Судебные решения, арбитраж
Акцизы
Обращаем Ваше внимание на то обстоятельство, что данное решение могло быть обжаловано в суде высшей инстанции и отменено
Резолютивная часть постановления объявлена 05 октября 2017 года
Постановление изготовлено в полном объеме 10 октября 2017 года
Девятый арбитражный апелляционный суд в составе:
председательствующего судьи Румянцева П.В.,
судей: Марковой Т.Т., Лепихина Д.Е.,
при ведении протокола секретарем судебного заседания Бабажановым Н.Н.,
рассмотрев в открытом судебном заседании апелляционную жалобу ООО "Суп Медиа"
на решение Арбитражного суда г. Москвы от 09.08.2017 по делу N А40-81171/17,
принятое судьей М.М. Кузиным,
по заявлению ООО "Суп Медиа"
к Управлению Федеральной сл7ужбы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Центральному федеральному округу
об оспаривании предписания,
при участии:
- от заявителя: Пономарева Е.В. по дов. 19.06.2017, Львов И.С. по дов. 01.09.2017;
- от заинтересованного лица: Горбачева К.Д. по дов. от 04.10.2017, Бесекерский Д.Е. по дов. от 30.12.2016;
- установил:
ООО "Суп Медия" (далее - заявитель, оператор) обратилась в Арбитражный суд г. Москвы с заявлением о признании незаконным и отмене предписания Управления Роскомнадзора по ЦФО (далее - ответчик) от 29.11.2016 г. N П-77/07/705-нд/-/1/337 в части пунктов 2, 3, 4, 5 и 6.
Решением от 09.08.2017 Арбитражный суд г. Москвы отказал в удовлетворении заявленных требований.
Не согласившись с принятым судом решением, заявитель обратился в Девятый арбитражный апелляционный суд с апелляционной жалобой, в которой просит его отменить как принятое с нарушением норм права.
В судебном заседании представитель подателя апелляционной жалобы доводы апелляционной жалобы поддержал по мотивам, изложенным в ней.
Представитель заинтересованного лица возражал против удовлетворения апелляционной жалобы.
Законность и обоснованность обжалуемого судебного акта проверены судом апелляционной инстанции в порядке, предусмотренном ст. ст. 266, 268 АПК РФ.
Как следует из материалов административного дела, в соответствии с требованиями Федерального закона от 27.07.2006 г. N 152-ФЗ "О персональных данных" (далее - Федеральный закон), на основании Административного регламента исполнения Федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций государственной функции по осуществлению государственного контроля (надзора) за соответствием обработки персональных данных требованиям законодательства Российской Федерации в области персональных данных, утвержденного приказом Министерства связи и массовых коммуникаций Российской Федерации от 14.11.2011 г. N 312 (зарегистрирован Министерством юстиции Российской Федерации 13.12.2011 г. N 22595), приказа Управления Роскомнадзора по Центральному федеральному округу от 24.10.2016 г. N 705-нд проведена плановая выездная проверка по соблюдению обязательных требований в области обработки персональных данных ЗАО "Суп Медиа" (далее - Оператор).
На основании решения единственного акционера Общества от 09.12.2011 г. наименование ЗАО "Суп Фабрик" было изменено на ЗАО "Суп Медиа".
До 20.06.2016 г. Общество осуществляло свою деятельность на основании Устава ЗАО "Суп Медиа", утвержденного Решением N 15 единственного акционера Общества от 17.05.2013 г. С 21.06.2016 г. Оператор осуществляет свою деятельность на основании Устава ООО "Суп Медиа", утвержденного Решением единственного акционера Общества от 21.06.2016.
По результатам проверки выдано предписание N П-77/07/705-нд/-/1/337 от 29.11.2016 г., согласно которому ООО "Суп Медия" допустило 7 нарушений Федерального закона от 27.07.2006 г. N 152-ФЗ "О персональных данных", а именно:
1. Анализ договора возмездного оказания услуг N RBS-14170-2015-HR-5 от 12.01.2015, заключенного с ООО "Рамблер БС", на основании которого ЗАО "Суп Медиа" поручило обработку персональных данных соискателей на замещение вакантных должностей, работников и их родственников, уволенных работников ООО "Рамблер БС", выявил отсутствие в указанном договоре положений, определяющих перечень действий (операций) с персональными данными, которые будут совершаться ООО "Рамблер БС", тем самым ЗАО "Суп Медиа" нарушены требования ч. 3 ст. 6 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных".
2. ЗАО "Суп Медиа" не представлено заполненное согласие соискателей на замещение вакантных должностей, подтверждающее выполнение ЗАО "Суп Медиа" требований ч. 3 ст. 6 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных", в части поручения обработки персональных данных соискателей с согласия представленной ЗАО "Суп Медиа", не указано, что обработку персональных данных осуществляет ООО "Рамблер БС" по поручению ЗАО "Суп Медиа". В справочной информации ЗАО "Суп Медиа" не упоминается о подписании соискателем согласия на обработку персональных данных.
ЗАО "Суп Медиа" нарушены требования ч. 3 ст. 6 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных", в части поручения обработки персональных данных соискателей ООО "Рамблер БС" без согласия соискателей на замещение вакантных должностей.
3. ЗАО "Суп Медиа" при передаче персональных данных работников третьим лицам использует письменное согласие работника, не соответствующее требованиям ч. 4. ст. 9 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных".
4. В виду осуществления передачи персональных данных работников третьим лицам на основании письменного согласия работников, несоответствующего ч. 4 ст. 9 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных", ЗАО "Суп Медиа" нарушена ст. 88 Трудового Кодекса РФ.
5. В ходе проверки зафиксирован факт обработки персональных данных уволенных сотрудников после достижения цели обработки (увольнение, исполнение требований закона о бухгалтерском учете), уволенных свыше 5 лет на момент проверки, что подтверждается снимками экрана ИСПДн "1С: Зарплата и кадры" и "1С: Зарплата и Управление персоналом" личной карточки Аюровой Анны Александровны, уволенной 10.02.2010. ЗАО "Суп Медиа" не соблюдены установленные Федеральным законом от 27.07.2006 N 152-ФЗ "О персональных данных" требования по уничтожению персональных данных уволенных сотрудников, чем нарушены требования ч. 4 ст. 21 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных".
6. ЗАО "Суп Медиа" не разработаны документы регламентирующие обработку персональных данных уволенных сотрудников, тем самым Оператором нарушены требования ч. 1 ст. 18.1 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных".
7. ЗАО "Суп Медиа" не представлены документы, подтверждающие проведение внутреннего контроля и аудита соответствия обработки персональных данных Федеральному закону от 27.07.2006 N 152-ФЗ "О персональных данных" и принятым в соответствии с ним нормативным правовым актам, требованиям к защите персональных данных, политике оператора в отношении обработки персональных данных, локальным актам оператора, что свидетельствует о нарушении п. 5 ч. 1 ст. 18.1 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных".
Согласно предписанию, ООО "Суп Медиа" обязано в срок до 27.08.2017 г. устранить выявленные нарушения.
Не согласившись с вынесенным предписанием в части, заявитель обратился в Арбитражный суд г. Москвы.
Суд первой инстанции правомерно и обоснованно отказал в удовлетворении заявленных требований, исходя из следующего.
Согласно п. 2 оспариваемого предписания ЗАО "Суп Медиа" не представлено заполненное согласие соискателей на замещение вакантных должностей, подтверждающее выполнение ЗАО "Суп Медиа" требований ч. 3 ст. 6 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных", в части поручения обработки персональных данных соискателей с согласия представленной ЗАО "Суп Медиа", не указано, что обработку персональных данных осуществляет ООО "Рамблер БС" по поручению ЗАО "Суп Медиа". В справочной информации ЗАО "Суп Медиа" не упоминается о подписании соискателем согласия на обработку персональных данных.
ЗАО "Суп Медиа" нарушены требования ч. 3 ст. 6 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных", в части поручения обработки персональных данных соискателей ООО "Рамблер БС" без согласия соискателей на замещение вакантных должностей.
Заявитель в апелляционной жалобе ссылается на п. 2.8 Соглашения об оказании услуг по содействию в трудоустройств, размещенном на сайте hh.ru, соискатель соглашается и признает, что размещаемые им на сайте персональные данные в форме резюме будут являться общедоступными.
Между тем, как верно указал суд первой инстанции, субъект персональных данных, желающий разместить свое резюме на сайте hh.ru, в обязательном порядке принимает условия Соглашения об оказании услуг по содействию в трудоустройстве (акцепт), размещенном в сети Интернет по адресу: https://hh.ru/account/agreement, заключаемом с Обществом с ограниченной ответственностью "Хэдхантер" (ИНН 7718620740, ОГРН 1067761906805).
Функционал сайта hh.ru форму согласия соискателя в виде электронного документа, подписываемого в соответствии с федеральным законом электронной подписью, не предусматривает, в связи с чем Соглашение об оказании услуг по содействию в трудоустройстве не соответствует требованиям ч. 4 ст. 9 Закона.
Условия Соглашения об оказании услуг по содействию в трудоустройстве согласия соискателей на включение их персональных данных в общедоступные источники персональных данных с целью информационного обеспечения не предусматривают.
При этом в рассматриваемом случае оператором, осуществляющим обработку персональных данных соискателей и поручившим обрабатывать их ООО "Рамблер БС", является заявитель, а не ООО "Хэдхантер", которому соискатель, размещающий резюме на сайте hh.ru, дает согласие на обработку.
В соответствии с ч. 2 ст. 5 Закона обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных. допускается обработка персональных данных, несовместимая с целями сбора персональных данных.
В соответствии с ч. 1 ст. 8 Закона в целях информационного обеспечения могут создаваться общедоступные источники персональных данных (в том числе справочники, адресные книги). В общедоступные источники персональных данных с письменного согласия субъекта персональных данных могут включаться его фамилия, имя, отчество, год и место рождения, адрес, абонентский номер, сведения о профессии и иные персональные данные, сообщаемые субъектом персональных данных.
В соответствии с ч. 4 ст. 9 Закона в случаях, предусмотренных федеральным законом, обработка персональных данных осуществляется только с согласия в письменной форме субъекта персональных данных. Равнозначным содержащему собственноручную подпись субъекта персональных данных согласию в письменной форме на бумажном носителе признается согласие в форме электронного документа, подписанного в соответствии с федеральным законом электронной подписью.
На основании вышеизложенного, ООО "Суп Медиа", поручая обработку персональных данных соискателей на замещение вакантных должностей другому лицу (ООО "Рамблер БС"), в соответствии с требованиями ч. 3 ст. 6 Закона обязан, взять у каждого такого соискателя соответствующее согласие, чего выполнено оператором не было.
Таким образом, п. 2 оспариваемого предписания законный и обоснованный.
Согласно п. 3 Предписания ЗАО "Суп Медиа" при передаче персональных данных работников третьим лицам использует письменное согласие работника, не соответствующее требованиям ч. 4. ст. 9 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных".
Согласно п. 4 Предписания в виду осуществления передачи персональных данных работников третьим лицам на основании письменного согласия работников, несоответствующего ч. 4 ст. 9 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных", ЗАО "Суп Медиа" нарушена ст. 88 Трудового Кодекса РФ.
В соответствии со ст. 87 ТК РФ порядок хранения и использования персональных данных работников устанавливается работодателем с соблюдением требований настоящего Кодекса и иных федеральных законов.
В соответствии со ст. 88 ТК РФ при передаче персональных данных работника работодатель должен не сообщать персональные данные работника третьей стороне без письменного согласия работника, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью работника, а также в других случаях, предусмотренных настоящим Кодексом или иными федеральными законами.
Поскольку передача персональных данных работника третьей стороне выходит за рамки трудовых отношений, регулируемых ТК РФ, законодательством в целях защиты персональных данных предусмотрен особый подход в организации оператором такой передачи, направленный на конкретизирование обстоятельств передачи, информированность и осознанность субъекта персональных данных, который должен понимать, кому он дает свое согласие, на что конкретно, и какие последствия могут вытекать вследствие действий, на которые он дает свое согласие.
Как указано выше в случаях, предусмотренных федеральным законом, обработка персональных данных осуществляется только с согласия в письменной форме субъекта персональных данных, а особые требования к согласию в письменной форме содержатся в ч. 4 ст. 9 Закона.
Суд первой инстанции правомерно пришел к выводу, что законодательством установлено особое условие, защищающее права субъекта персональных данных (работника) при передаче его персональных данных третьей стороне - а именно наличие письменного согласия работника, требования к которому указаны в ч. 4 ст. 9 Закона и направлены на соблюдение принципов конкретности и информированности.
Как следует из п. 4 и п. 6 ч. 4 ст. 9 Закона Согласие в письменной форме субъекта персональных данных на обработку его персональных данных должно включать в себя, в частности: цель обработки персональных данных; наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка будет поручена такому лицу.
Между тем, как верно установлено судом первой инстанции, ООО "Суп Медиа" используется форма согласия работника, в котором работник дает согласие на обработку своих персональных данных в нескольких целях (что заявителем не оспаривается и прямо указывается в заявлении), при этом в согласии не указаны наименование и адрес лица, осуществляющего обработку персональных данных по поручению оператора (ООО "Рамблер БС").
Учитывая изложенное, судебная коллегия соглашается с выводом суда первой инстанции, что ООО "Суп Медиа" при передаче персональных данных своих работников третьей стороне (ООО "Рамблер БС") использует форму согласия, не соответствующую требованиям ч. 4 ст. 9 Закона, чем нарушаются требования ст. 88 ТК РФ.
Согласно п. 5 Предписания в ходе проверки зафиксирован факт обработки персональных данных уволенных сотрудников после достижения цели обработки (увольнение, исполнение требований закона о бухгалтерском учете), уволенных свыше 5 лет на момент проверки, что подтверждается снимками экрана ИСПДн "1С: Зарплата и кадры" и "1С: Зарплата и Управление персоналом" личной карточки Аюровой Анны Александровны, уволенной 10.02.2010. ЗАО "Суп Медиа" не соблюдены установленные Федеральным законом от 27.07.2006 N 152-ФЗ "О персональных данных" требования по уничтожению персональных данных уволенных сотрудников, чем нарушены требования ч. 4 ст. 21 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных".
Суд первой инстанции правомерно отклонил довод заявителя о том, что наличия согласия уволенных работников, которые были уволены по истечении более пяти лет с момента проведения проверки, на обработку их персональных данных в информационных системах персональных данных (далее - ИСПДн) "1С: Зарплата и Кадры" и "1С: Зарплата и Управление персоналом", Оператору не требуется, так как ООО "Суп Медиа" обрабатывает эти персональные данные на основании п. 2 ч. 1 ст. 6 Закона, ссылаясь на выполнение требований п. п. 1 и 2 ст. 29 Федерального закона от 06.12.2011 г. N 402-ФЗ "О бухгалтерском учете" и пп. 8 п. 1 ст. 23 НК РФ, ввиду следующего.
В соответствии с ч. 7 ст. 5 Закона хранение персональных данных должно осуществляться в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных. Обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.
В соответствии с п. 2 ч. 1 ст. 6 Закона обработка персональных данных допускается в случае, если необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательствам Российской Федерации на оператора функций, полномочий и обязанностей.
Требованиями п. п. 1 и 2 ст. 29 Федерального закона от 06.12.2011 N 402-ФЗ "О бухгалтерском учете" и пп. 8 п. 1 ст. 23 НК РФ установлены сроки хранения и обеспечения сохранности документов бухгалтерского и налогового учета, допускающих наличие в них персональных данных, 5 лет и 4 года соответственно.
Суд первой инстанции верно указал, что иных требований хранить персональные данные уволенных работников применимо к деятельности ООО "Суп Медиа" законодательством Российской Федерации не предусмотрено.
В ходе проверки были выявлены факты обработки персональных данных уволенных работников свыше установленных законодательством (5 лет) сроков именно в ИСПДн, использующихся ООО "Суп Медиа", а не в архивах организаций, осуществляющих архивное хранение документов на основании законодательства Российской Федерации об архивном деле.
В соответствии с ч. 4 ст. 21 Закона в случае достижения цели обработки персональных данных оператор обязан прекратить обработку персональных данных или обеспечить ее прекращение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) и уничтожить персональные данные или обеспечить их уничтожение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) в срок, не превышающий тридцати дней с даты достижения цели обработки персональных данных, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, иным соглашением между оператором и субъектом персональных данных либо если оператор не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных настоящим Федеральным законом или другими федеральными законами.
При таких обстоятельствах, суд первой инстанции правомерно пришел к выводу, что поскольку заявителем обработка персональных данных уволенных работников осуществляется после достижения цели их обработки и по истечении сроков, установленных законодательством Российской Федерации, ООО "Суп Медиа" не соблюдаются установленные Законом принципы обработки персональных данных, как следствие нарушаются требования ч. 4 ст. 21 Закона.
Согласно п. 6 Предписания ЗАО "Суп Медиа" не разработаны документы регламентирующие обработку персональных данных уволенных сотрудников, тем самым Оператором нарушены требования ч. 1 ст. 18.1 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных".
Вывод заявителя, изложенный в апелляционной жалобе о том, что работодатель самостоятельно определяет порядок обработки персональных данных уволенных работников, отклоняется как основанный на неправильном толковании норм права.
В соответствии с п. 1.8.3 Приложения N 1 к приказу Управления от 24.10.2016 N 705-нд с целью проверки соблюдения проверяемым юридическим лицом (далее - Оператор) требований законодательства в области персональных данных (далее - ПДн) необходимо, чтобы Оператор представил следующие документы или заверенные копии документов в пронумерованном порядке, полностью совпадающим с нумерацией соответствующего пункта Перечня:
Все изданные Оператором действующие локальные акты, отражающие следующие вопросы обработки ПДн (в случае издания общего документа указать соответствующий пункт, раздел и т.п.): - Цели обработки ПДн; - Правовое основание обработки ПДн (согласие, договор, норма/статья/пункт закона или подзаконного акта); - Категории субъектов ПДн, чьи ПДн обрабатываются; - Категории ПДн по каждой категории субъектов ПДн соответственно; - Описание порядка, способов и методов обезличивания ПДн, для каких целей осуществляется обезличивание ПДн, в отношении каких субъектов ПДн и категорий ПДн осуществляется обезличивание; - Срок обработки ПДн субъектов ПДн (в электронной форме, на материальных носителях); - Срок хранения ПДн субъектов ПДн (в электронной форме, на материальных носителях); - Условия уничтожения ПДн субъектов ПДн и порядок его осуществления (в электронной форме, на материальных носителях), копии актов об уничтожении ПДн; - Перечень лиц, имеющих доступ и непосредственно допущенных к работе с ПДн субъектов ПДн (в электронной форме, на материальных носителях).
Как верно установлено судом первой инстанции, ни один из представленных ООО "Суп Медиа" локальных актов, определяющих условия и порядок обработки персональных данных, условия и порядок обработки персональных данных уволенных работников не содержал.
Учитывая изложенное, оспариваемое предписание является законным и обоснованным, не нарушающим права и законные интересы заявителя.
Требования, изложенные в предписании об устранении нарушений законодательства, отвечают основным задачам законодательства от административных правонарушениях, указанных в ст. 1.2 КоАП РФ. Организация обязана прекратить противоправное деяние, в этой связи предписанием об устранении нарушений законодательства обеспечивается защита от совершаемого правонарушения.
Доводы, изложенные в апелляционной жалобе, связанные с иной оценкой имеющихся в материалах дела доказательств и иным толкованием норм права, не опровергают правильные выводы суда и не свидетельствуют о судебной ошибке.
Аргументированных доводов, основанных на доказательственной базе, опровергающих выводы суда, изложенные в решении, и позволяющих изменить или отменить обжалуемый судебный акт, заявителем на момент рассмотрения апелляционной жалобы не представлено.
Таким образом, решение суда первой инстанции является законным и обоснованным, соответствует материалам дела и действующему законодательству, в связи с чем отмене не подлежит.
Обстоятельств, являющихся безусловным основанием в силу ч. 4 ст. 270 АПК РФ для отмены судебного акта, апелляционным судом не установлено.
Руководствуясь ст. ст. 266, 268, 269, 271 Арбитражного процессуального кодекса Российской Федерации, Девятый арбитражный апелляционный суд
постановил:
Решение Арбитражного суда г. Москвы от 09.08.2017 по делу N А40-81171/17 оставить без изменения, апелляционную жалобу - без удовлетворения.
Постановление вступает в законную силу со дня его принятия и может быть обжаловано в течение двух месяцев со дня изготовления постановления в полном объеме в Арбитражный суд Московского округа.
© Обращаем особое внимание коллег на необходимость ссылки на "DOCS.SUBSCHET.RU | Налоги и учет. Документы" при цитированиии (для on-line проектов обязательна активная гиперссылка)
ПОСТАНОВЛЕНИЕ ДЕВЯТОГО АРБИТРАЖНОГО АПЕЛЛЯЦИОННОГО СУДА ОТ 10.10.2017 N 09АП-46343/2017 ПО ДЕЛУ N А40-81171/17
Разделы:Акцизы
Обращаем Ваше внимание на то обстоятельство, что данное решение могло быть обжаловано в суде высшей инстанции и отменено
ДЕВЯТЫЙ АРБИТРАЖНЫЙ АПЕЛЛЯЦИОННЫЙ СУД
ПОСТАНОВЛЕНИЕ
от 10 октября 2017 г. N 09АП-46343/2017
Дело N А40-81171/17
Резолютивная часть постановления объявлена 05 октября 2017 года
Постановление изготовлено в полном объеме 10 октября 2017 года
Девятый арбитражный апелляционный суд в составе:
председательствующего судьи Румянцева П.В.,
судей: Марковой Т.Т., Лепихина Д.Е.,
при ведении протокола секретарем судебного заседания Бабажановым Н.Н.,
рассмотрев в открытом судебном заседании апелляционную жалобу ООО "Суп Медиа"
на решение Арбитражного суда г. Москвы от 09.08.2017 по делу N А40-81171/17,
принятое судьей М.М. Кузиным,
по заявлению ООО "Суп Медиа"
к Управлению Федеральной сл7ужбы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Центральному федеральному округу
об оспаривании предписания,
при участии:
- от заявителя: Пономарева Е.В. по дов. 19.06.2017, Львов И.С. по дов. 01.09.2017;
- от заинтересованного лица: Горбачева К.Д. по дов. от 04.10.2017, Бесекерский Д.Е. по дов. от 30.12.2016;
- установил:
ООО "Суп Медия" (далее - заявитель, оператор) обратилась в Арбитражный суд г. Москвы с заявлением о признании незаконным и отмене предписания Управления Роскомнадзора по ЦФО (далее - ответчик) от 29.11.2016 г. N П-77/07/705-нд/-/1/337 в части пунктов 2, 3, 4, 5 и 6.
Решением от 09.08.2017 Арбитражный суд г. Москвы отказал в удовлетворении заявленных требований.
Не согласившись с принятым судом решением, заявитель обратился в Девятый арбитражный апелляционный суд с апелляционной жалобой, в которой просит его отменить как принятое с нарушением норм права.
В судебном заседании представитель подателя апелляционной жалобы доводы апелляционной жалобы поддержал по мотивам, изложенным в ней.
Представитель заинтересованного лица возражал против удовлетворения апелляционной жалобы.
Законность и обоснованность обжалуемого судебного акта проверены судом апелляционной инстанции в порядке, предусмотренном ст. ст. 266, 268 АПК РФ.
Как следует из материалов административного дела, в соответствии с требованиями Федерального закона от 27.07.2006 г. N 152-ФЗ "О персональных данных" (далее - Федеральный закон), на основании Административного регламента исполнения Федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций государственной функции по осуществлению государственного контроля (надзора) за соответствием обработки персональных данных требованиям законодательства Российской Федерации в области персональных данных, утвержденного приказом Министерства связи и массовых коммуникаций Российской Федерации от 14.11.2011 г. N 312 (зарегистрирован Министерством юстиции Российской Федерации 13.12.2011 г. N 22595), приказа Управления Роскомнадзора по Центральному федеральному округу от 24.10.2016 г. N 705-нд проведена плановая выездная проверка по соблюдению обязательных требований в области обработки персональных данных ЗАО "Суп Медиа" (далее - Оператор).
На основании решения единственного акционера Общества от 09.12.2011 г. наименование ЗАО "Суп Фабрик" было изменено на ЗАО "Суп Медиа".
До 20.06.2016 г. Общество осуществляло свою деятельность на основании Устава ЗАО "Суп Медиа", утвержденного Решением N 15 единственного акционера Общества от 17.05.2013 г. С 21.06.2016 г. Оператор осуществляет свою деятельность на основании Устава ООО "Суп Медиа", утвержденного Решением единственного акционера Общества от 21.06.2016.
По результатам проверки выдано предписание N П-77/07/705-нд/-/1/337 от 29.11.2016 г., согласно которому ООО "Суп Медия" допустило 7 нарушений Федерального закона от 27.07.2006 г. N 152-ФЗ "О персональных данных", а именно:
1. Анализ договора возмездного оказания услуг N RBS-14170-2015-HR-5 от 12.01.2015, заключенного с ООО "Рамблер БС", на основании которого ЗАО "Суп Медиа" поручило обработку персональных данных соискателей на замещение вакантных должностей, работников и их родственников, уволенных работников ООО "Рамблер БС", выявил отсутствие в указанном договоре положений, определяющих перечень действий (операций) с персональными данными, которые будут совершаться ООО "Рамблер БС", тем самым ЗАО "Суп Медиа" нарушены требования ч. 3 ст. 6 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных".
2. ЗАО "Суп Медиа" не представлено заполненное согласие соискателей на замещение вакантных должностей, подтверждающее выполнение ЗАО "Суп Медиа" требований ч. 3 ст. 6 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных", в части поручения обработки персональных данных соискателей с согласия представленной ЗАО "Суп Медиа", не указано, что обработку персональных данных осуществляет ООО "Рамблер БС" по поручению ЗАО "Суп Медиа". В справочной информации ЗАО "Суп Медиа" не упоминается о подписании соискателем согласия на обработку персональных данных.
ЗАО "Суп Медиа" нарушены требования ч. 3 ст. 6 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных", в части поручения обработки персональных данных соискателей ООО "Рамблер БС" без согласия соискателей на замещение вакантных должностей.
3. ЗАО "Суп Медиа" при передаче персональных данных работников третьим лицам использует письменное согласие работника, не соответствующее требованиям ч. 4. ст. 9 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных".
4. В виду осуществления передачи персональных данных работников третьим лицам на основании письменного согласия работников, несоответствующего ч. 4 ст. 9 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных", ЗАО "Суп Медиа" нарушена ст. 88 Трудового Кодекса РФ.
5. В ходе проверки зафиксирован факт обработки персональных данных уволенных сотрудников после достижения цели обработки (увольнение, исполнение требований закона о бухгалтерском учете), уволенных свыше 5 лет на момент проверки, что подтверждается снимками экрана ИСПДн "1С: Зарплата и кадры" и "1С: Зарплата и Управление персоналом" личной карточки Аюровой Анны Александровны, уволенной 10.02.2010. ЗАО "Суп Медиа" не соблюдены установленные Федеральным законом от 27.07.2006 N 152-ФЗ "О персональных данных" требования по уничтожению персональных данных уволенных сотрудников, чем нарушены требования ч. 4 ст. 21 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных".
6. ЗАО "Суп Медиа" не разработаны документы регламентирующие обработку персональных данных уволенных сотрудников, тем самым Оператором нарушены требования ч. 1 ст. 18.1 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных".
7. ЗАО "Суп Медиа" не представлены документы, подтверждающие проведение внутреннего контроля и аудита соответствия обработки персональных данных Федеральному закону от 27.07.2006 N 152-ФЗ "О персональных данных" и принятым в соответствии с ним нормативным правовым актам, требованиям к защите персональных данных, политике оператора в отношении обработки персональных данных, локальным актам оператора, что свидетельствует о нарушении п. 5 ч. 1 ст. 18.1 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных".
Согласно предписанию, ООО "Суп Медиа" обязано в срок до 27.08.2017 г. устранить выявленные нарушения.
Не согласившись с вынесенным предписанием в части, заявитель обратился в Арбитражный суд г. Москвы.
Суд первой инстанции правомерно и обоснованно отказал в удовлетворении заявленных требований, исходя из следующего.
Согласно п. 2 оспариваемого предписания ЗАО "Суп Медиа" не представлено заполненное согласие соискателей на замещение вакантных должностей, подтверждающее выполнение ЗАО "Суп Медиа" требований ч. 3 ст. 6 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных", в части поручения обработки персональных данных соискателей с согласия представленной ЗАО "Суп Медиа", не указано, что обработку персональных данных осуществляет ООО "Рамблер БС" по поручению ЗАО "Суп Медиа". В справочной информации ЗАО "Суп Медиа" не упоминается о подписании соискателем согласия на обработку персональных данных.
ЗАО "Суп Медиа" нарушены требования ч. 3 ст. 6 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных", в части поручения обработки персональных данных соискателей ООО "Рамблер БС" без согласия соискателей на замещение вакантных должностей.
Заявитель в апелляционной жалобе ссылается на п. 2.8 Соглашения об оказании услуг по содействию в трудоустройств, размещенном на сайте hh.ru, соискатель соглашается и признает, что размещаемые им на сайте персональные данные в форме резюме будут являться общедоступными.
Между тем, как верно указал суд первой инстанции, субъект персональных данных, желающий разместить свое резюме на сайте hh.ru, в обязательном порядке принимает условия Соглашения об оказании услуг по содействию в трудоустройстве (акцепт), размещенном в сети Интернет по адресу: https://hh.ru/account/agreement, заключаемом с Обществом с ограниченной ответственностью "Хэдхантер" (ИНН 7718620740, ОГРН 1067761906805).
Функционал сайта hh.ru форму согласия соискателя в виде электронного документа, подписываемого в соответствии с федеральным законом электронной подписью, не предусматривает, в связи с чем Соглашение об оказании услуг по содействию в трудоустройстве не соответствует требованиям ч. 4 ст. 9 Закона.
Условия Соглашения об оказании услуг по содействию в трудоустройстве согласия соискателей на включение их персональных данных в общедоступные источники персональных данных с целью информационного обеспечения не предусматривают.
При этом в рассматриваемом случае оператором, осуществляющим обработку персональных данных соискателей и поручившим обрабатывать их ООО "Рамблер БС", является заявитель, а не ООО "Хэдхантер", которому соискатель, размещающий резюме на сайте hh.ru, дает согласие на обработку.
В соответствии с ч. 2 ст. 5 Закона обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных. допускается обработка персональных данных, несовместимая с целями сбора персональных данных.
В соответствии с ч. 1 ст. 8 Закона в целях информационного обеспечения могут создаваться общедоступные источники персональных данных (в том числе справочники, адресные книги). В общедоступные источники персональных данных с письменного согласия субъекта персональных данных могут включаться его фамилия, имя, отчество, год и место рождения, адрес, абонентский номер, сведения о профессии и иные персональные данные, сообщаемые субъектом персональных данных.
В соответствии с ч. 4 ст. 9 Закона в случаях, предусмотренных федеральным законом, обработка персональных данных осуществляется только с согласия в письменной форме субъекта персональных данных. Равнозначным содержащему собственноручную подпись субъекта персональных данных согласию в письменной форме на бумажном носителе признается согласие в форме электронного документа, подписанного в соответствии с федеральным законом электронной подписью.
На основании вышеизложенного, ООО "Суп Медиа", поручая обработку персональных данных соискателей на замещение вакантных должностей другому лицу (ООО "Рамблер БС"), в соответствии с требованиями ч. 3 ст. 6 Закона обязан, взять у каждого такого соискателя соответствующее согласие, чего выполнено оператором не было.
Таким образом, п. 2 оспариваемого предписания законный и обоснованный.
Согласно п. 3 Предписания ЗАО "Суп Медиа" при передаче персональных данных работников третьим лицам использует письменное согласие работника, не соответствующее требованиям ч. 4. ст. 9 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных".
Согласно п. 4 Предписания в виду осуществления передачи персональных данных работников третьим лицам на основании письменного согласия работников, несоответствующего ч. 4 ст. 9 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных", ЗАО "Суп Медиа" нарушена ст. 88 Трудового Кодекса РФ.
В соответствии со ст. 87 ТК РФ порядок хранения и использования персональных данных работников устанавливается работодателем с соблюдением требований настоящего Кодекса и иных федеральных законов.
В соответствии со ст. 88 ТК РФ при передаче персональных данных работника работодатель должен не сообщать персональные данные работника третьей стороне без письменного согласия работника, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью работника, а также в других случаях, предусмотренных настоящим Кодексом или иными федеральными законами.
Поскольку передача персональных данных работника третьей стороне выходит за рамки трудовых отношений, регулируемых ТК РФ, законодательством в целях защиты персональных данных предусмотрен особый подход в организации оператором такой передачи, направленный на конкретизирование обстоятельств передачи, информированность и осознанность субъекта персональных данных, который должен понимать, кому он дает свое согласие, на что конкретно, и какие последствия могут вытекать вследствие действий, на которые он дает свое согласие.
Как указано выше в случаях, предусмотренных федеральным законом, обработка персональных данных осуществляется только с согласия в письменной форме субъекта персональных данных, а особые требования к согласию в письменной форме содержатся в ч. 4 ст. 9 Закона.
Суд первой инстанции правомерно пришел к выводу, что законодательством установлено особое условие, защищающее права субъекта персональных данных (работника) при передаче его персональных данных третьей стороне - а именно наличие письменного согласия работника, требования к которому указаны в ч. 4 ст. 9 Закона и направлены на соблюдение принципов конкретности и информированности.
Как следует из п. 4 и п. 6 ч. 4 ст. 9 Закона Согласие в письменной форме субъекта персональных данных на обработку его персональных данных должно включать в себя, в частности: цель обработки персональных данных; наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка будет поручена такому лицу.
Между тем, как верно установлено судом первой инстанции, ООО "Суп Медиа" используется форма согласия работника, в котором работник дает согласие на обработку своих персональных данных в нескольких целях (что заявителем не оспаривается и прямо указывается в заявлении), при этом в согласии не указаны наименование и адрес лица, осуществляющего обработку персональных данных по поручению оператора (ООО "Рамблер БС").
Учитывая изложенное, судебная коллегия соглашается с выводом суда первой инстанции, что ООО "Суп Медиа" при передаче персональных данных своих работников третьей стороне (ООО "Рамблер БС") использует форму согласия, не соответствующую требованиям ч. 4 ст. 9 Закона, чем нарушаются требования ст. 88 ТК РФ.
Согласно п. 5 Предписания в ходе проверки зафиксирован факт обработки персональных данных уволенных сотрудников после достижения цели обработки (увольнение, исполнение требований закона о бухгалтерском учете), уволенных свыше 5 лет на момент проверки, что подтверждается снимками экрана ИСПДн "1С: Зарплата и кадры" и "1С: Зарплата и Управление персоналом" личной карточки Аюровой Анны Александровны, уволенной 10.02.2010. ЗАО "Суп Медиа" не соблюдены установленные Федеральным законом от 27.07.2006 N 152-ФЗ "О персональных данных" требования по уничтожению персональных данных уволенных сотрудников, чем нарушены требования ч. 4 ст. 21 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных".
Суд первой инстанции правомерно отклонил довод заявителя о том, что наличия согласия уволенных работников, которые были уволены по истечении более пяти лет с момента проведения проверки, на обработку их персональных данных в информационных системах персональных данных (далее - ИСПДн) "1С: Зарплата и Кадры" и "1С: Зарплата и Управление персоналом", Оператору не требуется, так как ООО "Суп Медиа" обрабатывает эти персональные данные на основании п. 2 ч. 1 ст. 6 Закона, ссылаясь на выполнение требований п. п. 1 и 2 ст. 29 Федерального закона от 06.12.2011 г. N 402-ФЗ "О бухгалтерском учете" и пп. 8 п. 1 ст. 23 НК РФ, ввиду следующего.
В соответствии с ч. 7 ст. 5 Закона хранение персональных данных должно осуществляться в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных. Обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.
В соответствии с п. 2 ч. 1 ст. 6 Закона обработка персональных данных допускается в случае, если необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательствам Российской Федерации на оператора функций, полномочий и обязанностей.
Требованиями п. п. 1 и 2 ст. 29 Федерального закона от 06.12.2011 N 402-ФЗ "О бухгалтерском учете" и пп. 8 п. 1 ст. 23 НК РФ установлены сроки хранения и обеспечения сохранности документов бухгалтерского и налогового учета, допускающих наличие в них персональных данных, 5 лет и 4 года соответственно.
Суд первой инстанции верно указал, что иных требований хранить персональные данные уволенных работников применимо к деятельности ООО "Суп Медиа" законодательством Российской Федерации не предусмотрено.
В ходе проверки были выявлены факты обработки персональных данных уволенных работников свыше установленных законодательством (5 лет) сроков именно в ИСПДн, использующихся ООО "Суп Медиа", а не в архивах организаций, осуществляющих архивное хранение документов на основании законодательства Российской Федерации об архивном деле.
В соответствии с ч. 4 ст. 21 Закона в случае достижения цели обработки персональных данных оператор обязан прекратить обработку персональных данных или обеспечить ее прекращение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) и уничтожить персональные данные или обеспечить их уничтожение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) в срок, не превышающий тридцати дней с даты достижения цели обработки персональных данных, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, иным соглашением между оператором и субъектом персональных данных либо если оператор не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных настоящим Федеральным законом или другими федеральными законами.
При таких обстоятельствах, суд первой инстанции правомерно пришел к выводу, что поскольку заявителем обработка персональных данных уволенных работников осуществляется после достижения цели их обработки и по истечении сроков, установленных законодательством Российской Федерации, ООО "Суп Медиа" не соблюдаются установленные Законом принципы обработки персональных данных, как следствие нарушаются требования ч. 4 ст. 21 Закона.
Согласно п. 6 Предписания ЗАО "Суп Медиа" не разработаны документы регламентирующие обработку персональных данных уволенных сотрудников, тем самым Оператором нарушены требования ч. 1 ст. 18.1 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных".
Вывод заявителя, изложенный в апелляционной жалобе о том, что работодатель самостоятельно определяет порядок обработки персональных данных уволенных работников, отклоняется как основанный на неправильном толковании норм права.
В соответствии с п. 1.8.3 Приложения N 1 к приказу Управления от 24.10.2016 N 705-нд с целью проверки соблюдения проверяемым юридическим лицом (далее - Оператор) требований законодательства в области персональных данных (далее - ПДн) необходимо, чтобы Оператор представил следующие документы или заверенные копии документов в пронумерованном порядке, полностью совпадающим с нумерацией соответствующего пункта Перечня:
Все изданные Оператором действующие локальные акты, отражающие следующие вопросы обработки ПДн (в случае издания общего документа указать соответствующий пункт, раздел и т.п.): - Цели обработки ПДн; - Правовое основание обработки ПДн (согласие, договор, норма/статья/пункт закона или подзаконного акта); - Категории субъектов ПДн, чьи ПДн обрабатываются; - Категории ПДн по каждой категории субъектов ПДн соответственно; - Описание порядка, способов и методов обезличивания ПДн, для каких целей осуществляется обезличивание ПДн, в отношении каких субъектов ПДн и категорий ПДн осуществляется обезличивание; - Срок обработки ПДн субъектов ПДн (в электронной форме, на материальных носителях); - Срок хранения ПДн субъектов ПДн (в электронной форме, на материальных носителях); - Условия уничтожения ПДн субъектов ПДн и порядок его осуществления (в электронной форме, на материальных носителях), копии актов об уничтожении ПДн; - Перечень лиц, имеющих доступ и непосредственно допущенных к работе с ПДн субъектов ПДн (в электронной форме, на материальных носителях).
Как верно установлено судом первой инстанции, ни один из представленных ООО "Суп Медиа" локальных актов, определяющих условия и порядок обработки персональных данных, условия и порядок обработки персональных данных уволенных работников не содержал.
Учитывая изложенное, оспариваемое предписание является законным и обоснованным, не нарушающим права и законные интересы заявителя.
Требования, изложенные в предписании об устранении нарушений законодательства, отвечают основным задачам законодательства от административных правонарушениях, указанных в ст. 1.2 КоАП РФ. Организация обязана прекратить противоправное деяние, в этой связи предписанием об устранении нарушений законодательства обеспечивается защита от совершаемого правонарушения.
Доводы, изложенные в апелляционной жалобе, связанные с иной оценкой имеющихся в материалах дела доказательств и иным толкованием норм права, не опровергают правильные выводы суда и не свидетельствуют о судебной ошибке.
Аргументированных доводов, основанных на доказательственной базе, опровергающих выводы суда, изложенные в решении, и позволяющих изменить или отменить обжалуемый судебный акт, заявителем на момент рассмотрения апелляционной жалобы не представлено.
Таким образом, решение суда первой инстанции является законным и обоснованным, соответствует материалам дела и действующему законодательству, в связи с чем отмене не подлежит.
Обстоятельств, являющихся безусловным основанием в силу ч. 4 ст. 270 АПК РФ для отмены судебного акта, апелляционным судом не установлено.
Руководствуясь ст. ст. 266, 268, 269, 271 Арбитражного процессуального кодекса Российской Федерации, Девятый арбитражный апелляционный суд
постановил:
Решение Арбитражного суда г. Москвы от 09.08.2017 по делу N А40-81171/17 оставить без изменения, апелляционную жалобу - без удовлетворения.
Постановление вступает в законную силу со дня его принятия и может быть обжаловано в течение двух месяцев со дня изготовления постановления в полном объеме в Арбитражный суд Московского округа.
Председательствующий судья
П.В.РУМЯНЦЕВ
Судьи
Д.Е.ЛЕПИХИН
Т.Т.МАРКОВА
П.В.РУМЯНЦЕВ
Судьи
Д.Е.ЛЕПИХИН
Т.Т.МАРКОВА
© Обращаем особое внимание коллег на необходимость ссылки на "DOCS.SUBSCHET.RU | Налоги и учет. Документы" при цитированиии (для on-line проектов обязательна активная гиперссылка)