В согласии работника отсутствует перечень персональных данных (указано все категории), указано несколько целей

Судебная практика

Дело об административном правонарушении № 5-57/2022

УИД 66MS0045-01-2022-000100-08

ПОСТАНОВЛЕНИЕ

о назначении административного наказания

17 февраля 2022 года

Мировой судья судебного участка № 3 Октябрьского судебного района г. Екатеринбурга Чудников Р.С., исполняющий обязанности мирового судьи судебного участка № 8 Октябрьского судебного района г. Екатеринбурга (620142, г. Екатеринбург, ул. Фрунзе, д. 40, каб. 110, тел. (343) 257-14-14, электронный адрес: 8okt@dms66.ru, официальный сайт судебного участка: 8okt.svd.msudrf.ru), рассмотрев в открытом судебном заседании дело об административном правонарушении, предусмотренном ч.2 ст.13.11 Кодекса Российской Федерации об административных правонарушениях, в отношении

ПАО «Название», ОГРН <НОМЕР> ИНН: <НОМЕР>, расположенного по адресу: г. <АДРЕС>, ул. <АДРЕС>, _, зарегистрированного в качестве юридического лица <ДАТА2>,

УСТАНОВИЛ:

В ходе проведения в период с 03.06.2021 по 13.07.2021 плановой выездной проверки установлено, что ПАО «Название», расположенное по адресу: г. Екатеринбург, ул. ___________, __, является оператором, которое осуществляет обработку (передачу) персональных данных работников с нарушением требований, установленных п.5 ч.4 ст.9 Федерального закона «О персональных данных», согласно которому согласие на обработку персональных данных должно содержать перечень персональных данных, на обработку которых дается согласие субъекта персональных данных. В связи с изложенными обстоятельствами главным специалистом-экспертом отдела контроля и надзора за соблюдением законодательства в сфере персональных данных Управления Роскомнадзора по Уральскому федеральному округу ФИО в отношении ПАО «Название» 12.01.2022 составлен протокол № АП-66/5/39 об административном правонарушении, предусмотренном ч.2 ст.13.11 Кодекса Российской Федерации об административных правонарушениях. Защитник ПАО «Название» - ФИО1., действующий на основании нотариально удостоверенной доверенности от 20.12.2021, заявил о непризнании Банком вины в совершении вменяемого правонарушения, представил объяснения по факту правонарушения, в которых указал, что Банку вменяется нарушение требований п. 5 ч. 4 ст. 9 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», согласно которому согласие на обработку персональных данных должно содержать перечень персональных данных, на обработку которых дается согласие субъекта персональных данных.

В частности, согласие на обработку персональных данных работника ФИО2 от 08.06.2020 не содержит конкретного перечня персональных данных (указано условие - «всех категорий персональных данных»), что не соответствует требованиям ч.4 ст.9 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».

В соответствии с ч.1 ст.4.5. КоАП РФ давность привлечения к административной ответственности за нарушение законодательства Российской Федерации в области персональных данных составляет один год со дня совершения административного правонарушения. Поскольку Банку вменяется в качестве нарушения несоответствие содержания конкретного согласия, предоставленного в Банк 20.06.2020, привлечение Банка к административной ответственности является незаконным, так как со дня совершения административного правонарушение - предоставления ФИО4 в Банк согласия на обработку его персональных данных, прошло более года.

В силу п.6 ч.1 ст.24.5 КоАП РФ производство по делу об административном правонарушении не может быть начато, а начатое производство подлежит прекращению в случае истечения срока давности привлечения к административной ответственности.

На основании изложенного, просим производство по делу прекратить. Общество просит в случае, если суд усмотрит основания для привлечения ПАО «Название» к административной ответственности по ч.2 ст. 13.11 КоАП РФ, просим применить положения ч.1 ст. 4.1.1 КоАП РФ.

Суд, исследовав материалы дела об административном правонарушении, приходит к следующему выводу.

На основании Плана деятельности Управления Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Уральскому федеральному округу на 2021 год, утвержденного приказом от 20.11.2020 № 145, размещенного на сайте Управления Роскомнадзора по Уральскому федеральному округу в сети «Интернет» http://66.rkn.gov.ru/, и приказов Управления № 25-нд от 11.05.2021 и № 43-нд от 29.06.2021 в отношении ПАО «НАЗВАНИЕ» в период с 02.06.2021 по 13.07.2021 проведена плановая выездная проверка соблюдения обязательных требований законодательства Российской Федерации в области обработки персональных данных. ПАО «НАЗВАНИЕ» является оператором, осуществляющим обработку персональных данных на территории Свердловской области, и включен под регистрационным номером 11-0170765 в общедоступный реестр операторов, осуществляющих обработку персональных данных, по адресу в сети Интернет: http://www.pd.rkn.gov.ru. В ходе проведения проверки ПАО «НАЗВАНИЕ» представлена справка об осуществлении медицинского страхования работников и их родственников с приложением копий договора добровольного медицинского страхования № 4393R/045/01076/9/386 от 03.04.2019, заключённого с АО «АльфаСтрахование». В качества примера передачи персональных данных застрахованных лиц к договору добровольного медицинского страхования № 4393R/045/01076/9/386 от 03.04.2019, заключённого с АО «АльфаСтрахование», ПАО «НАЗВАНИЕ» приложено дополнительное соглашение от 31.03.2021 №18, содержащее персональные данные работников, в том числе ФИО3 в объёме: ФИО, дата рождения.

В соответствии со ст. 88 Трудового Кодекса Российской Федерации при передаче персональных данных работников работодатель должен не сообщать персональные данные работника третьей стороне без письменного согласия работника, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью работника, а также в других случаях, предусмотренных настоящим Кодексом или иными Федеральными законами.

Согласно п. 8.7 Договора добровольного медицинского страхования № 4393R/045/01076/9/386 от 03.04.2019, заключённого с АО «АльфаСтрахование», страхователь - ПАО «НАЗВАНИЕ» подтверждает, что имеет согласие застрахованных субъектов персональных данных на обработку их персональных данных страховщиком - АО «АльфаСтрахование» в целях, связанных с исполнением обязательств по настоящему договору.

Все претензии, возникающие или могущие возникнуть у застрахованных, касающиеся обработки их персональных данных Страховщиком, Страхователь обязуется урегулировать своими силами и за свой счёт. Страховщик обязуется при обработке персональных данных, предоставленных ему Страхователем, соблюдать требования Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», других нормативных правовых актов, обеспечивающих безопасность персональных данных при их обработке.Оператором представлено согласие <ФИО1> (дата подписания <ДАТА8>) на передачу персональных данных третьим лицам (для страхования по договору добровольного медицинского страхования).

Согласие на обработку персональных данных работника <ФИО1> (дата подписания <ДАТА8>) содержит следующие положения.

Указан перечень действий с персональными данными: сбор, запись, систематизация, накопление, использование, хранение, уточнение (обновление, изменение), извлечение, передача (распространение, предоставление, доступ), в том числе среди третьих лиц, обезличивание, блокирование, удаление, уничтожение.

Указаны цели обработки персональных данных: регулирование трудовых отношений и иных непосредственно связанных с ними отношений; заключение и исполнение договоров с Банком; получение информации об услугах Банка.

Согласно положениям ч. 4 ст. 9 Федерального закона от <ДАТА7> <НОМЕР> «О персональных данных» в случаях, предусмотренных федеральным законом, обработка персональных данных осуществляется с согласия в письменной форме субъекта персональных данных. При этом ч. 4 ст. 9 Федерального закона «О персональных данных» установлены требования к составу сведений, включаемых в согласие в письменной форме субъекта персональных данных на обработку его персональных данных, в случаях, предусмотренных федеральным законом, когда обработка персональных данных осуществляется только с согласия в письменной форме субъекта персональных данных.

Согласно п. 5 ч. 4 ст. 9 Федерального закона «О персональных данных» согласие на обработку персональных данных в письменной форме должно содержать, в том числе перечень персональных данных, на обработку которых дается согласие субъекта персональных данных.

Согласие на обработку персональных данных работника <ФИО2> (дата подписания <ДАТА8>) не содержит конкретного перечня персональных данных (указано условие - «всех категорий персональных данных»), что не соответствует требованиям, предусмотренным ч.4 ст. 9 Федерального закона «О персональных данных».

Кроме того, в силу п.4 ч.4 ст. 9 Федерального закона «О персональных данных» согласие на обработку персональных данных в письменной форме должно включать в себя, в частности цель обработки персональных данных.

Вместе с тем, предоставленное согласие вышеуказанного работника содержит несколько целей обработки персональных данных, а именно «регулирование трудовых отношений и иных непосредственно связанных с ними отношений, заключения и исполнения договоров с ПАО «Название», а также получения информации об услугах ПАО «Название»».

Таким образом, в согласии работника отсутствуют необходимые сведения, являющиеся обязательными для включения в указанную форму согласия.

На основании вышеизложенного, мировой судья квалифицирует действия ПАО «НАЗВАНИЕ» по ч. 2 ст. 13.11 Кодекса Российской Федерации об административных правонарушениях, то есть обработка персональных данных без согласия в письменной форме субъекта персональных данных на обработку его персональных данных в случаях, когда такое согласие должно быть получено в соответствии с законодательством Российской Федерации в области персональных данных.

У юридического лица - ПАО «НАЗВАНИЕ» имелась возможность для соблюдения правил и норм, предусмотренных законодательством Российской Федерации, но данным лицом не были приняты все зависящие от него меры по их соблюдению.

В соответствии с примечанием к ст. 28.1 Кодекса Российской Федерации об административных правонарушениях, при наличии предусмотренного п. 1 ч. 1 указанной статьи повода к возбуждению дела об административном правонарушении в случае, если достаточные данные, указывающие на наличие события административного правонарушения, обнаружены должностным лицом, уполномоченным составлять протоколы об административных правонарушениях, в ходе проведения проверки при осуществлении государственного контроля (надзора) или муниципального контроля, дело об административном правонарушении может быть возбуждено после оформления акта о проведении такой проверки.

Поводом для возбуждения дела об административном правонарушении послужило непосредственное обнаружение должностными лицами, уполномоченными составлять протоколы об административных правонарушениях, достаточных данных, указывающих на наличие события административного правонарушения (Акт проверки № А-66/5/25-нд/72 от 13.07.2021).

Таким образом, ПАО «НАЗВАНИЕ» нарушены требования ч. 4 ст. 9 Федерального закона «О персональных данных», что образует событие административного правонарушения ответственность, за которое предусмотрена ч.2 ст. 13.11 Кодекса Российской Федерации об административных правонарушениях. Доводы защитника ПАО «Название» о том, что соответствии с ч. 1 ст. 4.5 КоАП РФ давность привлечения к административной ответственности за нарушение законодательства Российской Федерации в области персональных данных составляет один год со дня совершения административного правонарушения, не принимается судом, поскольку в силу ч. 2 ст. 4.5 КоАП РФ при длящемся административном правонарушении сроки, предусмотренные ч. 1 указанной статьи, начинают исчисляться со дня обнаружения административного правонарушения.

Согласно абзацу 3 п. 14 Постановления Пленума Верховного Суда РФ от 24 марта 2005 года о некоторых вопросах, возникающих у судов при применении Кодекса Российской Федерации об административных правонарушениях при длящемся административном правонарушений сроки, предусмотренные ч. 1 ст. 4.5 КоАП РФ начинают исчисляться со дня обнаружения административного правонарушения. При применении данной нормы судьям необходимо исходить из того, что длящимся является такое административное правонарушение (действие или бездействие), которое выражается в длительном непрекращающемся невыполнении или ненадлежащем выполнении предусмотренных законом обязанностей.

При этом следует учитывать, что такие обязанности могут быть возложены и иным нормативным правовым актом, а также правовым актом ненормативного характера, например представлением прокурора, предписанием органа (должностного лица), осуществляющего государственный надзор (контроль). Невыполнение предусмотренной названными правовыми актами обязанности к установленному сроку свидетельствует о том, что административное правонарушение не является длящимся. При этом необходимо иметь в виду, что днем обнаружения длящегося административного правонарушения считается день, когда должностное лицо, уполномоченное составлять протокол об административном правонарушении, выявило факт его совершения. По характеру объективной стороны вмененное заявителю административное правонарушение, выразившееся в обработке персональных данных без согласия в письменной форме субъекта персональных данных на обработку его персональных данных, является длящимся, в связи с этим срок давности привлечения к административной ответственности за его совершение необходимо исчислять со дня обнаружения правонарушения.

Из материалов дела усматривается, что признаки административного правонарушения, предусмотренного ч.2 ст. 13.11 КоАП РФ, послужившие основанием к возбуждению настоящего дела об административном правонарушении, были выявлены в ходе проведения проверки 13 июля 2021 года.

Срок привлечения к административной ответственности на момент рассмотрения дела об административном правонарушении не истёк. Суд не усматривает оснований для применения ч. 1 ст. 4.1.1 Кодекса Российской Федерации об административных правонарушениях. Назначая административное наказание, суд учитывает характер совершенного правонарушения, обстоятельства совершения правонарушения. Обстоятельств, смягчающих административную ответственность, суд не усматривает. Обстоятельств, отягчающих административную ответственность, суд не усматривает. При изложенных обстоятельствах суд считает возможным назначить ПАО «Название» административное наказание в виде штрафа.

На основании изложенного, руководствуясь ст.ст. 29.9. - 29.10. Кодекса Российской Федерации об административных правонарушениях, мировой судья

ПОСТАНОВИЛ:

ПАО «Название» признать виновным в совершении административного правонарушения, предусмотренного ч. 2 ст. 13.11 Кодекса Российской Федерации об административных правонарушениях, и назначить административное наказание в виде штрафа в размере 30 000 (тридцать тысяч) рублей.

Разъяснить, что согласно ч. 1 ст. 32.2 Кодекса Российской Федерации об административных правонарушениях административный штраф должен быть уплачен не позднее 60 дней со дня вступления данного постановления в законную силу, а документ, свидетельствующий об уплате, направлен мировому судье.

Оплата штрафа должна быть произведена по следующим реквизитам: Получатель: УФК по Свердловской области (Департамент мировых судей Свердловской области, л/с 04622011370), ИНН/КПП: 6658135632/665801001; счет получателя платежа 03100643000000016200, Банк получателя: Уральское ГУ Банка России; корсчет 401 028 106 453 700 00054; ОКТМО: 65701000; БИК: 016577551; КБК:01911601053010000140; УИН: 0209952066004550005720222.

Лицо, не уплатившее административный штраф в течение указанного срока, привлекается к административной ответственности в соответствии с ч. 1 ст. 20.25 Кодекса Российской Федерации об административных правонарушениях, предусматривающей наказание в виде административного штрафа в двукратном размере суммы неуплаченного административного штрафа, либо в виде административного ареста на срок до пятнадцати суток, либо в виде обязательных работ сроком до 50 часов.

Постановление может быть обжаловано в течение 10 суток с момента получения или вручения его копии в Октябрьский районный суд г. Екатеринбурга.

Мировой судья Р.С. Чудников

Управление Роскомнадзора по Уральскому федеральному округу

по <АДРЕС> области

г. <АДРЕС>

пр. <АДРЕС>, д. 39

ПАО «Название»

Г. <АДРЕС>

Ул. <АДРЕС>, Д. 75

Направляем Вам для сведения копию постановления от <ДАТА18> о назначении административного наказания ПАО «Название» за совершение административного правонарушения, предусмотренного по ч.2 ст. 13.11 Кодекса Российской Федерации об административных правонарушениях.

Мировой судья <ФИО3>