Вход на сайт
войти через:Войти через loginza

 

Постановление мирового судьи судебного участка № 41 Киришского района Ленинградской области от 9 июня 2011 года № 5-599; Постановление мирового судьи судебного участка № 41 Киришского района Ленинградской области от 7 июня 2011 года № 5-267 Постановление мирового судьи судебного участка № 59 года Приозерск Ленинградской области от 16 июня 2011 года №3-422 
  Постановление мирового судьи судебного участка №5 Советского района года Астрахани от 2 сентября 2011 г
  Решение Мещанского районного суда года Москвы от 10 февраля 2011 года по делу № 2-2507/11
  Решение Лебедянского районного суда Липецкой области от 28 декабря 2011 года, номер дела обезличен; Решение Иглинского районного суда Республики Башкортостан от 9 марта 2011 года по делу № 2 – 450/2011; Решение Бурзянского районного суда Республики Башкортостан от 10 мая 2011 года по делу №2-195/11; Решение Нуримановского районного суда Республики Башкортостан от 31 августа 2011 года, номер дела обезличен; Решение Калтасинского районного суда Республики Башкортостан от 28 ноября 2011 года по делу № 2-423/2011
  Решение Терского районного суда Мурманской области от 05 апреля 2011 года по делу № 2-91/2011
  Решение Ленинск-Кузнецкого городского суда Кемеровской области от 9 ноября 2011 года по делу № 2-3370; Решение Ленинск-Кузнецкого городского суда Кемеровской области от 9 ноября 2011 года по делу № 2-3319/2011; Решение Ленинск-Кузнецкого городского суда Кемеровской области от 9 ноября 2011 года по делу № 2-3320/2011
  http://pd.rkn.gov.ru/press-service/news2086.htm
  Решение Октябрьского районного суда годаУфы от 2 ноября 2011 года, номер дела обезличен
  Постановление мирового судьи судебного участка № 1 Советского района года Астрахани от 2 июня 2011 года, номер дела обезличен
  Постановление мирового судьи судебного участка № 4 Советского района года Астрахани от 8 декабря 2010 года по делу №5-447/10, решение мирового судьи судебного участка № 1 Наримановского района Астраханской области от 4 февраля 2011 года, номер дела обезличен
  http://pd.rkn.gov.ru/press-service/news1552.htm
  Решение Советского районного суда года Уфы от 5 мая 2011 года, по делу №5-126/11
  Решения мирового судьи судебного участка №6 года Ельца Липецкой области от 6 апреля 2011 года по делу №5-115/2011, от 28 марта 2011 по делу №5-102/211, Решение мирового судьи судебного участка № 5 Октябрьского округа года Липецка от 17 марта 2011 года по делу № 5-55/2011, Решение мирового судьи судебного участка № 22 Советского округа года Липецка Липецкой области, дата обезличена, по делу №5-93/11, Решение мирового судьи судебного участка № 1 Чаплыгинского района Липецкой области от 21 февраля 2011 года по делу №5-83/2011, Решение Мензелинского районного суда (Республика Татарстан ) от 22 ноября 2011 года по делу № 2-549
  Решение мирового судьи судебного участка № 24 Левобережного округа года Липецка от 4 апреля 2011года по делу №5-39/2011
  Решение Свердловского районного суда города Белгорода от 28 июля 2011 года по делу № 12-96/2011
  Решения Михайловского районного суда Алтайского края от 14 апреля 2011 года по делу № 2-225/2011; от 25 апреля 2011 года по делу № 2-216-2011; от 25 апреля 2011 года по делу № 2-217-2011; от 14 апреля 2011 года по делу № 2-227-2011; от 14 апреля 2011 года по делу № 2-226-2011; Решения Третьяковского районного суда Алтайского края от 12 сентября 2011 года по делу № 2-671/2011; от 12 сентября 2011 года по делу № 2-674/2011
  Решение Михайловского районного суда Алтайского края от 15 декабря 2011 года по делу № 2-468/2011
  Решение Костомукшского городского суда Республики Карелия от 29 сентября 2010 года по делу № 2-565/10
  Постановление Тринадцатого Арбитражного суда Санкт-Петербурга и Ленинградской области от 12 марта 2010 года по делу №А56-4788
  Решение Арбитражного суда Ивановской области от 6 апреля 2011 года №А-17-5761/2010
  Решения Кировского районного суда года Уфы от 23 июня 2011 года, по делу №12-290/11, от 16 февраля 2012 года, по делу №12-98/2012, Решение Советского районного суда года Уфы от 24 ноября 2011 года, по делу №12-461/2011, Решение Октябрьского районного суда города Мурманска от 8 июля 2011 года по делу № 12-21/2011
  Решение мирового судьи Первомайского судебного участка года Сыктывкара Республики Коми от 21 марта 2011 года по делу N 5-336/2011
  Решение Киселевского районного суда Кемеровской области от 26.05.2011 по делу № 12-57/2011
  Постановление мирового судьи судебного участка № 2 Центрального района года Оренбурга от 06 июня 2011 года № 5-2-259/11 
  Постановление мирового судьи судебного участка № 4 Советского района года Астрахани от 8 декабря 2010 года по делу №5-447/10
  Постановление мирового судьи судебного участка №7 города Рубцовска Алтайского края от 29 апреля 2010 года; Решение Арбитражного суда Ивановской области от 6 апреля 2011 года №А-17-5761/2010, Решение Учалинского районного суда Республики Башкортостан от 8 июля 2011года, по делу № 2-742-2011, Постановление мирового судьи 220 судебного участка Московской области дата и номер дела обезличены
  Решение Советского районного суда г. Казани по жалобе на постановление по делу об административном правонарушении №43284 от 15 декабря 2011 года
  Решение Фрунзенского районного суда города Саратова от 19 октября 2011 года по делу № 2-2298/11
  Решение Первомайского районного суда года Мурманска от 17.04.2011 года по делу № 2-565/11, Решение Петрозаводского городского суда Республики Карелия от 14 июля 2011 года по делу № 11-386/24-2011
  Решение Советского районного суда года Брянска Брянской области от 16 сентября 2010 года по делу №1, Определение судебной коллегии по гражданским делам Московского областного суда от 18 августа 2011 по делу № 33-18600/11, Решение Долгопрудненского городского суда Московской области (дата и номер дела обезличены), Решение Одинцовского городского суда Московской области (дата обезличена) по делу № 2-7016, Решение Советского районного суда города Казани от 27 октября 2010 года по делу № 12-729/10 
  Решение Петрозаводского городского суда Республики Карелия от 30 ноября 2010 года по делу № 2-5926/19-2010; Постановление Арбитражного суда Санкт-Петербурга и Ленинградской области от 1 июня 2010 года по делу №A56-73636
  Решение Ивантеевского городского суда Московской области (дата и номер дела обезличены)
  Решение Первомайского районного суда города Ростова-на-Дону от 19 июля 2011 года по делу № 2-1498/11, оставлено в силе решением судебной коллегии по гражданским делам Ростовского областного суда от 6 октября 2011 года по делу № 33-13559, Решение Одинцовского городского суда Московской области от 24 марта 2011 по делу № 2-1174/11
  Решение Железнодорожного районного суда города Ростова на Дону от 21 декабря 2011 года, номер обезличен
  Постановление Березовского городского суда Кемеровской области по делу об административном правонарушении от 8 октября 2010 года
  Постановление мирового судьи судебного участка № 4 Советского района года Астрахани от 8 декабря 2010 года по делу №5-447/10
  Решение Ленинского районного суда города Астрахани от 9 августа 2010 года, номер обезличен 
  Решение Тверского районного суда города Москвы от 6 апреля 2011 года, номер обезличен
  Постановление мирового судьи судебного участка № 1 Наримановского района от 4 февраля 2011 года, номер дела обезличен; Постановление мирового судьи судебного участка № 27 Ленинского района Тульской области от 7 апреля 2011 года, номер дела обезличен; решение мировой судьи судебного участка № 60 Привокзального района года Тулы от 7 ноября 2011 года №5-520/2011
  Решение Воркутинского городского суда Республики Коми от 25 марта 2011года по делу № 2-800/2011

Экспертное мнение

07.05.2014

Административный контроль за соблюдением законодательства о защите персональных данных 

 

эксперт – к.ю.н., доцент кафедры государственного и административного права СПбГУ Белов С.А.

Прежде всего обращает на себя внимание то, что органы, осуществляющие надзор за соблюдением персональных данных, часто исходят из формального (а иногда - формалистского) понимания требований, выполнение которых становится предметом административного надзора. 
Формализм проявляется в первую очередь в том, что административная ответственность за нарушение правил обработки персональных данных наступает за сам факт непринятия необходимых действий по предотвращению распространения персональных данных, независимо от того, были ли персональные данные действительно разглашены или даже была ли создана реальная угроза их разглашения.  С одной стороны, в немалой степени на такой подход провоцирует правоприменителей формулировка состава административного правонарушения ст. 13.11 КоАП РФ («нарушение установленного законом порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных)»). С другой стороны, само по себе нарушение порядка сбора, хранения, использования и распространения персональных данных суды не оценивают как правонарушение, если речь не идет о применении административной ответственности, по-разному воспринимая такое условие наказуемости деяния, как его противоправность с точки зрения регулятивных норм. Например, при попытке оспорить положение заключенного с банком договора, в части условия о возможности обработки банком персональных данных клиента в течение 10 лет (что явно выходило за пределы оправданного целями обработки персональных данных, а значит представляло собой нарушение закона) суд не обнаружил противоречий действующему законодательству, отказав в признании этого положения договора нарушающим закон.  Рассматривая иски о компенсации вреда, причиненного незаконной обработкой персональных данных, суд включает в предмет исследования только вопрос о причинении вреда, считая, что в случае отсутствия вреда сама обработка без передачи третьим лицам незаконной не является.  Наконец, само по себе несовершение действий по обеспечению условий защиты персональных данных далеко не всегда есть основания считать нарушением установленного законом порядка обработки персональных данных, поскольку таким порядком не определяются конкретные действия, которые должны быть совершены. Оператор персональных данных в соответствии с законом несет ответственность за обеспечение результата – защиты персональных данных, – а не за формальное выполнение требований несуществующего «порядка обработки». В законе подчеркивается, что «оператор самостоятельно определяет состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей» (ст. 181 Федерального закона «О персональных данных»), а перечень подобных мер, приведенный в ч. 1 указанной статьи, очевидно, носит примерный и рекомендательный характер. В то же время на практике именно подобные меры расцениваются как установленный законом порядок обработки персональных данных. Например, суды по требованию прокуроров признают незаконным отсутствие локальных актов о порядке обработки персональных данных в администрации муниципального образования - неутверждение в форме локального акта администрацией сельского поселения (органом местного самоуправления) положения о порядке обработки персональных данных.  Отсутствие локальных актов, регламентирующих обработку персональных данных, признается нарушением и в отношении других субъектов – например, совхоза в организационно-правовой форме унитарного предприятия.  В некоторых случаях вся незаконность, служащая основанием для публично-правовой ответственности, состоит лишь  в отсутствии в локальных актах перечня конкретных действий с персональными данными, описания целей обработки, установлении обязанности самого субъекта персональных данных обеспечить их конфиденциальность. 
Однако даже этим формализм в толковании положений закона не ограничивается. На сайте Роскомнадзора можно увидеть новости о выявлении таких правонарушений, как «отсутствие в поручении лицу, которому оператором поручается обработка персональных данных, обязанности соблюдения конфиденциальности персональных данных и обеспечения их безопасности, а также требований к защите обрабатываемых персональных данных». 
Субъектом правонарушения по ст.13.11 выступает «лицо, на которое законом или договором возложена обязанность получить согласие субъекта персональных данных на их обработку» и кто, не выполнив этого требования, фактически обрабатывает персональные данные.  Любопытно, что речь уже идет не о непосредственном возложении такой обязанности законом, а возможности ее распределения в рамках договорных отношений оператора персональных данных с другими лицами, следовательно, отсутствует четкое указание на адресата публично-правовой обязанности, неисполнение которой должно влечь административную ответственность.
Другим очевидным проявлением формального толкования закона можно считать вменение в вину гражданам и юридическим лицам обработку (хранение) специальных категорий персональных данных, например, сведений о национальной принадлежности граждан. В одном из проанализированных дел в Астраханской области было признано нарушением закона хранение работодателем копий свидетельств о рождении, представленных для получения налогового вычета (несмотря на то, что данные о национальной принадлежности, указанные в этих документах, специально не систематизировались и отдельной обработке не подвергались). Судом был сделан вывод об обработке персональных данных, избыточных по отношению к целям, заявленным при сборе персональных данных, и о неправомерной обработке специальных категорий персональных данных. Каким образом оператор должен был устанавливать раздельный порядок обработки разных данных, содержащихся в одном документе, в решении суда не объяснялось, то есть в чем непосредственно проявилось совершение правонарушения, сформулировано не было. Суд также указал, что оператором велась обработка данных, полученных от третьих лиц (не конкретизировав, каких лиц и в связи с какими обстоятельствами) без уведомления субъектов персональных данных. И одновременно оператору было вменено в вину, что у него отсутствует перечень мер, необходимых для соблюдения условий, обеспечивающих сохранность персональных данных и исключающих несанкционированный к ним доступ при хранении. Локальными актами специально не были определены места хранения персональных данных, не установлен перечень лиц, осуществляющих обработку данных, либо имеющих к ним доступ. Документы, содержащие персональные данные, после их использования не уничтожались.  Неуничтожение материалов, содержащих персональные данные, после их использования оценивалось как нарушение предусмотренного законом порядка обработки персональных данных и в других делах.  Применение ответственности за обработку специальных категорий персональных данных встречается и в других делах об обработке сведений о национальной принадлежности.  В анкете государственного учреждения «Центр занятости населения» Республики Башкортостан, утвержденной в 1992 году, содержалась графа национальность. Следовательно, имелась возможность собирать информацию о национальной принадлежности лиц, обеспечиваемых работой. Несмотря на то, что анкету заполнял сам субъект персональных данных и ставил об этом свою подпись, отсутствие специального согласия на обработку именно этих персональных данных было признано незаконным, хотя ввиду малозначительности ответственность не наступила.  В данном случае законодательный запрет имел целью предупредить возможные случаи дискриминации по национальному или другому подобному признаку, что в значительной мере оправдывает необходимость подобных ограничений. Фактически законодательство требует отличать ситуации, когда информация, относящаяся к особо охраняемым данным, не может быть отделена от другой информации, и вследствие чего собирается, хотя и не подвергается специально обработке (ситуация в Астраханской области), и ситуации, когда отделение такой информации от других данных возможно (ситуация в Республике Башкортостан). В последнем случае обработка особо охраняемых данных действительно не может считаться правомерной без специальных целей обработки и специального согласия субъекта персональных данных, однако суды такие различия не всегда проводят достаточно эффективно.
Неоправданный формализм и строгость толкования условий обработки персональных данных проявляется и в тех требованиях, которые предъявляются к передаче персональных данных.
К ответственности по заявлению прокуроров рядом судов Липецкой области и республики Татарстан управляющие компании были привлечены к ответственности за доставку платежных документов для оплаты коммунальных услуг в открытом виде, без конвертов.  Подобное требование, не вытекающее явно из закона как обязанность управляющих компаний и других организаций, если и можно считать желательным, то уж никак не следует рассматривать как основание для привлечения к ответственности. При этом возложение ответственности за надлежащую доставку платежных документов гражданам на конкретное должностное лицо – директора организации – было сочтено необоснованным.  
Другим примером необоснованного предъявления требований о специальной форме передачи персональных данных можно считать решение о необходимости наличия специальной лицензии на использование зашифрованных каналов передачи данных при выполнении функций налогового представителя передача данных налоговой декларации с использованием ЭЦП. 
Требования о соблюдении специальной процедуры – уведомления уполномоченного органа об обработке персональных данных – предъявляются к операторам персональных данных в том числе и в тех случаях, когда такие требования не очевидно вытекают из закона и представляют результат его строго «карательного» толкования.
В частности, к ответственности за непредоставление уведомления об обработке персональных данных привлекаются лица, чья деятельность явно не требует такого уведомления исходя из смысла ч. 2 ст. 22 Федерального закона о персональных данных, например с случаях обработки персональных данных без использования средств автоматизации в соответствии с федеральными законами или иными нормативными правовыми актами Российской Федерации, устанавливающими требования к обеспечению безопасности персональных данных при их обработке и к соблюдению прав субъектов персональных данных. В частности, неправомерным признается неуведомление об обработке персональных данных со стороны органов местного самоуправления (администрации сельсовета ) или образовательного учреждения – школы.   Неопределенность в этом вопросе проявляется в том числе и в том, что в одних субъектах в реестры операторов персональных данных вносятся тысячи государственных и муниципальных органов, тогда как в других даже органы, непосредственно связанные с обработкой персональных данных – органы паспортного учета (УФМС) в качестве операторов персональных данных не рассматриваются.  Также и государственные организации – например, компании-перевозчики, обрабатывающие сведения о своих пассажирах и о своих работниках, могут быть не признаны операторами персональных данных.  
Неуведомление Роскомнадзора об обработке персональных данных может быть признано незаконным и послужить основанием для привлечения к ответственности независимо от законности самой обработки персональных данных. 
Возникают в судебной практике и споры относительно возможности освобождения от обязанности сообщать в уполномоченный орган по его запросу информацию, необходимую для осуществления деятельности указанного органа тех организаций, которые вправе осуществлять обработку персональных данных без уведомления уполномоченного органа. В одних случаях суды считают такую обязанность существующей независимо от обязанности подать уведомление об обработке персональных данных,  в других случаях – как обязанность исключительно оператора персональных данных. 
Крайним случаем формализма может считаться решение Киселевского районного суда Кемеровской области, который удовлетворил требование надзорного органа о привлечении организации к ответственности за предоставление неполного по форме уведомления об обработке персональных данных.  Это решение было отменено судом второй инстанции, однако практика привлечения к ответственности за аналогичные правонарушения обнаруживается в других субъектах РФ. 
Строго карательное толкование условий обработки персональных данных проявляется также в привлечении к ответственности за неполучение согласия субъекта персональных данных в тех случаях, когда обработка осуществляется в целях исполнения обязательств и по смыслу закона не требует специального согласия, однако за неполучение такого согласия лицо может быть привлечено к ответственности либо его действия могут признаны незаконными. К примеру, индивидуальный предприниматель, который оказывал услуги по ведению бухгалтерского учета, получая на основании договора со своими заказчиками все необходимые данные, был привлечен к ответственности за отсутствие письменного согласия на обработку персональных данных при оформлении документов для предоставления налогового вычета по НДФЛ.  
Многочисленная и разнообразная практика по разным субъектам РФ содержит случаи привлечения к ответственности рассчетно-кассовых центров, осуществляющих обработку данных жильцов без их согласия для подготовки квитанций на уплату коммунальных платежей.  В случае уклонения субъекта персональных данных от заключения договора с управляющей организацией, выбранной собранием собственников дома, суд также признал обработку в целях направления счетов за оплату коммунальных платежей неправомерным ввиду отсутствия согласия субъекта на обработку персональных данных.  Положение об опекунском совете местной администрации (органе опеки и попечительства) было признано незаконным, поскольку в нем не указывалось, что персональные данные обрабатываются с согласия субъекта персональных данных. 
При этом в других делах суды считают, что обработка персональных данных управляющей компанией и даже другим организациям  правомерна в силу заключенного договора об оказании коммунальных услуг.  В одном из проанализированных дел суд даже признал презюмируемое в силу договора об оказании услуг сотовой связи согласие субъекта персональных данных на передачу этих сведений другим лицам для распространения рекламы или организации лотереи.  В целях исполнения договора суд может признать обоснованным требование предоставить справку о регистрации по месту жительства лиц, проживающих совместно с лицом, обратившимся в УФМС.  В других случаях суды признают возможной обработку персональных данных в целях управления домохозяйством без согласия жильца.  Признав отсутствие необходимого согласия субъекта персональных данных, суд может отказать в признании действий  государственного органа по обработке персональных данных незаконными, если обработка персональных данных была направлена на реализацию прав субъекта персональных данных, а сами данные не были использованы в ущерб интересам заявителя и членов его семьи.  
Также, как и в случаях с формами уведомлениями Роскомнадзора об обработке персональных данных, административные органы и прокуратура предъявляют жесткие требования к форме согласия на обработку персональных данных.
Например, прокурор требует привлечь к ответственности в отсутствие письменного согласия на обработку, даже если нет оснований сомневаться в получении такого согласия устно  или на основании того, что письменное согласие по форме не соответствует требованиям закона.  При этом в случае получения данных по запросу суда и их приобщении к делу надлежащей формой согласия было признано невыражение несогласия субъекта персональных данных,  а при заключении договора связи – простое сообщение данных в квитанции об оплате услуг связи.  
В некоторых решениях конкретизируются недостатки письменного согласия на обработку персональных данных: не содержат номер основного документа, удостоверяющего его личность субъекта, сведения о дате выдачи указанного документа и выдавшем его органе, не содержат адрес оператора, получающего согласие субъекта персональных данных, в согласиях субъектов не указан перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых оператором способов обработки персональных данных, срок в течение которого действует согласие на обработку и т.д.  Часто ставится в вину неуведомление субъекта персональных данных об обработке персональных данных, полученных от третьих лиц.
Исходя из того, что согласие на обработку персональных данных дается своей волей и в своем интересе, суды признают обязанность уничтожить уже полученные персональные данные (медицинскую карту) в случае отзыва согласия субъекта персональных данных на обработку персональных данных. 
Таким образом, требования, предъявляемые к операторам персональных данных, сильно отличаются в разных случаях, оставляя значительную свободу усмотрения органов административного надзора, а для самих операторов – неопределенность в отношении содержания их обязанностей. Такая ситуация далека от необходимой в правовом государстве системы эффективной защиты прав субъектов экономической деятельности от произвола со стороны административных органов.

комментарии(0)

оставить свой комментарий:

Чтобы оставлять комментарии, вам надо авторизоваться. Текст комментария будет сохранен.

Если вы еще не зарегистрированы, то сохраните текст комментария и зарегистрируйтесь.

Ссылки по теме:

    Эксперты:

    Кандидат юридических наук
    Кандидат юридических наук