Постановление Четвертого арбитражного апелляционного суда от 16.01.2011 по делу n А19-25289/2009. Постановление суда апелляционной инстанции: Оставить решение суда без изменения, жалобу без удовлетворения

ЧЕТВЕРТЫЙ АРБИТРАЖНЫЙ АПЕЛЛЯЦИОННЫЙ СУД

672000, Чита, ул. Ленина, 100б

тел. [phone], тел./факс [phone]

Е-mail: [email protected]   http://4aas.arbitr.ru 

П О С Т А Н О В Л Е Н И Е

г. Чита                                                                                      Дело №А19-25289/2009

           «17» января 2011 года                                                                                                      

Резолютивная часть постановления объявлена 14 января 2011 года.

Полный текст постановления изготовлен 17 января 2011 года.

Четвертый арбитражный апелляционный суд в составе председательствующего судьи Доржиева Э.П., судей Желтоухова Е.В., Ячменева Г.Г., при ведении протокола судебного заседания секретарем судебного заседания Жалсановым Б.Ц., рассмотрев в открытом судебном заседании апелляционную жалобу Акционерного коммерческого банка «Радиан» (открытое акционерное общество) на решение Арбитражного суда Иркутской области от 28 октября 2010 года по делу №А19-25289/2009, по заявлению Акционерного коммерческого банка «Радиан» (открытое акционерное общество) (ОГРН 1023800000014, ИНН 3810006800) к Управлению Федеральной службы по надзору в сфере связи и массовых коммуникаций по Иркутской области о признании недействительными акта проверки и предписания в части (суд первой инстанции Позднякова Н.Г.),

при участии в судебном заседании:

от заявителя: не явился, извещен; от ответчика: не явился, извещен;

установил:

Акционерный коммерческий банк «Радиан» (открытое акционерное общество) (далее АКБ «Радиан» (ОАО), банк) обратился в Арбитражный суд Иркутской области с заявлением к Управлению Федеральной службы по надзору в сфере связи, информационных технологий и  массовых коммуникаций по Иркутской области (далее Управление Роскомнадзора по Иркутской области) о признании недействительными  акта проверки от  30.09.2009. № 38-0266 и  предписания об устранении выявленного нарушения от 30.09.2009 № 38-10/056 в части нарушения АКБ «Радиан» требований ч.7 ст.22 Федерального закона «О персональных данных» - не уведомление уполномоченного органа об общих описаниях используемых оператором способов обработки персональных данных (пункт 7.1 акта проверки, подпункт 6 пункта 1 приложения к акту проверки).

Решением Арбитражного суда Иркутской области от 9 февраля 2010 года в удовлетворении требования о признании недействительным предписания от 30.09.2009  № 38-10/056 отказано. Производство по делу в части признании недействительным акта  проверки от 30.09.2009 № 38-266 прекращено.

Постановлением Четвертого арбитражного апелляционного суда от 14 мая 2010  года решение суда оставлено без изменения.

Постановлением Федерального арбитражного суда Восточно-Сибирского округа от 17 августа 2010 года решение Арбитражного суда Иркутской области от 9 февраля 2010 года по делу № А19-25289/2009, постановление Четвертого арбитражного апелляционного суда от  14 мая 2010 года по тому же делу отмены.  Дело направлено на новое рассмотрение в Арбитражный суд Иркутской области.

При новом рассмотрении решением Арбитражного суда Иркутской области от 28 октября 2010 года в удовлетворении заявленных требований о признании недействительным предписания от 30.09.2009 № 38-10/056 отказано. Производство по делу в части признания недействительным акта проверки от 30.09.2009  №38-0266 прекращено. В обоснование суд указал, что предписание от 30.09.2009 № 38-10/056 об устранении обществом  нарушения части 7 статьи 22 Закона о персональных данных вынесено Управлением Роскомнадзора по Иркутской области в пределах, предоставленных ему полномочий, в соответствии с требованиями Закона о защите персональных данных, Закона №294-ФЗ, и не нарушает прав и законных интересов заявителя. Оспариваемый заявителем акт проверки не обладает признаками ненормативного правового акта, поскольку не содержит властно-распорядительных предписаний для лица, в отношении которого он вынесен, не порождает изменений в его правах и обязанностях. Данный документ является носителем информации в отношении результатов проверки. Акт от 30.09.2009 № 38-0266, составленный по результатам указанной проверки, не является решением, принятым в соответствии с частью 2 статьи 23 Закона о персональных данных.

Не согласившись с решением суда первой инстанции, Акционерный коммерческий банк «Радиан» (открытое акционерное общество) обратилось в арбитражный суд апелляционной инстанции с апелляционной жалобой, в которой просит его отменить, принять по делу новый судебный акт. Указано, что для признания обработки персональных данных «автоматизированной» необходимо, чтобы такая обработка осуществлялась с применением автоматизированных средств (средств автоматизации). Из определения автоматизированной системы, приведенного в ГОСТ 34.003-90, не представляется возможным вывести определение автоматизированных средств (средств автоматизации) и не представляется возможным определить, что в состав комплекса средств автоматизации могут входить технические средства, в том числе, позволяющие осуществлять функцию обработки персональных данных. При этом не приняты доводы заявителя о том, что в соответствии с пунктами 1 и 2 «Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации», утвержденного постановлением Правительства Российской Федерации №687 от 15 сентября 2008 года «обработка персональных данных считается осуществленной без использования средств автоматизации (неавтоматизированной), если такие действия с персональными данными как использование, уточнение, распространение, уничтожение персональных данных в отношении каждого из субъектов персональных данных осуществляются при непосредственном участии человека». Нормативными актами при разграничении обработки персональных данных на автоматизированную и без использования средств автоматизации не используется такой критерий как «цель операции с персональными данными». При этом в указанном Положении раскрываются условия, при которых обработка персональных данных будет считаться без использования средств автоматизации (не автоматизированной). Термин «автоматизированная обработка» может быть определен с использованием метода исключения. Для этого необходимо определить, при каких условиях обработка персональных данных будет осуществляться без использования средств автоматизации. Обработка персональных данных не может быть признана осуществляемой с использованием средств автоматизации только на том основании, что персональные данные содержатся в информационной системе персональных данных либо были извлечены из нее. Таким образом, «средством автоматизации» является не любое техническое средство, а только такое техническое средство, при применении которого использование, уточнение, распространение, уничтожение персональных данных осуществляется без непосредственного участия человека. В связи с чем, судом неверно определен термин «автоматизированная обработка» и «средства автоматизации», не применен нормативный акт, который должен был быть применен к отношениям, возникающим при обработке персональных данных заявителем. Более того, в материалах дела присутствуют доказательства, того, что использование, уточнение, распространение, уничтожение персональных данных в АКБ «Радиан» (ОАО) при использовании технических средств осуществляется при непосредственном участии человека. Данный факт подтверждается письмом ООО НПФ «Форус» от 13.10.2010. В соответствии с указанным письмом ООО НПФ «Форус» «1С: Зарплата и управление персоналом» и система «Контур-Экстерн» - это разные информационные системы. Письмо Управления Федеральной службы по техническому и экспортному контролю по Сибирскому Федеральному округу от 18 ноября 2009 года №1372 не обладает статусом нормативно-правового документа, не является результатом экспертного исследования. Таким образом, суд принял решение на основании документа, не отвечающего признаку относимости, чем допустил нарушение норм процессуального права. Судом прекращено производство по делу в части признания недействительным акта проверки органом государственного контроля (надзора) юридического лица от 30 сентября 2009 года №38-0266 в части неуведомления уполномоченного органа об общих описаниях используемых оператором способов обработки персональных данных. Поскольку заявитель не осуществляет «автоматизированную обработку» персональных данных, следовательно, Акт в оспариваемой части не соответствует Закону «О персональных данных» и иным правовым актам. Акт проверки является единственным документом, содержащим факты, выводы о выявленных нарушениях или соблюдении требований законодательства Российской Федерации и влечет юридические последствия для проверяемого. Более того, законом не предусмотрена обязанность органа государственного контроля (надзора) рассмотреть возражения юридического лица, индивидуального предпринимателя, проверка которых проводилась, в случае несогласия с фактами, выводами, предложениями, изложенными в акте проверки и дать им оценку. Прекращая производство по делу, суд фактически лишил заявителя права на защиту своих прав, что в силу пункта 1 статьи 46 Конституции Российской Федерации не допускается.

Представитель заявителя в судебное заседание не явился, о времени и месте судебного заседания извещен надлежащим образом, что подтверждается почтовыми уведомлениями № 672000 32 89456 0 от 07.12.2010 (определение о принятии апелляционной жалобы) и № № 672000 32 91297 4 от 21.12.2010 (определение об исправлении опечатки). Представитель ответчика в судебное заседание не явился, о времени и месте судебного заседания извещен надлежащим образом, что подтверждается почтовыми уведомлениями № 672000 32 89455 3 от 07.12.2010 (определение о принятии апелляционной жалобы) № 672000 32 91296 7 от 20.12.2010 и № 672000 32 91298 1 от 20.12.2010 (определение об исправлении опечатки). Руководствуясь пунктом 3 статьи 156, пунктом 1 статьи 123 Арбитражного процессуального кодекса Российской Федерации, суд считает возможным рассмотреть дело в отсутствие надлежащим образом извещенных лиц, участвующих в деле.

Дело рассматривается в порядке, предусмотренном главой 34 Арбитражного процессуального кодекса Российской Федерации.

Изучив материалы дела и проверив соблюдение судом первой инстанции норм материального и процессуального права, суд апелляционной инстанции приходит к следующим выводам.

11.08.2008 АКБ «Радиан» (ОАО) подал уведомление об обработке персональных данных в адрес Управления Роскомнадзора (вх.2764 от 11.08.2009), которое в дальнейшем внесено в реестр операторов обрабатывающих персональные данные.

09.07.2009 АКБ «Радиан» (ОАО) сопроводительным письмом (вх. № 2331 от 11.08.2009) представлено в Управление Роскомнадзора по Иркутской области уведомление об обработке персональных данных, согласно которому АКБ «Радиан» (ОАО) в качестве сведений о перечне действий с персональными данными, общем описании используемых оператором способов обработки персональных данных отражено, что обработка указанных в уведомлении персональных данных будет осуществляться путем неавтоматизированной обработки персональных данных: сбор, накопление, хранение, уточнение (обновление, изменение), использование, уничтожение персональных данных.

Управлением Роскомнадзора по Иркутской области на основании приказа от 09.09.2009. № 70-П в период с 21.09.2009 по 30.09.2009 проведена плановая проверка в отношении АКБ «Радиан» (ОАО) по вопросам соблюдения обществом обязательных требований законодательства в области персональных данных.

В ходе проверки выявлен факт нарушения АКБ «Радиан» требований ч.7 ст.22 Федерального закона «О персональных данных», выразившегося в не уведомлении уполномоченного органа об общих описаниях используемых оператором способов обработки персональных данных, что нашло отражение в пункте 7.1 акта проверки, подпункте 6 пункта 1 приложения к акту проверки.

По результатам проверки Управлением Роскомнадзора по Иркутской области заявителю выдано предписание 30.09.2009 № 38-10/056, согласно которому обществу предписано в срок до 01.04.2010 устранить нарушения положений части 7 статьи 22 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».

АКБ «Радиан» (ОАО) полагая, что акт проверки и предписание нарушают его права и законные интересы, обратился в арбитражный суд с заявлением о признании их незаконными в указанной части.

Федеральный арбитражный суд Восточно-Сибирского округа, направляя дело на новое рассмотрение в суд первой инстанции указал, что поскольку АКБ «Радиан» (ОАО), по утверждению Управления Роскомнадзора по Иркутской области, должен был совершить действия по внесению изменений в уведомление от 09.07.2009 по факту обработки персональных данных, следовательно, суд должен был выяснить вопрос о том, какие операции с персональными данными имели место (сбор, систематизация и так далее) при использовании информационных систем, указанных в судебном акте первой инстанции. В судебных актах по делу не раскрыто содержание предписания, не установлено, допустило ли общество действия по невнесению изменений в пункты 3, 4, 6 уведомления от 09.07.2009, либо только по вопросу изменения общего описания использованных оператором способов обработки персональных данных. Судом не дан ответ на вопрос о том, не является ли в данном случае акт проверки решением уполномоченного органа по защите прав субъектов персональных данных, которое в силу части 6 статьи 23 Федерального закона № 152-ФЗ может быть обжаловано в судебном порядке. При новом рассмотрении дела суду следует установить в полном объеме обстоятельства, имеющие значение для дела, а также указать мотивы, по которым суд принял или отклонил приведенные в обоснование своих требований и возражений доводы лиц, участвующих в деле.

В силу части 2 статьи 289 Арбитражного процессуального кодекса Российской Федерации указания суда кассационной инстанции, в том числе на толкование закона, изложенные в его постановлении об отмене решения, постановления судов первой, апелляционной инстанций, обязательны для арбитражного суда, вновь рассматривающего данное дело.

В соответствии с частью 1 статьи 23 Федерального закона от 27.07.2006 №152-ФЗ «О персональных данных» (далее – Закон о персональных данных), Положением о Федеральной службе по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор), утвержденного постановлением Правительства Российской Федерации от 16.03.2009 №228, уполномоченным органом по защите прав субъектов персональных данных является Роскомнадзор, в полномочия которого входит осуществление контроля и надзора за соответствием обработки персональных данных требованиям законодательства Российской Федерации в области персональных данных (пункт 5.1.1.4