Арбитражная практика: Налоговой инспекции досталось за обработку специальной категории персональных данных без письменного согласия

Проведение проверок соблюдения требований законодательства о защите персональных данных идут повсеместно, в том числе и в государственных органах. Споры, которые при этом возникают уже между государственными органами, как мне кажется, представляют особый интерес, - прежде всего, потому, что государственные органы в процессе своей деловой деятельности осуществляют обработку значительных объемов персональных данных всего населения страны.

В данном случае претензии Управления Роскомнадзора по Астраханской области были предъявлены инспекции Федеральной налоговой службы (ИФНС) по Ленинскому району города Астрахани. С их правомочностью пришлось разбираться Арбитражному суду Астраханской области в июне 2011 года (дело №А06-1975/2011).

Суть спора

Управлением Роскомнадзора по Астраханской области в январе 2011 года  была проведена плановая проверка юридического лица – ИФНС по Ленинскому району города Астрахани. В ходе проверки представители Роскомнадзора выявили следующие нарушения:

• Представленное инспекцией в Роскомнадзор уведомление об обработке персональных данных содержит неполные сведения; инспекция не сообщила об изменении содержащихся в уведомлении сведений;


• Инспекция осуществляла хранение специальной категории персональных данных налогоплательщиков без их письменного согласия;


• Велась обработка персональных данных, избыточных по отношению к целям, заявленным при сборе персональных данных;


• Инспекцией как оператором не были приняты организационные меры для защиты персональных данных от неправомерного или случайного доступа к ним и иных неправомерных действий.

По результатам проверки был составлен акт и выданы предписания об устранении выявленных нарушений. Не согласившись с выданными предписаниями, ИФНС обратилась в арбитражный суд.

Позиция Арбитражного суда Астраханской области

Арбитражный суд Астраханской области счел, что требования налоговой инспекции должны быть удовлетворены частично.

Суд, прежде всего, изучил уведомление об обработке персональных данных, которое  налоговый орган в октябре 2008 года направил в Управление Роскомнадзора. В качестве цели обработки персональных данных в нем было названо осуществление полномочий, определенных пунктом 5 раздела II «Положения о Федеральной налоговой службе», и обрабатываемые персональные данные были отнесены к категориям 2, 3 и 4.

Для справки: В соответствии с Приказом ФСТЭК России, ФСБ России, Мининформсвязи России от 13.02.2008 №55/86/20 «Об утверждении Порядка проведения классификации информационных систем персональных данных»:

• Категория 1 - персональные данные, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных и философских убеждений, состояния здоровья, интимной жизни;


• Категория 2 - персональные данные, позволяющие идентифицировать субъекта персональных данных и получить о нем дополнительную информацию, за исключением персональных данных, относящихся к категории 1;


• Категория 3 - персональные данные, позволяющие идентифицировать субъекта персональных данных;


• Категория 4 - обезличенные и (или) общедоступные персональные данные.

По мнению Роскомнадзора, инспекция как оператор персональных данных должна была заполнить уведомление в соответствии с утвержденными рекомендациями. В ходе проверки выяснилось, что уведомление инспекции содержит неполный объём сведений, предусмотренных частью 3 статьи 22 Закона № 152-ФЗ «О персональных данных». В частности,  не указанны:

• Учредительные документы оператора, а также цели фактически осуществляемой оператором деятельности по обработке персональных данных;


• Статьи иного нормативно-правового акта, регулирующие осуществляемый вид деятельности и касающиеся обработки персональных данных;


• Все категории субъектов (физических лиц) и виды отношений с субъектами (физическими лицами), персональные данные которых обрабатываются.

Проверка выявила факты приложения к декларациям по форме 3-НДФЛ для получения социального налогового вычета копий свидетельств о рождении детей с информацией о национальной принадлежности родителей. При этом инспекция осуществляет хранение указанных документов в отсутствие письменного согласия налогоплательщиков на обработку специальных категорий персональных данных, что является нарушением части 4 статьи 9, части 1, 2 статьи 10 закона № 152-ФЗ. В уведомлении об обработке персональных данных не сообщалось об обработке персональных данных, относящихся к 1 категории.

Судом был отклонен довод инспекции о том, что форма свидетельства о рождении утверждена постановлением Правительства РФ № 709 от 06.07.1998 года и что данные документы предоставляются налогоплательщиками не по требованию налогового органа, а самостоятельно,- поскольку в соответствии с требованиями части 4 статьи 9 закона № 152-ФЗ согласие на обработку подобных персональных данных должно быть дано в письменном виде.

Суд счел, что направление в адрес инспекции предписания об устранении данного нарушения является правомерным. В то же время направление в адрес инспекции двух других двух (касающихся обработки избыточного объема персональных данных и непринятия организационным мер по защите персональных данных) суд счел незаконным.

Обработка персональных данных инспекцией осуществляется в автоматизированной информационной системе налоговых органов в смешанном режиме. Технологические процессы работы сотрудников обеспечивают выполнение действий, связанных с формированием и ведением баз данных информационных ресурсов и обеспечением их сохранности. Обеспечение безопасности персональных данных осуществляется организационно-техническими мерами в соответствии с требованиями законодательства Российской Федерации, руководящих документов Гостехкомиссии России, ФСБ России, ведомственными нормативными и методическими документами по информационной безопасности. Комплекс организационно-технических мер по обеспечению безопасности персональных данных согласуется с ФСТЭК России.

По мнению суда, использованные инспекцией организационные меры по защите информации, включая персональные данные, от неправомерного или случайного доступа к ним, направлены на обеспечение сохранности информации как при обработке данных с использованием средств автоматизации, так и без использования средств автоматизации, поскольку применяемая информационная система налоговых органов действует в смешанном режиме.

Доступ сотрудников налогового органа к персональным данным осуществляется в рамках установленной ведомственными нормативными документами системы разграничения доступа, в строгом соответствии с должностными обязанностями сотрудников, определяемых их должностными регламентами; обеспечена организация работы архива в соответствии с законодательством и методическими рекомендациями учреждений Федеральной архивной службы России.

Таким образом, по мнению суда, вывод проверяющих о непринятии оператором организационных мер для защиты персональных данных является необоснованным и не подтверждается материалами проверки.

Судом был также отклонен вывод Управления Роскомнадзора об обработке избыточных персональных данных по отношению к указанным целям обработки (имелись в виду данные о месте рождения, сведения о трудовой деятельности и о заключении брака).

Одной из составляющих частей контроля за соблюдением законодательства о налогах и сборах является проверка правомерности применения налоговых вычетов, в том числе социального налогового вычета по налогу на доходы физических лиц. Право на получение налогового вычета (ст.219 Налогового Кодекса), имеют, в частности, налогоплательщики, осуществлявшие ранее обязанности опекуна или попечителя, в случаях оплаты ими обучения своих бывших подопечных по очной форме до достижения ими 24 лет; а также налогоплательщики, оплачивающие обучение брата (сестры); услуги по лечению в медицинских учреждениях РФ супруга (супруги), своих родителей и (или) своих детей в возрасте до 18 лет.

Для подтверждения права на получение данного вычета налогоплательщик обязан представить документы, подтверждающие факт обучения, форму обучения, наличие опеки, попечения либо родственных отношений, факт получения лечения. При этом налоговое законодательство не определяет полного и исчерпывающего перечня документов, представляемых налогоплательщиком для подтверждения права на вычет. Налогоплательщик самостоятельно предоставляет любые документы, содержащие соответствующие сведения, в том числе относящиеся к персональным данным.

Суд признал незаконными два предписания, выданные Управлением Роскомнадзора по Астраханской области. В остальной части заявленных требований было отказано.

Двенадцатый арбитражный апелляционный суд в сентябре 2011 года оставил решение арбитражного суда Астраханской области без изменения, а апелляционную жалобу без удовлетворения.

В кассационной инстанции дело не рассматривалось.

Мой комментарий: Таким образом, в деле рассматривались два ключевых вопроса:

• Содержание направленного в Роскомнадзор уведомления об обработке персональных данных и его соответствие фактически выполняемой обработке персональных данных;


• Обработка специальных персональных данных в отсутствие письменного согласия субъекта персональных данных.

Мне не совсем понятно, зачем вообще территориальным инспекциям направлять самостоятельные уведомления в Роскомнадзор. Федеральная налоговая служба работает по единым принципам, и вполне можно было бы обойтись одним уведомлением, составленное с привлечением квалифицированных юристов. В качестве альтернативы, ФНС следовало подготовить для территориальных инспекций типовой текст такого уведомления.

Что же касается специальных категорий персональных данных, содержащихся в официальных документах, то, как мне кажется, требовать получения письменного согласия в таких случаях - дело абсурдное. Было бы желательно, чтобы Роскомнадзор дал  официальные разъяснения по данному вопросу.

Вообще говоря, пора уже начать наказывать руководство Роскомнадзора и его Управлений за то, что оно увлекается сбором штрафов по формальным признакам и не предпринимает усилий для того, чтобы не допускать применения законодательства о персональных данных в ущерб интересам государства, граждан и организаций. Роскомнадзор не должен быть бездумным исполнителем буквы закона; ему следует по собственной инициативе своевременно ставить соответствующие вопросы перед Правительством и законодателями и инициировать, при необходимости, внесение изменений в законодательство.

Источник: сайт Высшего Арбитражного Суда Российской Федерации
http://www.arbitr.ru/