Арбитражная практика: Лаборатория судебной экспертизы не обязана была направлять уведомления об обработке персональных данных, так как государственное учреждение не является оператором по обработке персональных данных

Среди положений закона «О персональных данных», с моей точки зрения, одно из самых неприятных для оператора – это требования о предоставлении информации при получении запроса субъекта персональных данных. Правда, таких случаев пока немного. Тем не менее, анализ известных случаев показывает, что, как и предполагали эксперты, граждане начинают использовать такого рода запросы как «оружие борьбы» при возникновении конфликтных ситуаций по совершенно другому вопросу.

В данном случае гражданка запросила информацию из Самарской лаборатории судебной экспертизы Минюста РФ после того, как лаборатория по договору с ООО «Альфа-Сервис» провела экспертное исследование по определению технического состояния принадлежащего ей транспортного средства. Она пожелала воспользоваться свои правом запросить сведения у оператора персональных данных. Не получив желаемого ответа, гражданка обратилась с жалобой в Управление Роскомнадзора по Самарской области.

Арбитражный суд Самарской области рассмотрел дело № А55-23134/2010 ещё в январе 2011 года, но некоторые выводы суда настольно интересны, что коллегам, думаю, стоит познакомиться с ними.

Суть спора

Управление Роскомнадзора в сентябре.2010 года провело внеплановую выездную проверку Самарской лаборатории судебной экспертизы Минюста РФ по жалобе гражданки Ю. о нарушении лабораторией положений Федерального закона «О персональных данных», содержавшей также просьбу оказать ей содействие в реализации права, предусмотренного ст. 20 Федерального закона «О персональных данных».

Для справки: Статья 20 «Обязанности оператора при обращении к нему субъекта персональных данных либо при получении запроса субъекта персональных данных или его представителя, а также уполномоченного органа по защите прав субъектов персональных данных» Федерального закона «О персональных данных» предусматривает, что оператор обязан сообщить субъекту персональных данных или его представителю информацию о наличии персональных данных, относящихся к соответствующему субъекту персональных данных, а также предоставить возможность ознакомления с этими персональными данными при обращении субъекта персональных данных или его представителя в течение тридцати дней с даты получения запроса.

По результатам проверки были вынесены предписания об устранении следующих нарушений:

• Невыполнение обязанности по направлению в уполномоченный орган по защите прав субъектов персональных данных уведомления об обработке персональных данных (ч.1 ст. 22 федерального закона от 27.07.2006 г. №152-ФЗ «О персональных данных»)


• Отсутствие в договоре между ООО «Альфа-Сервис» и лабораторией существенного условия по обязанности обеспечения конфиденциальности персональных данных и безопасности персональных данных при их обработке (ч.4 ст.6 федерального закона от 27.07.2006 г. №152-ФЗ «О персональных данных)

Не согласившись с предписаниями, лаборатория обратилась в арбитражный суд.

Позиция Арбитражного суда Самарской области

Изучив материалы дела, суд сделал вывод о том, что суду не были представлены доказательства того, что лабораторией были нарушены права или законные интересы гражданки Ю. либо иного лица при проведении экспертных исследований. Управлением Роскомнадзора не было указано, каким образом при производстве исследования автомобиля были нарушены права и законные интересы гражданки Ю., а также в чем конкретно выразилось нарушение.

Судом было установлено, что осмотр автомобиля проводился на территории СТО ООО «Альфа-Сервис» в присутствии собственника автомобиля Ю. и представителей общества.

Суд сделал вывод о том, что предусмотренные законом основания для проведения внеплановой выездной проверки отсутствовали, и лаборатория не была обязана направлять в Управление Роскомнадзора по Самарской области уведомления об обработке персональных данных, так как государственное учреждение не является оператором в области обработки персональных данных .

Суд отметил, что в оспариваемых предписаниях в качестве вида деятельности (услуги) лаборатории была указана «Обработка персональных данных». Между тем в пункте 2.3 Устава лаборатории, утвержденного приказом министра юстиции РФ от 27 марта 2006  года № 57, отсутствует такой вид деятельности как «Обработка персональных данных».

Судом было также установлено, что в договоре на проведение экспертного исследования по определению технического состояния транспортного средства, заключенного между лаборатория и ООО «Альфа- Сервис», не содержатся какие-либо персональные данные физических или юридических лиц. Из содержания договора не усматривается, что экспертное исследование будет проводиться в отношении автомобиля, принадлежащий на праве собственности гражданке Ю., следовательно, заинтересованное лицо безосновательно пришло к выводу о нарушении лабораторией пункта 4 статьи 6 ФЗ «О персональных данных».

Мой комментарий: Классная логика у «самого справедливого суда в мире»: Если в договоре прямо не сказано об обработке персональных данных, значит… их можно обрабатывать, сколько душа пожелает! Суд не пожелал как следует изучить вопрос о том, имела ли на самом деле место обработка персональных данных (а для этого не обязательно где-либо указывать фамилию гражданки; её персональными данными является, например, номер автомобиля).

Суд признал недействительными предписания Управления Роскомнадзора по Самарской области.

Одиннадцатый арбитражный апелляционный суд в марте 2011 года согласился с мнением суда первой инстанции и оставил без изменения решение Арбитражного суда Самарской области, а апелляционную жалобу Управления Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Самарской области - без удовлетворения.

Федеральный арбитражный суд Поволжского округа в июне 2011 года поддержал решения судов обеих инстанций.

Источник: Официальный сайт Высшего арбитражного суда
http://ras.arbitr.ru/