суббота, 27 декабря 2014 г.

Судебная практика: Уничтожение персональных данных заявителя после прекращения их обработки


Установленное законодательством «О персональных данных» требование об уничтожении персональных данных (ПДн) по достижении целей обработки создает для операторов персональных данных дополнительные сложности, поскольку регулятором до сих пор не разработана нормативно-методическая база, регламентирующая порядок уничтожения ПДн.

На практике эти вопросы возникают регулярно, в том числе и при рассмотрении судебных споров, которые чаще всего возникают по инициативе граждан, недовольных действиями операторов персональных данных. Граждане обращаются в суды за защитой своих прав как субъектов персональных данных.

Судебная коллегия по гражданским делам Санкт-Петербургского городского суда в июле 2013 года рассмотрела гражданское дело № 2-457/13 об обязании УФСБ РФ по Санкт-Петербургу и Ленинградской области устранить нарушения, допущенные при обработке персональных данных кандидата на военную службу в органах безопасности, в том числе нарушения порядка уничтожения персональных данных по достижении целей обработки (апелляционное определение № 33-8679/13).

Суть спора

Гражданка на протяжении нескольких лет изучала работу службы кадров УФСБ России по Санкт-Петербургу и Ленинградской области в качестве кандидата на военную службу. За указанный период времени она проходила текущие медосмотры, а также «прошла изучение на оперативных поручениях» (так в тексте апелляционного определения - Н.Х.), собеседования с руководством подразделения и с сотрудниками подразделения кадров. Гражданка также сдала отпечатки пальцев.

В связи с отсутствием каких-либо уведомлений, гражданка обратилась в УФСБ РФ по Санкт-Петербургу и Ленинградской области с заявлением о предоставлении информации о принятом в её отношении решении. Она просила направить по месту жительства письменное решение о согласовании или отказе в согласовании ее кандидатуры в качестве прошедшей изучение как кандидата на службу в органах безопасности.

В случае принятия отрицательного решения гражданка просила выслать ей по почте документы, сданные в отдел кадров УФСБ России по Санкт-Петербургу и Ленинградской области, содержащие персональные данные заявителя. При этом гражданка указала на то, что сведения, полученные УФСБ России по Санкт-Петербургу и Ленинградской области самостоятельно, она не запрашивает.

УФСБ России по Санкт-Петербургу и Ленинградской области ей было сообщено, что в соответствии с пунктом 5 статьи 34 федерального закона от 28 марта 1998 года № 53-ФЗ «О воинской обязанности и военной службе» ей отказано в приеме на военную службу по контракту, как не соответствующей установленным требованиям. Одновременно с этим заявителю было разъяснено, что в соответствии с пунктом 7 ст. 5 и пунктом 4 ст.21 федерального закона от 27 июля 2006 года № 152-ФЗ обработка персональных данных прекращена.

Указанные обстоятельства послужили поводом для обращения гражданки в суд с требованиями:
  • Признать незаконным решение УФСБ РФ по Санкт-Петербургу и Ленинградской области;

  • Обязать заинтересованное лицо устранить допущенные нарушения;

  • Получить письменное согласие гражданки на обработку персональных данных;

  • Уведомить о конкретной дате достижения цели обработки персональных данных;

  • Предоставить субъекту персональных данных информацию, касающуюся обработки персональных данных (то есть письменное решение об отказе в согласовании ее кандидатуры как кандидата на службу в органы безопасности);

  • Назначить лицо (лица), ответственное за организацию обработки персональных данных в УФСБ РФ по Санкт-Петербургу и Ленинградской области, обеспечить выполнение указанным лицом обязанностей;

  • Взыскать с УФСБ РФ по Санкт-Петербургу и Ленинградской области судебные расходы.
Позиция Дзержинского районного суда Санкт-Петербурга

Суд в марте 2013 года пришел к выводу об отсутствии со стороны УФСБ России по Санкт-Петербургу и Ленинградской области нарушений федерального закона от 27 июля 2006 года № 152-ФЗ «О персональных данных» при рассмотрении вопроса о приеме заявителя на военную службу по контракту в органы Федеральной службы безопасности.

Из ответа УФСБ по обращению гражданки  следует, что заявителю отказано в приеме на военную службу по контракту, то есть цель проверки персональных данных заинтересованным лицом была достигнута, в связи с чем в указанном письме заявителю разъяснено о прекращении обработки ее персональных данных.

Ответ был дан заявителю в установленный законом срок на основании решения аттестационной комиссии УФСБ, что подтверждается представленной в материалы дела выпиской из протокола комиссии.

В материалы дела также представлена надлежащим образом заверенная копия акта об уничтожении документальных материалов, содержащих персональные данные гражданки.

Суд не нашел оснований для наличия сомнений в достоверности представленного акта, поскольку каких-либо относимых и достаточных доказательств, подтверждающих недостоверность оспариваемого акта, гражданкой в материалы дела представлено не было, при этом ее доводы по существу сводились к предположениям.

Суд пришел к выводу об отсутствии в данном случае правовых оснований для удовлетворения требования гражданки об обязании УФСБ получить ее письменное согласие на обработку персональных данных.

Судом отметил, что субъект персональных данных согласие на обработку персональных данных может дать только добровольно, поэтому обязание УФСБ получить такое согласие в принудительном порядке являлось бы нарушением свободы личности гражданки, а также нарушением ее права на свободное распоряжение своими персональными данными.

УФСБ в материалы дела представлено согласие гражданки на обработку ее персональных данных, выраженное в письменном виде посредством подписания правил, установленных для поступающих на службу (работу) в ФСБ, в которых, в частности, отражено, что каждый кандидат, изъявивший желание служить (работать) в ФСБ РФ должен знать, что сообщаемые им сведения будут проверяться, в том числе с применением специальных методов и средств. Нежелание подписать указанный документ в соответствии с положениями, установленными в нем, рассматривается в качестве однозначного отказа от службы (работы) в органах безопасности.

Суд сделал вывод о том, что гражданке следует отказать в удовлетворении требования об обязании заинтересованного лица уведомить ее о конкретной дате достижения цели обработки персональных данных и о предоставлении информации (письменного решения об отказе в согласовании кандидатуры), поскольку в материалы дела предоставлена выписка из протокола заседания аттестационной комиссии Управления об отказе в приеме на военную службу. Тем самым дата принятия указанного решения и его содержание заявителю известны, копия данного документа была вручена представителю заявителя.

Требование об обязании УФСБ назначить лицо, ответственное за организацию обработки персональных данных и обеспечить выполнение им служебных обязанностей, также отклонено судом, поскольку УФСБ является самостоятельным юридическим лицом, вследствие чего право назначать на должности, определять круг обязанностей принадлежит руководителю указанной службы, а не суду, который не вправе вмешиваться в деятельность УФСБ.

Мой комментарий: Вот здесь суд лукавит. Назначение ответственного за организацию обработки персональных данных в организации не право, а обязанность оператора персональных данных. Анализ правоприменительной практики показывает, что, выявляя отсутствие ответственного за организацию обработки персональных данных при проведении проверок соблюдения законодательства «О персональных данных», Роскомнадзор тут же выписывает предписания об устранении требований законодательства.
Для справки: Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»

Статья 22.1. Лица, ответственные за организацию обработки персональных данных в организациях


1. Оператор, являющийся юридическим лицом, назначает лицо, ответственное за организацию обработки персональных данных.
Решением Дзержинского районного суда Санкт-Петербурга гражданке было отказано в удовлетворении требований заявления в полном объеме

Позиция Судебная коллегия по гражданским делам Санкт-Петербургского городского суда

В ходе рассмотрения дела в суде апелляционной инстанции оригинал акта об уничтожении документальных материалов, содержащих персональные данные гражданки, был предметом обозрения судебной коллегии. Акт полностью соответствовал копии, представленной в материалы дела.

УФСБ в материалы дела также были представлены сведения о том, что регистрация актов об уничтожении документальных материалов, содержащих персональные данные, в журналах учета нормативными документами органов ФСБ не предусмотрена, ведение журнала регистрации таких актов в соответствии с законом также не предусмотрено.

Гражданка в заявлении о фальсификации доказательств отметила неточности в оформлении акта. По мнению судебной коллегии, эти неточности не могут свидетельствовать о подложности данного документа, поскольку не влияют на его содержание и не свидетельствуют об искажении изложенной в нём информации.

Судебная коллегия также не согласилась с доводом гражданки о том, что, поскольку в акте не перечислены все документы, сданные ею в УФСБ, то нельзя говорить о том, что данные документы, в частности: 2 анкеты, 2 автобиографии, документы медицинских осмотров, справка формы 7, справка формы 9, характеристика с места работы, рекомендации, 2 фотографии, действительно были уничтожены.

Заявителем в материалы дела не было представлено каких-либо доказательств передачи в УФСБ РФ указанных документов, что могло бы свидетельствовать о ненадлежащем исполнении заинтересованным лицом обязанности по их уничтожению.

Судебная коллегия признала, что суд обоснованно принял во внимание представленный заинтересованным лицом акт об уничтожении документальных материалов, содержащих персональные данные гражданки, в качестве надлежащего доказательства по делу и - установил выполнение УФСБ РФ по Санкт-Петербургу и Ленинградской области в соответствии с законом требований об уничтожении персональных данных заявителя после прекращения их обработки.
Для справки: Согласно части 4 ст. 21 федерального закона от 27 июля 2006 года № 152-ФЗ, такой акт должен быть составлен заинтересованным лицом в срок, не превышающий тридцати дней с даты достижения цели обработки персональных данных, если иное не предусмотрено договором.
Судебная коллегия сравнила даты принятия  решения аттестационной комиссии об отказе в приеме на военную службу по контракту и акта об уничтожении персональных данных заявителя и пришла к выводу, что заинтересованным лицом в установленный законом срок были совершены действия по уничтожению персональных данных гражданки.

Судебная коллегия оставила без изменения решение Дзержинского районного суда Санкт-Петербурга, а апелляционную жалобу - без удовлетворения.

Источник: Консультант Плюс
http://base.consultant.ru/cons/cgi/online.cgi?req=doc;base=SOJ;n=665837

1 комментарий:

  1. Очень качественный и полезный пост, спасибо! Интересно, что дела рассматриваются в терминологии закона "О персональных данных", я делаю вывод, что закон востребован и работает!

    ОтветитьУдалить