Дата принятия: 28 мая 2020г.
Номер документа: Ф03-1734/2020, А51-8681/2019
АРБИТРАЖНЫЙ СУД ДАЛЬНЕВОСТОЧНОГО ОКРУГА
ПОСТАНОВЛЕНИЕ
от 28 мая 2020 года Дело N А51-8681/2019
Резолютивная часть постановления объявлена 27 мая 2020 года.
Полный текст постановления изготовлен 28 мая 2020 года.
Арбитражный суд Дальневосточного округа в составе:
председательствующего судьи Луговой И.М.,
судей Лесненко С.Ю., Ширяева И.В.,
при участии:
от индивидуального предпринимателя Николаева Егора Александровича - представитель не явился;
от Управления Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Приморскому краю - Зайцева О.В., представитель по доверенности от 27.12.2019 N 37Д;
от Прокуратуры Приморского края - представитель не явился;
рассмотрев в проведенном с использованием систем видеоконференц-связи судебном заседании кассационную жалобу индивидуального предпринимателя Николаева Егора Александровича
на решение от 21.11.2019, постановление Пятого арбитражного апелляционного суда от 21.02.2020
по делу N А51-8681/2019 Арбитражного суда Приморского края
по иску (заявлению) (ОГРН, ИНН , адрес: )
по заявлению индивидуального предпринимателя Николаева Егора Александровича (ОГРНИП 310253825200031, ИНН 253809015229)
к Управлению Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Приморскому краю (ОГРН 1042504058343, ИНН 2539063082, адрес: 690041, Приморский край, г. Владивосток, ул. Беломорская, 18)
при участии: Прокуратуры Приморского края (ОГРН 1022501289535, ИНН 2536042415, адрес: 690091, Приморский край, г. Владивосток, ул. Фонтанная, 51)
о признании недействительным требования
УСТАНОВИЛ:
индивидуальный предприниматель Николаев Егор Александрович (далее - заявитель, предприниматель) обратился в Арбитражный суд Приморского края с заявлением к Управлению Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Приморскому краю (далее - управление, Роскомнадзор) о признании недействительным требования от 19.03.2019 N 3828-05/25.
Решением суда от 21.11.2019, оставленным без изменений постановлением Пятого арбитражного апелляционного суда от 21.02.2020, в удовлетворении заявленных требований отказано.
Не согласившись с решением суда первой инстанции и постановлением суда апелляционной инстанции, предприниматель обратился в Арбитражный суд Дальневосточного округа с кассационной жалобой, в которой просит их отменить в связи с неправильным применением норм материального права, а также несоответствием выводов судов фактическим обстоятельствам дела и принять новый судебный акт об удовлетворении требований в полном объеме.
Заявитель, извещенный в установленном порядке о месте и времени рассмотрения дела, явку представителя не обеспечил, что в силу части 3 статьи 284 АПК РФ не препятствует рассмотрению дела в его отсутствие.
В жалобе настаивает, что управлением нарушена процедура проведения государственного контроля и надзора, установленная Федеральным законом от 27.07.2006 N 152-ФЗ "О персональных данных" (далее - Закон), поскольку, во-первых, сам предприниматель обрабатывает персональные данные исключительно из перечня части 2 статьи 22 Закона, что дает ему право не уведомлять Роскомнадзор о намерении осуществлять обработку персональных данных. Во-вторых, так как доказательств об организации в отношении него проведения внеплановой проверки либо мероприятий по контролю без взаимодействия с операторами по "Правилам организации и осуществления государственного контроля и надзора за обработкой персональных данных", утвержденных Постановлением Правительства Российской Федерации от 13.02.2019 N 146 (далее - Правила N 146), управлением не представлено, истребование от него информации и направление в его адрес спорного требования, незаконно.
Роскомнадзор в отзыве и его представитель в судебном заседании проведенном посредством организации видеоконференц-связи с Арбитражным судом Приморского края, доводы жалобы отклонили, предлагая судебные акты оставить без изменений как законные и обоснованные.
Прокуратура Приморского края в отзыве согласилась с выводами судов, что оспариваемый запрос сделан управлением в рамках предоставленных полномочий, с соблюдением установленного порядка.
Изучив материалы дела, обсудив доводы кассационной жалобы, отзыва на неё, проверив в порядке и пределах статей 284, 286 АПК РФ правильность применения судами первой и апелляционной инстанций норм материального и процессуального права, суд кассационной инстанции приходит к выводу об отсутствии оснований для её удовлетворения.
Из материалов дела судами установлено, что ссылаясь на положения части 1 статьи 23 Закона и Положение о Федеральной службе по надзору в сфере связи, информационных технологий и массовых коммуникаций, утвержденного Постановлением Правительства Российской Федерации от 16.03.2009 N 228 (далее - Положение о Роскомнадзоре), управление направило в адрес предпринимателя письмо от 19.03.2019 N 3828-05/25, в котором указало, что является уполномоченным органом по защите прав субъектов персональных данных и ведет реестр операторов, осуществляющих обработку персональных данных и в связи с реализацией возложенных на него полномочий и выявлением признаков деятельности, предполагающей обработку предпринимателем персональных данных, сообщило о том, что последний в соответствии с частью 1 статьи 22 Закона обязан уведомить уполномоченный орган о намерении осуществлять обработку персональных данных либо в случае наличия оснований, позволяющих обработку персональных данных без уведомления, просило на основании пункта 1 части 3 статьи 23 Закона предоставить следующие сведения:
- перечень персональных данных, обрабатываемых предпринимателем, и источники их получения;
- сведения о категориях лиц, чьи персональные данные обрабатывает предприниматель;
- цели и правовые основания осуществления предпринимателем обработки персональных данных, в том числе относительно передачи персональных данных третьим лицам;
- способы обработки предпринимателем персональных данных;
- использование информационных систем персональных данных, имеющих в соответствии с федеральными законами статус государственных автоматизированных информационных систем;
- информацию, подтверждающую принятие мер по соблюдению требований части 1 статьи 18.1 Закона;
- сведения о соблюдении требований части 5 статьи 18 Закона в части обеспечения размещения баз персональных данных на территории Российской Федерации.
Указанную информацию предложено представить в сроки, установленные частью 4 статьи 20 Закона - в течение 30 дней с даты получения запроса.
Полагая, что требование о предоставлении информации, изложенное в письме от 19.03.2019, является незаконным, предприниматель обратился с соответствующим заявлением в арбитражный суд, который прийдя к выводу о наличии у управления оснований и полномочий для направления оспариваемого письма, в удовлетворении требований отказал.
Выводы суда первой инстанции поддержаны апелляционным судом.
Суд округа соглашается с судами, которые правомерно приняли во внимание следующее.
Отношения, связанные с обработкой персональных данных, осуществляемой федеральными органами государственной власти, органами государственной власти субъектов Российской Федерации, иными государственными органами, органами местного самоуправления, иными муниципальными органами, юридическими лицами и физическими лицами с использованием средств автоматизации, в том числе в информационно-телекоммуникационных сетях, или без использования таких средств, если обработка персональных данных без использования таких средств соответствует характеру действий (операций), совершаемых с персональными данными с использованием средств автоматизации, то есть позволяет осуществлять в соответствии с заданным алгоритмом поиск персональных данных, зафиксированных на материальном носителе и содержащихся в картотеках или иных систематизированных собраниях персональных данных, и (или) доступ к таким персональным данным, регулируются положениями Закона.
Пунктом 2 статьи 3 Закона определено, что оператором является государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.
В соответствии с пунктами 1, 3 статьи 3 Закона под персональными данными понимается любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных); обработка персональных данных представляется собой любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
В силу части 1 статьи 22 Закона оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи.
Из буквального содержания приведенных норм Закона суды пришли к верному заключению о том, что оператором признается лицо, осуществляющее либо намеревающееся осуществлять обработку персональных данных, и Закон не связывает признание лица оператором с фактом включения (регистрации) такого лица в реестр операторов, осуществляющих обработку персональных данных. Поэтому правовое значение для квалификации деятельности лица в качестве деятельности оператора имеет факт осуществления этим лицом видов деятельности, при которых оно может обрабатывать персональные данные, а равно иметь намерение осуществлять такие виды деятельности.
Из выписки из ЕГРИП от 18.04.2019 следует, что основным видом деятельности заявителя является деятельность по коду 62.02 "деятельность консультативная и работы в области компьютерных технологий", дополнительными видами деятельности являются: 62.0 - "разработка компьютерного программного обеспечения, консультационные услуги в данной области и другие сопутствующие услуги"; 62.01 - "деятельность, связанная с использованием вычислительной техники и информационных технологий прочая" 63.11 - "деятельность по обработке данных, предоставление услуг по размещению информации и связанная с этим деятельность".
Таким образом, предприниматель вправе осуществлять деятельность по обработке персональных данных, следовательно, он является оператором в смысле положений статьи 3 Закона и обязан соблюдать правила, установленные данным Законом и принимаемыми в его развитие нормативными правовыми актами.
Вместе с этим в соответствии с частью 1 статьи 23 Закона уполномоченным органом по защите прав субъектов персональных данных, на который возлагается обеспечение контроля и надзора за соответствием обработки персональных данных требованиям настоящего Федерального закона, определен федеральный орган исполнительной власти, осуществляющий функции по контролю и надзору в сфере информационных технологий и связи.
Таким органом в соответствии с пунктом 1 Положения о Роскомнадзоре, является Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор), которая осуществляет функции по контролю и надзору в сфере средств массовой информации, в том числе электронных, и массовых коммуникаций, информационных технологий и связи, функции по контролю и надзору за соответствием обработки персональных данных требованиям законодательства Российской Федерации в области персональных данных, а также функции по организации деятельности радиочастотной службы.
Согласно пунктам 2, 6 Положения об Управлении Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Приморскому краю, утвержденного приказом Роскомнадзора от 25.01.2016 N 70, на территории Приморского края функции по контролю и надзору за соответствием обработки персональных данных требованиям законодательства Российской Федерации в области персональных данных возложены на управление.
Пунктом 1 части 3 статьи 23 Закона, пунктом 8.1 Положения о Роскомнадзоре, закреплено, что уполномоченный орган, исполняя функции защиты прав субъектов персональных данных, имеет право запрашивать и получать на безвозмездной основе у федеральных органов исполнительной власти и их территориальных органов, органов исполнительной власти субъектов Российской Федерации и органов местного самоуправления, а также у юридических и физических лиц сведения и материалы, необходимые для выполнения полномочий в установленной сфере деятельности.
Данное право реализуется Роскомнадзором посредством направления оператору персональных данных запроса о предоставлении информации в отношении обработки персональных данных.
Указанному праву уполномоченного органа, по верным выводам судов, корреспондирует установленная частью 4 статьи 20 Закона обязанность оператора персональных данных сообщить в уполномоченный орган по запросу этого органа необходимую информацию в течение 30 дней с даты получения такого запроса.
Следовательно, учитывая, что Николаев Е.А. в соответствии со статьей 3 Закона является оператором, что им не отрицалось, то он в силу требований статьи 20 Закона обязан предоставлять управлению по его мотивированному запросу сведения, касающиеся его деятельности по обработке персональных данных.
В связи с чем, основания для признания письма управления от 19.03.2019 N 3828-05/25 незаконным у судов отсутствовали.
При этом, вопреки утверждению подателя кассационной жалобы, судами верно отмечено, что право управления на истребование информации по правилам пункта 1 части 3 статьи 23 Закона, не тожественно действиям уполномоченного органа для случаев реализации их полномочий, перечисленных в пункте 3 Правил N 146, например (при организации и в проведении плановых и внеплановых проверок, принятию мер по пресечению и (или) устранению последствий выявленных нарушений; проведения мероприятий по контролю без взаимодействия с операторами; мероприятий по профилактике нарушений). Тем более, что, как правильно указал сам заявитель, доказательств совершения уполномоченным органом действий в процедуре исполнения Правил N 146, материалы дела не содержат. Следовательно, оспариваемый запрос направлен предпринимателю исходя из полномочий на получение информации, предоставленных названными нормами Закона и Положением о Роскомнадзоре.
Таким образом, истребуемая в запросе информация о наличии/отсутствии у предпринимателя, как оператора, обязанности по направлению в адрес уполномоченного органа уведомления, что предусмотрено частями 1, 3 статьи 22 Закона, по обоснованным выводам судов, в рассматриваемом случае прав и интересов заявителя не нарушает.
При установленных обстоятельствах, выводы судов о законности оспариваемого акта правомерны, соответствуют материалам дела.
Поскольку судами правильно установлены все имеющие существенное значение для разрешения спора обстоятельства, верно применены нормы материального права, нарушений процессуальных норм, в том числе влекущих безусловную отмену обжалуемых судебных актов, не выявлено, кассационная жалоба - удовлетворению, а решение и постановление - отмене, не подлежат.
Руководствуясь статьями 286-289 Арбитражного процессуального кодекса Российской Федерации, Арбитражный суд Дальневосточного округа
ПОСТАНОВИЛ:
решение от 21.11.2019, постановление Пятого арбитражного апелляционного суда от 21.02.2020 по делу N А51-8681/2019 Арбитражного суда Приморского края оставить без изменения, кассационную жалобу - без удовлетворения.
Постановление вступает в законную силу со дня его принятия и может быть обжаловано в Судебную коллегию Верховного Суда Российской Федерации в срок, не превышающий двух месяцев со дня его принятия, в порядке, предусмотренном статьей 291.1 Арбитражного процессуального кодекса Российской Федерации.
Председательствующий судья И.М. Луговая
Судьи С.Ю. Лесненко
И.В. Ширяев
Электронный текст документа
подготовлен и сверен по:
файл-рассылка
