ДЕВЯТНАДЦАТЫЙ АРБИТРАЖНЫЙ

АПЕЛЛЯЦИОННЫЙ СУД

ПОСТАНОВЛЕНИЕ

16 января 2025 года Дело №А35-3743/2024

г. Воронеж

Резолютивная часть постановления объявлена 14 января 2025 года.

Постановление в полном объеме изготовлено 16 января 2025 года.

Девятнадцатый арбитражный апелляционный суд в составе:

председательствующего судьи Песниной Н.А.,

судей Донцова П.В.,

Пороника А.А.,

при ведении протокола судебного заседания секретарем судебного заседания Климентовым А.А.,

при участии:

от Управления Министерства внутренних дел Российской Федерации по Курской области: ФИО1 – представитель по доверенности №29 от 25.09.2024 сроком на 1 год; ФИО2 – представитель по доверенности №1 от 10.01.2023 сроком на 3 года;

от Управления Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Курской области: представитель не явился, извещено надлежащим образом,

рассмотрев в открытом судебном заседании апелляционную жалобу Управления Министерства внутренних дел Российской Федерации по Курской области на решение Арбитражного суда Курской области от 14.10.2024 по делу №А35-3743/2024 по заявлению Управления Министерства внутренних дел Российской Федерации по Курской области (ОГРН <***>, ИНН <***>) к Управлению Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Курской области (ОГРН <***>, ИНН <***>) о признании незаконным решения и об обязании исключить из реестра операторов, осуществляющих обработку персональных данных,

УСТАНОВИЛ:

Управление Министерства внутренних дел Российской Федерации по Курской области (далее – УМВД России по Курской области, заявитель) обратилось в арбитражный суд с заявлением к Управлению Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Курской области (далее – Управление Роскомнадзора по Курской области, заинтересованное лицо) о признании незаконным решения, изложенного в письме от 23.01.2024 №366-02/46, об обязании в течение одного месяца с момента вступления решения суда в законную силу исключить УМВД России по Курской области из реестра операторов, осуществляющих обработку персональных данных.

Решением Арбитражного суда Курской области от 14.10.2024 по делу №А35-3743/2024 в удовлетворении заявленных требований отказано.

Не согласившись с принятым судебным актом, УМВД России по Курской области обратилось в Девятнадцатый арбитражный апелляционный суд с апелляционной жалобой, в которой просило решение суда первой инстанции отменить и принять по делу новый судебный акт об удовлетворении заявленных требований.

В апелляционной жалобе ее заявитель ссылается на наличие оснований для исключения УМВД России по Курской области из реестра операторов, осуществляющих обработку персональных данных, оспаривая выводы суда первой инстанции об обратном.

В судебном заседании суда апелляционной инстанции представители УМВД России по Курской области поддержали доводы апелляционной жалобы, считая обжалуемое решение незаконным и необоснованным, принятым с нарушением норм материального и процессуального права, без учета фактических обстоятельств дела, просили суд его отменить и принять по делу новый судебный акт.

Управление Роскомнадзора по Курской области явку своего представителя в судебное заседание не обеспечило. Учитывая наличие у суда доказательств надлежащего извещения данного участника процесса о времени и месте судебного разбирательства, апелляционная жалоба рассматривалась в его отсутствие в порядке статей 123, 156 и 266 Арбитражного процессуального кодекса Российской Федерации (далее – АПК РФ).

Изучив материалы дела, исследовав доводы апелляционной жалобы, заслушав правовую позицию представителей заявителя, оценив в совокупности все представленные по делу доказательства, суд апелляционной инстанции не усматривает оснований для удовлетворения апелляционной жалобы.

Как следует из материалов дела, приказом Управления Роскомнадзора по Курской области от 22.12.2011 №1157 УМВД России по Курской области на основании уведомления последнего внесено в Реестр операторов, осуществляющих обработку персональных данных (далее – Реестр ОПД), присвоен регистрационный номер 11-0229934 (https://pd.rkn.gov.ru/operators-registry/operators-list/).

УМВД России по Курской области обратилось в Управление Роскомнадзора по Курской области с письмом от 21.07.2017 №28/479, в котором просило рассмотреть вопрос об исключении из Реестра ОПД УМВД России Курской области, а также территориальных органов МВД России на районном уровне, подчиненных УМВД России по Курской области, указанных в приложении, поскольку территориальные органы МВД России входят в единую централизованную систему МВД России, которое является оператором, осуществляющим меры, направленные на обеспечение выполнения обязанностей, предусмотренных Федеральным законом от 27.07.2006 №152-ФЗ «О персональных данных», принятыми в соответствии с ним нормативными правовыми актами, и не имеют полномочий самостоятельно определять правила такой обработки (л.д.10-13).

Ответным письмом от 28.07.2017 №3305-04/46 заинтересованное лицо сообщило об отсутствии оснований для исключения заявителя из Реестра ОПД (л.д.14-15).

УМВД России по Курской области обратилось в Управление Роскомнадзора по Курской области с письмом от 22.01.2024 №28/70, в котором просило рассмотреть вопрос об исключении из Реестра ОПД УМВД России Курской области, а также территориальных органов МВД России на районном уровне, подчиненных УМВД России по Курской области, указанных в приложении, поскольку УМВД России по Курской области не является оператором в смысле пункта 2 статьи 3 Федерального закона от 27.07.2006 №152-ФЗ «О персональных данных» (л.д.16-19).

Письмом от 23.01.2024 №366-02/46 заинтересованное лицо со ссылкой на форму уведомления о прекращении обработки персональных данных, размещенной на официальном сайте Роскомнадзора (https://pd.rkn.gov.ru/operators-registry/notification/exclusion/) и инструкцию по организации защиты персональных данных, сообщило об отсутствии оснований для исключения заявителя из Реестра ОПД, дополнительно указав, что территориальные органы МВД России осуществляют обработку персональных данных по поручению МВД России (л.д.20-21).

Полагая решение Управления Роскомнадзора по Курской области, изложенное в письме от 23.01.2024 №366-02/46, незаконным, УМВД России по Курской области обратилось в арбитражный суд с соответствующим заявлением.

Арбитражный суд Курской области в удовлетворении заявленных требований отказал.

Девятнадцатый арбитражный апелляционный суд не усматривает оснований для отмены судебного акта по доводам апелляционной жалобы и исходит из следующего.

В силу части 1 статьи 198 АПК РФ граждане, организации и иные лица вправе обратиться в арбитражный суд с заявлением о признании недействительными ненормативных правовых актов, незаконными решений и действий (бездействия) органов, осуществляющих публичные полномочия, должностных лиц, если полагают, что оспариваемый ненормативный правовой акт, решение и действие (бездействие) не соответствуют закону или иному нормативному правовому акту и нарушают их права и законные интересы в сфере предпринимательской и иной экономической деятельности, незаконно возлагают на них какие-либо обязанности, создают иные препятствия для осуществления предпринимательской и иной экономической деятельности.

Следуя положениям части 1 статьи 198 АПК РФ, для признания ненормативных правовых актов, незаконными решений и действий (бездействия) органов, осуществляющих публичные полномочия, должностных лиц, необходимо одновременное существование указанных в статье 198 АПК РФ условий: несоответствие их закону или иным нормативным правовым актам и нарушение прав и законных интересов заявителя в сфере предпринимательской и иной экономической деятельности.

В соответствии с частью 4 статьи 200 АПК РФ при рассмотрении дел об оспаривании ненормативных правовых актов, решений и действий (бездействия) органов, осуществляющих публичные полномочия, должностных лиц арбитражный суд в судебном заседании осуществляет проверку оспариваемого акта или его отдельных положений, оспариваемых решений и действий (бездействия) и устанавливает их соответствие закону или иному нормативному правовому акту, устанавливает наличие полномочий у органа или лица, которые приняли оспариваемый акт, решение или совершили оспариваемые действия (бездействие), а также устанавливает, нарушают ли оспариваемый акт, решение и действия (бездействие) права и законные интересы заявителя в сфере предпринимательской и иной экономической деятельности.

Обязанность доказывания соответствия оспариваемого ненормативного правового акта закону или иному нормативному правовому акту, законности принятия оспариваемого решения, совершения оспариваемых действий (бездействия), наличия у органа или лица надлежащих полномочий на принятие оспариваемого акта, решения, совершение оспариваемых действий (бездействия), а также обстоятельств, послуживших основанием для принятия оспариваемого акта, решения, совершения оспариваемых действий (бездействия), возлагается на орган или лицо, которые приняли акт, решение или совершили действия (бездействие) (часть 5 статьи 200 АПК РФ).

Отношения, связанные с обработкой персональных данных, осуществляемой федеральными органами государственной власти, органами государственной власти субъектов Российской Федерации, иными государственными органами (далее - государственные органы), органами местного самоуправления, иными муниципальными органами (далее - муниципальные органы), юридическими лицами и физическими лицами с использованием средств автоматизации, в том числе в информационно-телекоммуникационных сетях, или без использования таких средств, если обработка персональных данных без использования таких средств соответствует характеру действий (операций), совершаемых с персональными данными с использованием средств автоматизации, то есть позволяет осуществлять в соответствии с заданным алгоритмом поиск персональных данных, зафиксированных на материальном носителе и содержащихся в картотеках или иных систематизированных собраниях персональных данных, и (или) доступ к таким персональным данным, регулируются Федеральным законом от 27.07.2006 №152-ФЗ «О персональных данных» (далее – Закон о персональных данных).

Исходя из нормативных положений статьи 22, части 1 статьи 23 Закона о персональных данных, пунктов 1, 4 Положения о Федеральной службе по надзору в сфере связи, информационных технологий и массовых коммуникаций, утвержденного Постановлением Правительства РФ от 16.03.2009 №228, суд области верно не усмотрел нарушений компетенции и порядка принятия Управлением Роскомнадзора по Курской области оспариваемого решения.

В силу части 1 статьи 22 Закона о персональных данных оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи.

Уполномоченный орган по защите прав субъектов персональных данных в течение тридцати дней с даты поступления уведомления об обработке персональных данных вносит сведения, указанные в части 3 настоящей статьи, а также сведения о дате направления указанного уведомления в реестр операторов (часть 4 статьи 22 Закона о персональных данных).

В соответствии с частью 7 статьи 22 Закона о персональных данных в случае прекращения обработки персональных данных оператор обязан уведомить об этом уполномоченный орган по защите прав субъектов персональных данных в течение десяти рабочих дней с даты прекращения обработки персональных данных.

Согласно части 4.1 статьи 22 Закона о персональных данных уполномоченный орган по защите прав субъектов персональных данных в течение тридцати дней с даты поступления от оператора уведомления о прекращении обработки персональных данных исключает сведения, указанные в части 3 настоящей статьи, из реестра операторов.

Во исполнение части 8 статьи 22 Закона о персональных данных Приказом Роскомнадзора от 28.10.2022 №180 (далее – Приказ №180) утверждены формы уведомлений о намерении осуществлять обработку персональных данных, об изменении сведений, содержащихся в уведомлении о намерении осуществлять обработку персональных данных, о прекращении обработки персональных данных.

Исходя из содержания формы уведомления о прекращении обработки персональных данных (Приложение №3 к Приказу №180), основаниями прекращения обработки персональных данных выступают: ликвидация оператора, реорганизация оператора, прекращение деятельности по обработке персональных данных, аннулирование лицензии, наступление срока или условия прекращения обработки персональных данных, указанного в уведомлении, вступившее в законную силу решение суда и иные основания.

Отказывая в исключении УМВД России по Курской области из Реестра ОПД, Управление Роскомнадзора по Курской области исходило из обстоятельства признания заявителя оператором по смыслу пункта 2 статьи 3 Закона о персональных данных.

Так, статьей 3 Закона о персональных данных оператор определен как государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными (пункт 2); обработка персональных данных – как любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных (пункт 3).

Приказом МВД России от 06.07.2012 №678 утверждена Инструкция по организации защиты персональных данных, содержащихся в информационных системах органов внутренних дел Российской Федерации (далее – Инструкция), которой определены порядок выполнения мероприятий по защите персональных данных (далее – ПДн), содержащихся в информационных системах органов внутренних дел Российской Федерации, меры по обеспечению безопасности ПДн при их обработке в информационных системах персональных данных (далее – ИСПДн, информационная система), а также обязанности должностных лиц.

В силу пункта 3 Инструкции Министерство внутренних дел Российской Федерации (далее – МВД России) в соответствии с Федеральным законом №152-ФЗ является оператором, организующим и (или) осуществляющим обработку ПДн, а также определяющим цели обработки ПДн, состав ПДн, подлежащих обработке, действия (операции), совершаемые с ПДн.

В соответствии с пунктом 5 Инструкции оператор определяет подразделения органов внутренних дел Российской Федерации, осуществляющие обработку ПДн в эксплуатируемых информационных системах. В случаях когда реализация мер по организации и обработке ПДн в ИСПДн возлагается на несколько подразделений МВД России, вопросы разграничения полномочий между ними отражаются в инструкции по эксплуатации соответствующей информационной системы.

В силу пункта 6 Инструкции подразделения центрального аппарата МВД России, территориальные органы МВД России, образовательные, научные, медико-санитарные и санаторно-курортные организации системы МВД России, окружные управления материально-технического снабжения системы МВД России, а также иные организации и подразделения, созданные для выполнения задач и осуществления полномочий, возложенных на органы внутренних дел Российской Федерации (далее – подразделения МВД России), выполняют функции оператора ИСПДн при эксплуатации информационной системы, в том числе при обработке информации, содержащейся в ее базах данных (далее – подразделение-оператор ИСПДн).

Пунктом 28 Инструкции установлено, что ответственными за соблюдение требований по защите ПДн при их автоматизированной обработке являются руководители подразделений МВД России, эксплуатирующих, а также использующих ИСПДн, администраторы ИСПДн, пользователи ИСПДн, непосредственно обрабатывающие ПДн в ИСПДн, и инженерно-технический персонал, имеющий доступ к ИСПДн с целью обеспечения устойчивого функционирования информационной системы при ее использовании, что отражается в должностных регламентах (должностных инструкциях) указанных лиц.

Согласно пункту 29 Инструкции лица, указанные в пункте 28 настоящей Инструкции, осуществляют обработку ПДн в соответствии с требованиями Федерального закона №152-ФЗ и иными нормативными правовыми актами Российской Федерации в сфере защиты ПДн, а также несут ответственность в соответствии с законодательством Российской Федерации за нарушение режима защиты ПДн.

Исходя из Постановления Правительства Российской Федерации от 27.05.1993 №491 «О порядке создания и деятельности территориальных органов министерств и ведомств Российской Федерации» (пункт 1 Предложения о порядке создания и деятельности территориальных органов министерств и ведомств Российской Федерации), территориальные органы министерств и ведомств Российской Федерации (далее именуются - территориальные органы) входят в систему органов исполнительной власти Российской Федерации и осуществляют свою деятельность под руководством соответствующих центральных органов федеральной исполнительной власти, а по вопросам, входящим в компетенцию краев, областей, автономной области, автономных округов, городов Москвы и Санкт-Петербурга, - во взаимодействии с соответствующими органами исполнительной власти субъектов Федерации.

В пункте 5.1 Типового регламента взаимодействия федеральных органов исполнительной власти, утвержденного Постановлением Правительства Российской Федерации от 19.01.2005 №30 «О Типовом регламенте взаимодействия федеральных органов исполнительной власти» предусмотрено, что Федеральные органы исполнительной власти в соответствии со статьей 78 Конституции Российской Федерации для осуществления своих полномочий могут создавать территориальные органы. Территориальные органы федеральных органов исполнительной власти, как правило, создаются в качестве окружных, межрегиональных, региональных (в границах субъекта Российской Федерации), межрайонных, городских или районных органов. Финансирование деятельности территориальных органов осуществляется за счет средств федерального бюджета. Территориальные органы федерального органа исполнительной власти являются государственными органами, находящимися в его подчинении. Порядок организации деятельности территориальных органов федеральных органов исполнительной власти предусматривается в регламенте соответствующего федерального органа исполнительной власти. Полномочия федерального органа исполнительной власти на отдельных территориях могут осуществляться его представителями, которые являются государственными служащими, занимающими должности в центральном аппарате этого органа. Осуществление части полномочий федеральных органов исполнительной власти по предметам совместного ведения Российской Федерации и субъектов Российской Федерации может быть передано органам исполнительной власти субъектов Российской Федерации в соответствии с федеральным законодательством. Не допускается наделение полномочиями территориального органа государственных учреждений и иных организаций, не являющихся в соответствии с законодательством Российской Федерации государственными органами.

Пунктом 2 Положения об Управлении Министерства внутренних дел Российской Федерации по Курской области, утвержденного приказом МВД России от 03.08.2017 №605 установлено, что УМВД России по Курской области является территориальным органом МВД России на региональном уровне.

Вопреки доводам апелляционной жалобы, по смыслу приведенного нормативно-правового регулирования в рассматриваемой сфере, в том числе, нормативных положений Закона о персональных данных и Инструкции УМВД России по Курской области как территориальный орган МВД России выступает оператором, осуществляющим обработку персональных данных, в смысле, придаваемом пунктом 2 статьи 3 Закона о персональных данных. При этом определение оператора, приведенное в пункте 2 статьи 3 Закона о персональных данных, не ограничивается лишь федеральными органами государственной власти.

Судебная коллегия также не может согласиться с доводом заявителя о том, что исходя из содержания пункта 2 статьи 3 Закона о персональных данных одно лишь осуществление лицом обработки персональных данных не влечет признание за ним статуса оператора, поскольку подобное ограничительное толкование противоречит целям регулирования спорных правоотношений, установленным статьей 2 Закона о персональных данных

При этом суд области обоснованно указал, что обстоятельство определения МВД России целей обработки персональных данных, состава персональных данных, подлежащих обработке, действий (операций), совершаемых с персональными данными не совместно с УМВД России по Курской области, а в порядке пунктов 3, 5, 6, 13-14 Типового положения о территориальном органе Министерства внутренних дел Российской Федерации по субъекту Российской Федерации, утвержденного Указом Президента РФ от 21.12.2016 №699, то есть с учетом подчиненности УМВД России по Курской области МВД России, не означает отсутствие у УМВД России по Курской области статуса оператора, а указанное определение целей обработки персональных данных, состава персональных данных, подлежащих обработке, действий (операций), совершаемых с персональными данными было совершено с учетом особенностей построения органов полиции.

Учитывая изложенное, в отсутствие доказательств того, что УМВД России по Курской области прекратило осуществление обработки персональных данных (в том числе по основаниям, поименованным в Приложении №3 к Приказу №180), Управление Роскомнадзора по Курской области обоснованно не усмотрело оснований для исключения заявителя из Реестра ОПД.

Обстоятельств нарушения прав заявителя оспариваемым решением судебная коллегия не усматривает, поскольку таковое было вынесено с соблюдением действующего законодательства о персональных данных.

В силу части 3 статьи 201 АПК РФ в случае, если арбитражный суд установит, что оспариваемый ненормативный правовой акт, решения и действия (бездействие) органов, осуществляющих публичные полномочия, должностных лиц соответствуют закону или иному нормативному правовому акту и не нарушают права и законные интересы заявителя, суд принимает решение об отказе в удовлетворении заявленного требования.

В этой связи суд области обоснованно отказал в удовлетворении заявленных требований.

На основании вышеизложенного, суд апелляционной инстанции находит решение суда первой инстанции законным и обоснованным, поскольку оно принято с учетом действующего законодательства, в связи с чем, оснований для удовлетворения апелляционной жалобы и отмены или изменения судебного акта по доводам заявителя не имеется.

При этом доводы апелляционной жалобы не опровергают окончательного вывода суда первой инстанции, а лишь выражают несогласие с ним, что не может являться основанием для отмены судебного акта.

Нарушений норм процессуального права, являющихся согласно части 4 статьи 270 Арбитражного процессуального кодекса Российской Федерации безусловным основанием для отмены судебного акта, судом апелляционной инстанции не установлено.

УМВД России по Курской области в силу статьи 333.37 Налогового кодекса Российской Федерации от уплаты государственной пошлины за рассмотрение апелляционной жалобы освобождено.

Руководствуясь пунктом 1 статьи 269, статьей 271 Арбитражного процессуального кодекса Российской Федерации, Девятнадцатый арбитражный апелляционный суд,

ПОСТАНОВИЛ:

Решение Арбитражного суда Курской области от 14.10.2024 по делу №А35-3743/2024 оставить без изменения, апелляционную жалобу – без удовлетворения.

Постановление вступает в законную силу со дня принятия и может быть обжаловано в кассационном порядке в Арбитражный суд Центрального округа в двухмесячный срок через арбитражный суд первой инстанции.

Председательствующий судья Н.А. Песнина

Судьи П.В. Донцов

А.А. Пороник