением Роскомнадзора по ЦФО выдано предписание N П-77/09/39-нд/-/1/11 (далее - предписание), в соответствии с которым ПАО "Аэрофлот" предписано в срок до 28 октября 2021 г. устранить выявленные нарушения (всего 7 пунктов нарушений).

Считая свои права нарушенными, ПАО "Аэрофлот" обратилось в Арбитражный суд города Москвы с заявлением к Управлению Роскомнадзора по ЦФО о признании недействительным указанного предписания в части пунктов 3-7.

Решением Арбитражного суда города Москвы от 16 ноября 2021 г., оставленным без изменения постановлением Девятого арбитражного апелляционного суда от 09 февраля 2022 г., заявленные требования удовлетворены. Признаны недействительными пункты 3-7 предписания Управления Роскомнадзора по ЦФО от 28 апреля 2021 г. N П-77/09/39-нд/-/1/11.

В кассационной жалобе Управление Роскомнадзора по ЦФО просит об отмене принятых по делу судебных актов, полагая, что судами неправильно применены нормы материального права, регулирующие спорные правоотношения, указывая на наличие со стороны общества нарушений Закона о персональных данных. Приведены также доводы о соблюдении административным органом порядка организации и проведения проверки в области персональных данных.

В отзыве на кассационную жалобу ПАО "Аэрофлот" просит оставить судебные акты без изменения, а кассационную жалобу - без удовлетворения, ссылаясь на соблюдение судами норм материального и процессуального права при вынесении обжалуемых судебных актов.

В заседании суда кассационной инстанции представитель Управление Роскомнадзора по ЦФО поддержал доводы кассационной жалобы. Представитель ПАО "Аэрофлот" против ее удовлетворения возражал.

Проверив материалы дела, обсудив доводы кассационной жалобы, выслушав представителей лиц, участвующих в деле, суд кассационной инстанции не находит оснований к отмене обжалуемых судебных актов.

Согласно части 1 статьи 198 Арбитражного процессуального кодекса Российской Федерации граждане, организации и иные лица вправе обратиться в арбитражный суд с заявлением о признании недействительными ненормативных правовых актов, незаконными решений и действий (бездействия) государственных органов, органов местного самоуправления, иных органов, должностных лиц, если полагают, что оспариваемый ненормативный правовой акт, решение и действие (бездействие) не соответствуют закону или иному нормативному правовому акту и нарушают их права и законные интересы в сфере предпринимательской и иной экономической деятельности, незаконно возлагают на них какие-либо обязанности, создают иные препятствия для осуществления предпринимательской и иной экономической деятельности.

По смыслу приведенной нормы необходимым условием для признания ненормативного правового акта, действий (бездействия) недействительными является одновременно несоответствие оспариваемого акта, действия (бездействия) закону или иному нормативному акту и нарушение прав и законных интересов организации в сфере предпринимательской и иной экономической деятельности.

В силу части 5 статьи 200 Арбитражного процессуального кодекса Российской Федерации бремя доказывания соответствия оспариваемого ненормативного правового акта закону или иному нормативному правовому акту, законности принятия оспариваемого решения, совершения оспариваемых действий (бездействия), возлагается на орган или лицо, которые приняли акт, решение или совершили действия (бездействие).

Исследовав и оценив представленные доказательства в соответствии с требованиями статьи 71 Арбитражного процессуального кодекса Российской Федерации, суды, руководствуясь положениями Гражданского кодекса Российской Федерации, Трудового кодекса Российской Федерации, Закона о персональных данных, Федеральным законом от 26 декабря 2008 года N 294-ФЗ "О защите прав юридических лиц и индивидуальных предпринимателей при осуществлении государственного контроля (надзора) и муниципального контроля" (далее - Федеральный закон N 294-ФЗ), пришли к выводу о том, что оспариваемое предписание в части пунктов 1-7 не соответствует требованиям действующего законодательства и нарушает права и законные интересы заявителя.

Судами дана надлежащая оценка по каждому пункту оспариваемого предписания.

В соответствии с пунктом 3 предписания ПАО "Аэрофлот" нарушены требования части 4 статьи 21 Закона о персональных данных относительно несоблюдения установленных законом требований по уничтожению персональных данных уволенных работников.

Так, административным органом был выявлен факт обработки заявителем персональных данных уволенных государственных гражданских служащих после достижения цели обработки (увольнение, исполнение требований законов о бухгалтерском учете, о налоговом учете), уволенных свыше 5 лет, что подтверждается снимками экрана информационной системы "SAP", в том числе отображающими карточку уволенного работника Егановой Т.С., Неизвестных С.Ю., Гришина М.В. (приказ от 14 марта 2014 г. N 2603/л о прекращении (расторжении) трудового договора с работником (увольнение), приказ от 23 января 2014 г. N 675/л о прекращении (расторжении) трудового договора с работником (увольнение), приказ от 27 ноября 2014 г. N 13053/л о прекращении (расторжении) трудового договора с работником (увольнение).

В соответствии с частью 4 статьи 21 Закона о персональных данных в случае достижения цели обработки персональных данных оператор обязан прекратить обработку персональных данных или обеспечить ее прекращение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) и уничтожить персональные данные или обеспечить их уничтожение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) в срок, не превышающий тридцати дней с даты достижения цели обработки персональных данных, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, иным соглашением между оператором и субъектом персональных данных либо если оператор не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных настоящим Федеральным законом или другими федеральными законами.

Таким образом, в случае если оператор вправе осуществлять обработку персональных данных без согласия субъекта персональных данных по основаниям, предусмотренным указанным федеральным законом или иными федеральными законами, обработка персональных данных может осуществляться оператором после достижения цели обработки персональных данных.

Случаи обработки персональных данных без согласия субъекта персональных данных предусмотрены подпунктом 2 - 11 части 1 статьи 6 Закона о персональных данных.

К указанным случаям относится обработка персональных данных, если она необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей.

С помощью сведений, содержащихся в информационной системе SАР, ПАО "Аэрофлот" осуществляет формирование ответов на запросы органов Пенсионного фонда Российской Федерации при назначении пенсий работникам общества, в том числе бывшим (периоды, которые затрагивают запросы органов Пенсионного фонда Российской Федерации, могут быть любыми, в том числе свыше 5 лет с момента увольнения. Работники могут быть как действующие, так и давно уволенные).

На основании изложенного суды пришли к выводу об отсутствии со стороны общества нарушений части 4 статьи 21 Закона о персональных данных, поскольку персональные данные уволенных работников обрабатываются в информационной системе SАР в целях исполнения требований законодательства по обработке запросов органов Пенсионного фонда Российской Федерации в отношении уволенных работников для обеспечения их прав, а также обеспечения сохранности персональных данных в пределах нормативно установленных сроков их хранения.

Судами также указано на отсутствие согласия субъекта персональных данных (в том числе уволенных сотрудников) на обработку персональных данных в силу подпункта 2 части 1 статьи 6 Закона о персональных данных (осуществление и выполнение обществом возложенных на него обязанностей и функций, достижение предусмотренных целей).

По пунктам 4, 5, 6, 7 предписания судами установлено следующее.

Пунктами 4, 5 предписания ПАО "Аэрофлот" вменены нарушения части 4 статьи 9 Закона о персональных данных относительно использования письменного согласия работников, не соответствующего требованиям части 4 статьи 9 данного закона, а именно: при передаче персональных данных работников в адрес САО "РЕСО-Гарантия" (договор N 1/21 добровольного медицинского страхования от 29 декабря 2020 г., заключенный с САО "РЕСО-Гарантия"), что является нарушением статьи 88 Трудового кодекса Российской Федерации.

Управление Роскомнадзора по ЦФО установлено, что ПАО "Аэрофлот" осуществляется добровольное медицинское страхование работников в соответствии с условиями договора N 1/21 добровольного медицинского страхования от 29 декабря 2020 г., заключенного с САО "РЕСО-Гарантия". Персональные данные работников в САО "РЕСО-Гарантия" передаются в объеме: ФИО; пол; дата рождения; адрес; телефон; подразделение.

ПАО "Аэрофлот" представлен пример передачи персональных данных работника Якимчука А.П. в адрес САО "РЕСО-Гарантия" от 01 марта 2021 г. в объеме: ФИО, пол, дата рождения, адрес, подразделение. Передача персональных данных работника Якимчука А.П. в адрес САО "РЕСО-Гарантия" осуществлялась в рамках включения к базу застрахованных.

В ходе проведения проверки ПАО "Аэрофлот" административному органу представлено "Соглашение на обработку персональных данных" Якимчука А.П. от 03 февраля 2020 г., которое не содержит указание цели обработки персональных данных "предоставление сведений третьим лицам для оформления полиса ДМС".

Пунктами 6, 7 предписания ПАО "Аэрофлот" вменены нарушения требований части 4 статьи 9 Закона о персональных данных относительно использования письменного согласия работников, не соответствующего требованиям части 4 статьи 9 закона, при передаче персональных данных работников и адрес ООО "Санаторий Плаза СПА" (договор по представлению услуг санаторно-курортного лечения работников ПАО "Аэрофлот" и членов их семей от 20 июля 2020 г.), АО "Шеротель" (договор об оказании услуг по предоставлению помещений для размещения работников ПАО "Аэрофлот" на период с 01 января 2020 г. по 31 декабря 2022 г. от 27 декабря 2019 г.), что является нарушением статьи 88 Трудового кодекса Российской Федерации.

В соответствии со статьей 88 Трудового кодекса Российской Федерации при передаче персональных данных работника работодатель должен соблюдать следующие требования: не сообщать персональные данные работника третьей стороне без письменного согласия работника, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью работника, а также в других случаях, предусмотренных настоящим Кодексом или иными федеральными законами; не сообщать персональные данные работника в коммерческих целях без его письменного согласия; предупредить лиц, получающих персональные данные работника, о том, что эти данные могут быть использованы лишь в целях, для которых они сообщены, и требовать от этих лиц подтверждения того, что это правило соблюдено. Лица, получающие персональные данные работника, обязаны соблюдать режим секретности (конфиденциальности). Данное положение не распространяется на обмен персональными данными работников в порядке, установленном настоящим Кодексом и иными федеральными законами; осуществлять передачу персональных данных работника в пределах одной организации, у одного индивидуального предпринимателя в соответствии с локальным нормативным актом, с которым работник должен быть ознакомлен под роспись; разрешать доступ к персональным данным работников только специально уполномоченным лицам, при этом указанные лица должны иметь право получать только те персональные данные работника, которые необходимы для выполнения конкретных функций; не запрашивать информацию о состоянии здоровья работника, за исключением тех сведений, которые относятся к вопросу о возможности выполнения работником трудовой функции; передавать персональные данные работника представителям работников в порядке, установленном настоящим Кодексом и иными федеральными законами, и ограничивать эту информацию только теми персональными данными работника, которые необходимы для выполнения указанными представителями их функций.

Пунктом 5 части 1 статьи 6 Закона о персональных данных предусмотрено, что обработка персональных данных допускается, если она необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем.

По условиям договоров по добровольному медицинскому страхованию, санаторно-курортному лечению, предоставлению служебного жилья, заключенных ПАО "Аэрофлот" соответственно с САО "РЕСО-Гарантия", ООО "Санаторий Плаза СПА", АО "Шеротель", работники, в интересах которых ПАО "Аэрофлот" заключены указанные договоры, выступают выгодоприобретателями (застрахованными лицами, потребителями услуг по добровольному медицинскому страхованию, санаторно-курортному лечению, предоставлению служебного жилья).

Таким образом, при обработке персональных лиц в рамках обозначенных договоров получение согласия субъекта персональных данных не требуется/не является обязательным, в связи с чем требования положений статьи 88 Трудового кодекса Российской Федерации обществом нарушены не были.

Относительно указаний административного органа о нарушении обществом использования письменного согласия работников, не соответствующего требованиям части 4 статьи 9 Закона о персональных данных, судами указано на то, что обрабатываемые в рамках указанных договоров с САО "РЕСО-Гарантия", ООО "Санаторий Плаза СПА", АО "Шеротель" персональные данные работников не относятся к специальной категории персональных данных либо биометрическим персональным данным; трансграничная передача персональных данных не осуществляется и получение оператором (ПАО "Аэрофлот") согласий по предусмотренной частью 4 статьи 9 Закона о персональных данных форме не требовалось.

В рассматриваемых случаях (передача персональных данных в САО "РЕСО-Гарантия", ООО "Санаторий Плаза СПА", АО "Шеротель") представленные согласия работников Якимчука А.П., Чижова А.Ю., Сазонова А.Д. на передачу персональных данных, несмотря на то, что согласно статье 88 Трудового кодекса Российской Федерации и Закона о персональных данных данные согласия не требовались, вместе с тем они являются конкретными, информированными и сознательными, даны в позволяющей подтвердить факт их получения форме, в связи с чем в полной мере соответствуют требованиям части 1 статьи 9 Закона о персональных данных.

Выводы судов основаны на имеющихся в материалах дела доказательствах и соответствуют положениям действующего законодательства.

При изложенных обстоятельствах суд кассационной инстанции полагает обоснованными выводы судов о наличии оснований для удовлетворения заявленных требований.

Доводы кассационной жалобы аналогичны доводам, изложенным в апелляционной жалобе, были предметом рассмотрения суда апелляционной инстанции и получили надлежащую оценку. Оснований для иных выводов у суда кассационной инстанции не имеется.

Пределы рассмотрения дела в суде кассационной инстанции ограничены проверкой правильности применения судами первой и апелляционной инстанций норм материального и процессуального права с учетом доводов кассационной жалобы, а также проверкой соответствия выводов о применении нормы права установленным ими по делу обстоятельствам и имеющимся в деле доказательствам (части 1 и 3 статьи 286 Арбитражного процессуального кодекса Российской Федерации).

В силу статьи 286 Арбитражного процессуального кодекса Российской Федерации в компетенцию суда кассационной инстанции не входит переоценка представленных суду доказательств и сделанных на основании их оценки выводов.

Принимая во внимание изложенное, кассационная инстанция не усматривает каких-либо нарушений норм материального или процессуального права, которые могли бы служить основанием к отмене принятых судебных актов.

При таком положении обжалуемые судебные акты следует оставить без изменения, а кассационную жалобу - без удовлетворения.

Руководствуясь статьями 284, 286 - 289 Арбитражного процессуального кодекса Российской Федерации, суд

ПОСТАНОВИЛ:

решение Арбитражного суда города Москвы от 16 ноября 2021 г., постановление Девятого арбитражного апелляционного суда от 09 февраля 2022 г. по делу N А40-163911/21-17-1229 оставить без изменения, кассационную жалобу Управления Роскомнадзора по ЦФО - без удовлетворения.

Председательствующий судья

Е.А.Ананьина

Судьи

В.В.Кузнецов Ю.С.Петропавловская