Постановление Четвертого арбитражного апелляционного суда от 13.05.2010 по делу n А19-25289/2009. Постановление суда апелляционной инстанции: Оставить решение суда без изменения, жалобу без удовлетворения

и иной экономической деятельности.

Суд первой инстанции правомерно указал, что под ненормативным правовым актом, подлежащим обжалованию в арбитражный суд, понимается документ, содержащий обязательные предписания, распоряжения, влекущие юридические последствия и нарушающие гражданские права и охраняемые законом интересы заявителя, в то время, как оспариваемый заявителем акт проверки не обладает указанными признаками ненормативного правового акта, поскольку не содержит властно-распорядительных предписаний, влекущих для заявителя юридические последствия, не устанавливает, не изменяет и не отменяет никакие права и обязанности общества, не определяет меру ответственности, носит информационный характер, поскольку содержит лишь выявленные Управлением Роскомнадзора по Иркутской области нарушения.

Кроме того, данный документ не является окончательным по результатам проверки, поэтому не может быть самостоятельным предметом спора в арбитражном суде. Ссылка заявителя в апелляционной жалобе на то, что Федеральный Закон «О защите прав юридических лиц и индивидуальных предпринимателей при осуществлении государственного контроля (надзора) и муниципального контроля» от 26.12.2008 N 294-ФЗ предусматривает по результатом проверки составлять только Акт, который содержит, сведения о выявленных нарушениях обязательных требований и требований, установленных муниципальными правовыми актами, об их характере и о лицах, допустивших указанные нарушения, не имеет правового значения, поскольку как указывает ст. 17 названного закона, на основании актов проверки, уполномоченные органы праве принимать соответствующие меры к нарушителям, и в частности выдавать предписания юридическому лицу, индивидуальному предпринимателю об устранении выявленных нарушений с указанием сроков их устранения; принимать меры по контролю за устранением выявленных нарушений, их предупреждению, предотвращению возможного причинения вреда жизни, здоровью граждан, вреда животным, растениям, окружающей среде, обеспечению безопасности государства, предупреждению возникновения чрезвычайных ситуаций природного и техногенного характера, а также меры по привлечению лиц, допустивших выявленные нарушения, к ответственности.

Таким образом, акты проверок, являются основанием для уполномоченных органов, в лице соответствующих должностных лиц основанием для принятия мер воздействия. При этом сами по себе акты проверок не нарушают права и законные интересы субъектов проверок.

В связи с указанным, по мнению суда апелляционной инстанции, суд первой инстанции правомерно в указанной части прекратил производство по делу.

Согласно ст. 22 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных" оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи.

Уведомление, предусмотренное частью 1 настоящей статьи, должно быть направлено в письменной форме и подписано уполномоченным лицом или направлено в электронной форме и подписано электронной цифровой подписью в соответствии с законодательством Российской Федерации. Уведомление должно содержать следующие сведения:

1) наименование (фамилия, имя, отчество), адрес оператора;

2) цель обработки персональных данных;

3) категории персональных данных;

4) категории субъектов, персональные данные которых обрабатываются;

5) правовое основание обработки персональных данных;

6) перечень действий с персональными данными, общее описание используемых оператором способов обработки персональных данных;

7) описание мер, которые оператор обязуется осуществлять при обработке персональных данных, по обеспечению безопасности персональных данных при их обработке;

8) дата начала обработки персональных данных;

9) срок или условие прекращения обработки персональных данных.

В случае изменения сведений, указанных в части 3 настоящей статьи, оператор обязан уведомить об изменениях уполномоченный орган по защите прав субъектов персональных данных в течение десяти рабочих дней с даты возникновения таких изменений.

Как следует из оспариваемого предписания (т.1, л/д.42) от 30 сентября 2009 года, №38-10/056 содержание нарушения состоит в том, что при проведении планового мероприятия по контролю за деятельностью банка, в области обработки персональных данных субъектов персональных данных, выявлены нарушения требований ч. 7 ст. 22 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных".

Так органом установлено, что банк не уведомил уполномоченный орган о том, что по сравнению со сведениями указанными им в Уведомлении от 09.07.2009 года (т.1, л/д.112, т. 2, л/д.2) по факту обработки иных категорий персональных данных, специальной  категории персональных данных, иных категорий субъектов, персональные данные которых обрабатываются, перечня действий с персональными данными, общее описание используемых оператором способов обработки персональных данных, им указан не полный перечень способов обработки персональных данных.

По мнению Управления, (т.1, л/д.37) изложенному в акте проверки, в имеющемся в Управлении уведомлении от 09.07.2009 года указанный перечень действий с персональными данными, общее описание используемых оператором способов обработки персональных данных не соответствует фактически установленному.

В ходе проверки установлено, что Банк осуществляет обработку персональных данных клиентов и работников оператора (Банка) путем смешенной обработки персональных данных, как путем автоматической их обработки, так и неавтоматическим способом обработки. Так, согласно сведений Управления, автоматизированная обработка персональных данных общества, обусловлена обработкой информации, полученной в ходе обработки персональных данных, передаваемых по внутренней сети оператора (операция доступна лишь для строго определённых сотрудников), при этом данная информация не передается с использованием сети общего пользования Интернет.

Указанное свидетельствует, что общество обрабатывает часть персональных данных автоматическим способом, без непосредственного участия работника, что соответствует толкованию неавтоматической и автоматической обработки персональных данных в Постановлении Правительства РФ от 15.09.2008 N 687 "Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации".

При этом суд апелляционной инстанции считает, что обработка персональных данных без участия человека, не подразумевает, как это указывает банк, в данном случае того, что человек вообще исключен из участия данного процесса, поскольку любая автоматизированная обработка данных подразумевает участие человека, то, как ввод данных, обслуживание системы, её настрой и т.п.  Между тем, непосредственная обработка данных включающая распространение (в том числе передачу) согласно данным Управления осуществлялась обществом.

Неавтоматизированная обработка персональных данных у общества состоит в ведении трудовых книжек, личных дел работников, учет и хранение договоров, заключенных с физическими лицами.

Судом первой инстанции правомерно установлено, что оператор осуществляет действия (операции) с персональными данными, которые включают в себя: сбор, систематизацию, накопление, хранение, уточнение (обновление, изменение), использование, распространение (в том числе передачу), обезличивание, уничтожение персональных данных в автоматическом режиме, то есть без участия человека.

В то же время из уведомления от 07 июля 2009 года (т.1, л/д.112) следует, что обработка персональных данных будет осуществляться путем неавтоматизированной обработки персональных данных.

Таким образом, суд апелляционной инстанции считает, что суд первой инстанции правомерно пришел к выводу, что банк до момента проверки не внес изменения в Уведомление об обработке персональных данных как того требует ч. 7 ст. 22 названного закона о перечне действий с персональными данными, об общем описании используемых оператором способов обработки персональных данных.

Довод апелляционной жалобы о том, что банк не осуществляет автоматической обработки персональных данных, опровергается актом проверки и доводами самого заявителя, о том, что часть информации полученной в ходе обработки персональных сведений передаётся по внутренней сети оператора, при этом операция доступна лишь для строго определённых сотрудников, без передачи такой информации по общедоступным каналам связи.

Суд первой инстанции  пришел к правильному выводу о том, что АКБ «Радиан» (ОАО) осуществляет обработку персональных данных как автоматизированным способом, так и неавтоматизированным способом, в связи с чем доводы Управления Роскомнадзора по Иркутской области об осуществлении обществом обработки персональных данных клиентов и работников оператора указанными способами обработки персональных данных являются правомерными.

Учитывая, что общество не уведомляло Управление о применении автоматизированного способа обработки персональных данных, указанное свидетельствует о несоблюдении оператором требований по уведомлению уполномоченного органа по защите прав субъектов персональных данных об изменениях сведений, указанных в уведомлении об обработке персональных данных, то есть части 7 статьи 22 Федерального закона от 27 июля 2006 года № 152-ФЗ «О персональных данных».

Учитывая вышеизложенное, суд апелляционной инстанции считает правомерным принятие Управлением оспариваемого Предписания, направленного на устранение банком, как оператором персональных данных осуществляющим обработку персональных данных с нарушением требований указанного Федерального закона.

Таким образом, по мнению суда апелляционной инстанции, суд первой инстанции в соответствии со ст. 71 АПК РФ дал полную и всестороннюю оценку имеющимся в деле доказательствам в их взаимосвязи и совокупности и пришел к обоснованному выводу об отказе заявителю в удовлетворении требований в указанной части.

На основании изложенного у суда апелляционной инстанции нет законных оснований для удовлетворения апелляционной жалобы заявителя.

Суд, руководствуясь статьями 258, 268, 269, 270, 271 Арбитражного процессуального кодекса Российской Федерации

П О С Т А Н О В И Л:

Решение арбитражного суда Иркутской области от «09» февраля 2010 года по делу №А19-25289/2009 оставить без изменения, апелляционную жалобу – без удовлетворения.

Постановление арбитражного суда апелляционной инстанции вступает в законную силу со дня его принятия.

Постановление может быть обжаловано в арбитражный суд кассационной инстанции, в срок, не превышающий двух месяцев со дня вступления его в законную силу.

Председательствующий судья                                                      Е.В. Желтоухов

Судьи                                                                                                           Э.П. Доржиев

Д.Н. Рылов