Постановление Четвертого арбитражного апелляционного суда от 16.01.2011 по делу n А19-25289/2009. Постановление суда апелляционной инстанции: Оставить решение суда без изменения, жалобу без удовлетворения

распространение (в том числе передачу), обезличивание, блокирование, уничтожение персональных данных.

Следовательно, под автоматизированной обработкой персональных данных следует понимать действия (операции) с персональными данными, включая сбор, систематизацию, накопление, хранение, уточнение (обновление, изменение), использование, распространение (в том числе передачу), обезличивание, блокирование, уничтожение персональных данных, с использованием полностью или частично средств автоматизации.

Межгосударственным стандартом ГОСТ 34.003-90 «Информационная технология. Комплекс стандартов на автоматизированные системы. Автоматизированные системы. Термины и определения», устанавливающим термины и определения основных понятий в области автоматизированных систем, используемых в различных сферах деятельности, содержанием которых является переработка информации, определено, что комплекс средств автоматизации автоматизированной системы   –          совокупность  всех            компонентов автоматизированной системы, за исключением людей (пункт 2.12). При этом под автоматизированной системой понимается система, состоящая из персонала и комплекса средств автоматизации его деятельности, реализующая информационную технологию выполнения установленных функций.

Таким образом, в состав комплексов средств автоматизации могут входить технические средства, позволяющие осуществлять функцию обработки персональных данных.

В соответствии с пунктом 1 Положения об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных, утвержденного постановлением Правительства РФ от 17.11.2007 г. № 781, под техническими средствами, позволяющими осуществлять обработку персональных данных, понимаются средства вычислительной техники, информационно-вычислительные комплексы и сети, средства и системы передачи, приема и обработки персональных данных (средства и системы звукозаписи, звукоусиления, звуковоспроизведения, переговорные и телевизионные устройства, средства изготовления, тиражирования документов и другие технические средства обработки речевой, графической, видео- и буквенно-цифровой информации), программные средства (операционные системы, системы управления базами данных и т.п.), средства защиты информации, применяемые в информационных системах.

Проанализировав указанные нормы, суд первой инстанции правомерно указал, что под автоматизированной обработкой персональных данных следует понимать действия (операции) с персональными данными, включая, сбор, систематизацию, накопление, хранение, уточнение (обновление, изменение), использование, распространение (в том числе передачу), обезличивание, блокирование, уничтожение персональных данных, с использованием полностью или частично средств автоматизации, включающих в себя технические средства, позволяющие осуществлять функцию обработки            персональных данных (средства вычислительной техники, информационно-вычислительные комплексы и сети, средства и системы передачи, приема и обработки персональных данных (средства и системы звукозаписи, звукоусиления, звуковоспроизведения, переговорные и телевизионные устройства, средства изготовления, тиражирования документов и другие технические средства обработки речевой, графической, видео- и буквенно-цифровой информации), программные средства (операционные системы, системы управления базами данных и т.п.), средства защиты информации, применяемые в информационных системах).

Согласно Приложению №1 к акту проверки от 30.09.2009 №38-0266           заявитель производит обработку персональных данных клиентов и работников АКБ «Радиан» путем смешанной обработки персональных данных: автоматизированная обработка персональных данных - информация, полученная в ходе обработки персональных данных, передается по внутренней сети оператора, данная информация не передается с использованием сети общего пользования (Интернет); неавтоматизированная обработка персональных данных- ведение трудовых книжек, личных дел работников, учет и хранение договоров, заключенных с физическими лицами.

Исходя из прилагаемых к акту проверки документов, применение автоматизированной обработки персональных данных в ходе проверки с достоверностью установлено в отношении такой категории субъектов персональных данных, как работники, состоящие в трудовых отношениях с банком; обработка их персональных данных заключается в сборе, использовании, распространении, и осуществляется автоматизировано, путем использования информационной системы «1С:Зарплата и управление персоналом». Целью обработки персональных данных являются начисление заработной платы, предоставление определенной отчетности в Пенсионный фонд РФ. Ввиду ограниченности во времени иные информационные технологии и технические средства, применяемые банком при автоматизированной обработке персональных данных иных категорий субъектов, проверкой охвачены не были.

Данный факт подтверждается скриншотами из программы «1С:Зарплата и управление персоналом», частной моделью угроз безопасности информационной системы АКБ «Радиан» (ОАО), Положением о персональных данных АКБ «Радиан» от 02.02.2009, возражениями по акту проверки.

Программный продукт прикладной системы «1С: Зарплата и управление персоналом» предназначен для автоматизации расчета заработной платы и ведения кадрового, бухгалтерского и налогового учета на предприятиях различных типов финансирования и форм собственности, в частности, работодатель использует персональные данные сотрудников при начислении зарплаты, удержании налога на доходы физических лиц, расчете страховых взносов на обязательное пенсионное страхование и передает их с помощью средств автоматизации.

Формирование расчетного документа по заработной плате происходит после подачи команды рассчитать (путем нажатия на соответствующую опцию специалистом банка) и осуществляется автоматически системой «1С: Зарплата и управление персоналом». При этом она без участия человека обращается к своей базе данных, хранящих соответствующие персональные данные субъектов, систематизирует и выдает по установленному алгоритму результат расчета. Только после этого соответствующий специалист распечатывает расчетный документ, который в дальнейшем порождает юридические последствия для субъекта. Аналогичный процесс происходит при расчете и удержании налога на доходы физических лиц.

При приеме на работу после занесения всех необходимых данных на работника прикладная система «1С: Зарплата и управление персоналом» автоматически формирует Анкету формы Т2 на работника. Прикладная система «1С: Зарплата и управление персоналом» также производит самостоятельно исчисление трудового стажа при помощи заданных алгоритмов и хранящихся персональных данных в базе данных прикладной системы «1С: Зарплата и управление персоналом».

В перечисленных случаях совершаются такие действия как сбор и использование персональных данных оператором. В связи с чем, суд первой инстанции обоснованно отклонил доводы заявителя о том, что сбор персональных данных осуществляется без использования средств автоматизации.

При ведении кадрового учета и начислении заработной платы обязанностью АКБ «Радиан» (ОАО), как страхователя, является составление и своевременное представление соответствующей отчетности в Пенсионный фонд Российской Федерации.

В рамках соблюдения требований законодательства по предоставлению данных персонифицированного учета в Пенсионный фонд РФ заявитель на основании заключенного соглашения по электронному документообороту формирует файлы и передает персональные данные своих работников (сведения о застрахованных лицах) по телекоммуникационным каналам связи, что подтверждается соглашением об обмене электронными документами в системе электронного документооборота ПФР по телекоммуникационным каналам связи от 15.08.2008, договором №СОЧИ-К/2007-536 на подключение и абонентское обслуживание в системе «Контур-Экстерн» от 13.08.2007, заключенным с ООО Научно-производственная фирма «Форус».

Оператор использует прикладную систему «1С: Зарплата и управление персоналом» и систему «Контур-Экстерн» (система защищенного электронного документооборота), которая позволяет осуществлять загрузку файлов отчетности из любой специализированной программы, представляющей возможность формирования отчетности в Пенсионный фонд РФ в форматах, утвержденных фондом.

В данном случае такой специализированной программой в АКБ «Радиан» (ОАО) является прикладная система – система управления базой персональных данных «1С: Зарплата и управление персоналом».

Следовательно, в прикладной системе «1С: Зарплата и управление персоналом» АКБ «Радиан» (ОАО) персональные данные формируются в виде отчетности в требуемых форматах автоматически путем внесения соответствующих персональных данных, извлекаемых их базы данных «1С». Затем эта информация, содержащая отчетные формы с персональными данными шифруется, подписывается ЭЦП и передается в ПФР при помощи системы «Контур-Экстерн».

В соответствии с требованиями «Технологии обмена документами индивидуального (персонифицированного) учета страховых взносов по телекоммуникационным каналам связи в системе электронного документооборота ПФ РФ», утв. Распоряжением Правления ПФ РФ №190 от 11.10.2007 каждый абонент при предоставлении вышеуказанных данных должен, в том числе, проверять правильность подготовки отчета проверочной программой ПФ РФ. Таким образом, АКБ «Радиан» (ОАО) прежде чем осуществить отправку отчетных форм, содержащих информацию о персональных данных, запускает проверочную программу, которая автоматически осуществляет проверку без непосредственного участия пользователя.

Прикладная система «1С: Зарплата и управление персоналом» и система «Контур-Экстерн», используемые обществом для предоставления соответствующей отчетности в Пенсионный фонд РФ, относятся по определению к техническим средствам - средствам автоматизации и входят в одну единую информационную систему, обрабатывающую (использование и распространения) персональные данные работников АКБ «Радиан» (ОАО).

В данном случае имеется наличие таких действий как распространение (передача) персональных данных оператором (п.4 ст.3 Закона о персональных данных).

Кроме того, в данном процессе заявитель использует сертифицированные шифровальные (криптографические) средства, что подтверждается уведомлением об обработке персональных данных, от 09.07.2009, договором на подключение и абонентское обслуживание в системе «Контур-Экстерн» от 13.08.2007 г. № СОЧИ-К/2007-536. Данное обстоятельство свидетельствует о том, что оператор обеспечивает безопасность персональных данных при их обработке в информационных системах, с использованием информационных технологий и технических средств в соответствии с положениями п.2 Положения об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных, утв. Постановлением Правительства РФ от 17.11.2007 №781 «Об утверждении Положения об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных».

Таким образом, АКБ «Радиан» (ОАО) при осуществлении функций работодателя по формированию и предоставлению отчетности по персонифицированному учету в органы Пенсионного Фонда РФ использует средства вычислительной техники, информационно-вычислительные комплексы и сети, средства и системы передачи, приема и обработки персональных данных, средства изготовления документов, программные средства (операционные системы, системы управления базами данных), средства защиты информации, т.е. технические средства.

Информационная система персональных данных представляет собой совокупность базы персональных данных, информационных технологий и технических средств, позволяющих осуществлять обработку персональных данных, как с использованием средств автоматизации, так и без использования таких средств (п.9 ст.3 Закона о персональных данных, п. 1 Положения об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных).

Управление Федеральной службы по техническому и экспортному контролю по Сибирскому федеральному округу, т.е. орган исполнительной власти (территориальный орган федерального органа исполнительной власти), уполномоченный в области обеспечения безопасности информации в ключевых системах информационной инфраструктуры, противодействия техническим разведкам и технической защиты информации, а также специально уполномоченный орган в области экспортного контроля, и входящий в состав государственных органов обеспечения безопасности, в письме от 18.11.2009 г. № 1372 подтверждает осуществление АКБ «Радиан» (ОАО) обработки персональных данных с помощью средств автоматизации, путем реализации информационных технологий.

Довод заявителя о том, что Письмо Управления Федеральной службы по техническому и экспортному контролю по Сибирскому Федеральному округу от 18 ноября 2009 года №1372 не обладает статусом нормативно-правового документа, не является результатом экспертного исследования и не может быть признано относимым доказательством со ссылкой на п.2 ст.67 Арбитражного процессуального Кодекса РФ, не может быть принят во внимание.

В соответствии с частью 2 статьи 67 Арбитражного процессуального кодекса Российской Федерации арбитражный суд не принимает поступившие в суд документы, содержащие ходатайства о поддержке лиц, участвующих в деле, или оценку их деятельности, иные документы, не имеющие отношения к установлению обстоятельств по рассматриваемому делу, и отказывает в приобщении их к материалам дела.

Из содержания данного письма не следует, что Управление ходатайствует о поддержке ответчика, его правовой позиции, или дает оценку его деятельности. В данном письме излагается мнение Управления, касающееся поставленных вопросов.

Таким образом, суд первой инстанции обоснованно исследовал данный документ и дал ему оценку в совокупности с иными доказательствами, имеющимися в материалах дела, как это предусмотрено п.4 ст.71 Арбитражного процессуального кодекса Российской Федерации.

Заявитель, ссылаясь на пункты 1 и 2 Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации, утвержденного постановлением Правительства РФ от 15.09.2008 г. № 687, полагает, что такие действия с персональными данными, как использование, уточнение, распространение, уничтожение в отношении каждого субъекта персональных данных, осуществляются оператором при непосредственном участии человека, в связи с чем, обработка персональных данных, не может быть признана осуществляемой с использованием средств автоматизации. Аналогичные доводы приводятся в апелляционной жалобе.

Целью операций с персональными данными является не внесение и получение персональных данных в базу данных, а получение обработанной информации при использовании соответствующих программ, при этом, Управление Роскомнадзора по Иркутской области представило доказательство того,