АРБИТРАЖНЫЙ СУД ДАЛЬНЕВОСТОЧНОГО ОКРУГА
ПОСТАНОВЛЕНИЕ
от 3 сентября 2020 г. N Ф03-3253/2020
Резолютивная часть постановления объявлена 02 сентября 2020 года.
Полный текст постановления изготовлен 03 сентября 2020 года.
Арбитражный суд Дальневосточного округа в составе:
от общества с ограниченной ответственностью "Дром Ассист" - представитель не явился;
от Управления Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Приморскому краю - Зайцева О.В., представитель по доверенности от 27.12.2019 N 37-Д; Молодцов Д.В., представитель по доверенности от 27.12.2019 N 42-Д;
рассмотрев в проведенном с использованием систем видео-конференц-связи судебном заседании кассационную жалобу общества с ограниченной ответственностью "Дром Ассист", на решение от 13.03.2020, постановление Пятого арбитражного апелляционного суда от 19.05.2020 по делу N А51-24867/2019 Арбитражного суда Приморского края по заявлению общества с ограниченной ответственностью "Дром Ассист" (ОГРН 1152536007139, ИНН 2536285785, адрес: 690001, Приморский край, г. Владивосток, ул. Дальзаводская, 4, оф. 611) к Управлению Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Приморскому краю (ОГРН 1042504058343, ИНН 2539063082, адрес: 690041, Приморский край, г. Владивосток, ул. Беломорская, 18) о признании недействительным письма
Общество с ограниченной ответственностью "Дром Ассист" (далее - заявитель, общество) обратилось в Арбитражный суд Приморского края с заявлением к Управлению Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Приморскому краю (далее - управление, Роскомнадзор) о признании недействительным письма от 04.09.2019 N 12516-05/25.
Решением суда от 13.03.2020, оставленным без изменения постановлением Пятого арбитражного апелляционного суда от 19.05.2020, в удовлетворении заявленных требований отказано.
Не согласившись с решением суда первой инстанции и постановлением суда апелляционной инстанции, общество обратилось в Арбитражный суд Дальневосточного округа с кассационной жалобой, в которой просит их отменить в связи с неправильным применением норм материального и процессуального права, а также несоответствием выводов судов фактическим обстоятельствам дела и принять новый судебный акт об удовлетворении требований в полном объеме.
Общество в жалобе настаивает, что управлением нарушена процедура проведения государственного контроля и надзора, установленная Федеральным законом от 27.07.2006 N 152-ФЗ "О персональных данных" (далее - Закон), поскольку, во-первых, само общество обрабатывает персональные данные исключительно из перечня части 2 статьи 22 Закона, что дает ему право не уведомлять Роскомнадзор о намерении осуществлять обработку персональных данных. Во-вторых, так как доказательств об организации в отношении него проведения внеплановой проверки либо мероприятий по контролю без взаимодействия с операторами по "Правилам организации и осуществления государственного контроля и надзора за обработкой персональных данных", утвержденным Постановлением Правительства Российской Федерации от 13.02.2019 N 146 (далее - Правила N 146), управлением не представлено, истребование от него информации и направление в его адрес спорного требования, незаконно. В связи с чем полагает, что баланс прав и обязанностей управления и оператора связи был нарушен, но судами данное обстоятельство надлежащим образом не проверено.
Заявитель, извещенный в установленном порядке о месте и времени рассмотрения дела, явку представителя не обеспечил, что в силу части 3 статьи 284 АПК РФ не препятствует рассмотрению дела в его отсутствие.
Роскомнадзор в отзыве и его представитель в судебном заседании проведенном посредством организации видео-конференц-связи с Арбитражным судом Приморского края, доводы кассационной жалобы отклонили, предлагая судебные акты оставить без изменений как законные и обоснованные.
Изучив материалы дела, обсудив доводы кассационной жалобы, отзыва на нее, проверив в порядке и пределах статей 284, 286 АПК РФ правильность применения судами первой и апелляционной инстанций норм материального и процессуального права, суд кассационной инстанции приходит к выводу об отсутствии оснований для ее удовлетворения.
Из материалов дела судами установлено, что ссылаясь на положения части 1 статьи 23 Закона и Положение о Федеральной службе по надзору в сфере связи, информационных технологий и массовых коммуникаций, утвержденного Постановлением Правительства Российской Федерации от 16.03.2009 N 228 (далее - Положение о Роскомнадзоре), управление направило в адрес общества письмо от 04.09.2019 N 12516-05/25, в котором указало, что является уполномоченным органом по защите прав субъектов персональных данных и ведет реестр операторов, осуществляющих обработку персональных данных и в связи с реализацией возложенных на него полномочий и выявлением признаков деятельности, предполагающей обработку обществом персональных данных, сообщило о том, что последний в соответствии с частью 1 статьи 22 Закона обязан уведомить уполномоченный орган о намерении осуществлять обработку персональных данных либо в случае наличия оснований, позволяющих обработку персональных данных без уведомления, просило на основании пункта 1 части 3 статьи 23 Закона предоставить следующие сведения:
- перечень персональных данных, обрабатываемых обществом, и источники их получения;
- сведения о категориях лиц, чьи персональные данные обрабатывает общество;
- цели и правовые основания осуществления обществом обработки персональных данных, в том числе относительно передачи персональных данных третьим лицам;
- способы обработки обществом персональных данных;
- использование информационных систем персональных данных, имеющих в соответствии с федеральными законами статус государственных автоматизированных информационных систем;
- информацию, подтверждающую принятие мер по соблюдению требований части 1 статьи 18.1 Закона;
- сведения о соблюдении требований части 5 статьи 18 Закона в части обеспечения размещения баз персональных данных на территории Российской Федерации.
Указанную информацию предложено представить в сроки, установленные частью 4 статьи 20 Закона - в течение 30 дней с даты получения запроса.
Также обществу было разъяснено, что в случае непредставления или несвоевременного представления в государственный орган сведений, представление которых предусмотрено законом и необходимо для осуществления этим органом его законной деятельности, а равно представление таких сведений в не полном объеме или в искаженном виде, предусматривается административная ответственность в соответствии со статьей 19.7 КоАП РФ.
Полагая, что письмо управления является незаконным, общество обратилось с соответствующим заявлением в арбитражный суд, который придя к выводу о наличии у управления оснований и полномочий для направления оспариваемого письма, в удовлетворении требований отказал.
Выводы суда первой инстанции поддержаны апелляционным судом.
Суд округа соглашается с судами, которые правомерно приняли во внимание следующее.
Отношения, связанные с обработкой персональных данных, осуществляемой федеральными органами государственной власти, органами государственной власти субъектов Российской Федерации, иными государственными органами, органами местного самоуправления, иными муниципальными органами, юридическими лицами и физическими лицами с использованием средств автоматизации, в том числе в информационно-телекоммуникационных сетях, или без использования таких средств, если обработка персональных данных без использования таких средств соответствует характеру действий (операций), совершаемых с персональными данными с использованием средств автоматизации, то есть позволяет осуществлять в соответствии с заданным алгоритмом поиск персональных данных, зафиксированных на материальном носителе и содержащихся в картотеках или иных систематизированных собраниях персональных данных, и (или) доступ к таким персональным данным, регулируются положениями Закона.
Пунктом 2 статьи 3 Закона определено, что оператором является государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.
В соответствии с пунктами 1, 3 статьи 3 Закона под персональными данными понимается любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных); обработка персональных данных представляется собой любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
В силу части 1 статьи 22 Закона оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи.
Из буквального содержания приведенных норм Закона суды пришли к верному заключению о том, что оператором признается лицо, осуществляющее либо намеревающееся осуществлять обработку персональных данных, и Закон не связывает признание лица оператором с фактом включения (регистрации) такого лица в реестр операторов, осуществляющих обработку персональных данных. Поэтому правовое значение для квалификации деятельности лица в качестве деятельности оператора имеет факт осуществления этим лицом видов деятельности, при которых оно может обрабатывать персональные данные, а равно факт иметь намерение осуществлять такие виды деятельности.
Из выписки из ЕГРЮЛ следует, что общество осуществляет, в том числе деятельность, связанную с использованием вычислительной техники и информационных технологий, прочая (код 62.09), а также деятельность по созданию и использованию баз данных и информационных ресурсов (код 63.11.1).
Таким образом, общество вправе осуществлять деятельность по обработке персональных данных, следовательно, оно является оператором в смысле положений статьи 3 Закона и обязан соблюдать правила, установленные данным Законом и принимаемыми в его развитие нормативными правовыми актами.
Вместе с этим в соответствии с частью 1 статьи 23 Закона уполномоченным органом по защите прав субъектов персональных данных, на который возлагается обеспечение контроля и надзора за соответствием обработки персональных данных требованиям настоящего Федерального закона, определен федеральный орган исполнительной власти, осуществляющий функции по контролю и надзору в сфере информационных технологий и связи.
Таким органом в соответствии с пунктом 1 Положения о Роскомнадзоре, является Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор), которая осуществляет функции по контролю и надзору в сфере средств массовой информации, в том числе электронных, и массовых коммуникаций, информационных технологий и связи, функции по контролю и надзору за соответствием обработки персональных данных требованиям законодательства Российской Федерации в области персональных данных, а также функции по организации деятельности радиочастотной службы.
Согласно пунктам 2, 6 Положения об Управлении Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Приморскому краю, утвержденного приказом Роскомнадзора от 25.01.2016 N 70, на территории Приморского края функции по контролю и надзору за соответствием обработки персональных данных требованиям законодательства Российской Федерации в области персональных данных возложены на управление.
Пунктом 1 части 3 статьи 23 Закона, пунктом 6.1 Положения о Роскомнадзоре, закреплено, что уполномоченный орган, исполняя функции защиты прав субъектов персональных данных, имеет право запрашивать и получать на безвозмездной основе у федеральных органов исполнительной власти и их территориальных органов, органов исполнительной власти субъектов Российской Федерации и органов местного самоуправления, а также у юридических и физических лиц сведения и материалы, необходимые для выполнения полномочий в установленной сфере деятельности.
Данное право реализуется Роскомнадзором посредством направления оператору персональных данных запроса о предоставлении информации в отношении обработки персональных данных.
Указанному праву уполномоченного органа, по верным выводам судов, корреспондирует установленная частью 4 статьи 20 Закона обязанность оператора персональных данных сообщить в уполномоченный орган по запросу этого органа необходимую информацию в течение 30 дней с даты получения такого запроса.
Следовательно, учитывая, что общество в соответствии со статьей 3 Закона является оператором, что им не отрицалось, то он в силу требований статьи 20 Закона обязан предоставлять управлению по его мотивированному запросу сведения, касающиеся его деятельности по обработке персональных данных.
В связи с чем, основания для признания письма управления от 04.09.2019 N 12516-05/25 незаконным у судов отсутствовали.
При этом, вопреки утверждению подателя кассационной жалобы, судами верно отмечено, что право управления на истребование информации по правилам пункта 1 части 3 статьи 23 Закона, не тождественно действиям уполномоченного органа для случаев реализации их полномочий, перечисленных в пункте 3 Правил N 146, например (при организации и в проведении плановых и внеплановых проверок, принятию мер по пресечению и (или) устранению последствий выявленных нарушений; проведения мероприятий по контролю без взаимодействия с операторами; мероприятий по профилактике нарушений). Тем более что, как правильно указал сам заявитель, доказательств совершения уполномоченным органом действий в процедуре исполнения Правил N 146, материалы дела не содержат. Следовательно, оспариваемый запрос направлен обществу исходя из полномочий на получение информации, предоставленных названными нормами Закона и Положением о Роскомнадзоре.
Таким образом, истребуемая в запросе информация о наличии/отсутствии у общества, как оператора, обязанности по направлению в адрес уполномоченного органа уведомления, что предусмотрено частями 1, 3 статьи 22 Закона, по обоснованным выводам судов, в рассматриваемом случае, прав и интересов заявителя не нарушает.
При установленных обстоятельствах, выводы судов о законности оспариваемого акта правомерны, соответствуют материалам дела.
Поскольку судами правильно установлены все имеющие существенное значение для разрешения спора обстоятельства, верно применены нормы материального права, нарушений процессуальных норм, в том числе влекущих безусловную отмену обжалуемых судебных актов, не выявлено, кассационная жалоба - удовлетворению, а решение и постановление - отмене, не подлежат.
Руководствуясь статьями 104, 286 - 289 Арбитражного процессуального кодекса Российской Федерации, Арбитражный суд Дальневосточного округа
решение от 13.03.2020, постановление Пятого арбитражного апелляционного суда от 19.05.2020 по делу N А51-24867/2019 Арбитражного суда Приморского края оставить без изменения, кассационную жалобу - без удовлетворения.
Возвратить обществу с ограниченной ответственностью "Дром Ассист" из федерального бюджета государственную пошлину за рассмотрение кассационной жалобы в сумме 1500 руб., излишне уплаченную по чеку - ордеру от 09.07.2020.
Выдать справку на возврат государственной пошлины.
Постановление вступает в законную силу со дня его принятия и может быть обжаловано в Судебную коллегию Верховного Суда Российской Федерации в срок, не превышающий двух месяцев со дня его принятия, в порядке, предусмотренном статьей 291.1 Арбитражного процессуального кодекса Российской Федерации.