Арбитражная практика: Хранение персональных данных и архивное законодательство

Одним из моих давних увлечений является «коллекционирование» судебных кейсов, связанных с делопроизводством и архивным делом. Коллеги об этом знают, и время от времени подбрасывают самые, на их взгляд, интересные из них мне в копилку. Данное дело попало ко мне в руки благодаря Михаилу Емельянникову ( https://www.facebook.com/profile.php?id=100002332926268 )

Арбитражный суд в города Москвы рассмотрел дело № А40-7530/18-139-40 в марте 2017 года, в котором ООО «Пфайзер» оспаривало предписание Управления Роскомнадзора по ЦФО, в том числе оформление письменных согласий работников на передачу их персональных данных третьим лицам, в том числе организации, осуществлявшей хранение документов общества, включая документы, относящиеся к уволенным сотрудникам.

Суть спора

В соответствии с приказом Управления Роскомнадзора по ЦФО в августе-сентябре 2017 года, в отношении общества была проведена плановая выездная проверка.

При проведении Управлением проверки в деятельности общества были выявлены следующие нарушения:

• Общество при передаче данных третьим лицам использовало письменное согласие работника, не соответствующее требованиям ч.4 ст.9 федерального закона от 27.07.2006 №152-ФЗ «О персональных данных»;


• Обществом были нарушены требования ст.88 Трудового Кодекса РФ ввиду осуществления передачи персональных данных работников третьим лицам на основании письменного согласия работников, не соответствующего требованиям ч.4 ст.9 федерального закона от 27.07.2006 №152-ФЗ и др.

Для справки: Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»

Статья 9. Согласие субъекта персональных данных на обработку его персональных данных

4. В случаях, предусмотренных федеральным законом, обработка персональных данных осуществляется только с согласия в письменной форме субъекта персональных данных. Равнозначным содержащему собственноручную подпись субъекта персональных данных согласию в письменной форме на бумажном носителе признается согласие в форме электронного документа, подписанного в соответствии с федеральным законом электронной подписью.

По результатам проверки в отношении общества было вынесено предписание, которым было указано на необходимость устранить выявленные в ходе проверки нарушения.

Общество, не согласившись с процедурой проведения проверки (продления срока проведения проверки), с вынесенным предписанием, и полагая, что указанное предписание нарушает его права и экономические интересы, обжаловало его в арбитражном суде.

Позиция Арбитражного суда в города Москвы

В качестве подтверждения использования согласия на передачу персональных данных третьим лицам обществом при проведении проверки было представлено согласие одного из сотрудников на передачу персональных данных третьим лицам. Анализ этого документа выявил:

• Отсутствие фамилии, имени, отчества, адреса субъекта персональных данных, номера основного документа, удостоверяющего его личность, сведений о дате выдачи указанного документа и выдавшем его органе;


• Отсутствие наименования и адреса оператора, получающего согласие субъекта персональных данных;


• Указание нескольких целей обработки персональных данных;


• Перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых оператором способов обработки персональных данных.

Суд отметил, что выводы Роскомнадзора о нарушениях основывались исключительно на документах, представленных заявителем в ходе проверки.

В ходе проведения проверки было установлено, что в целях выполнения требований законодательства Российской Федерации в части хранения личных дел уволенных сотрудников обществом была организована передача личных дел уволенных работников на хранение обществу ООО «Айрон Маунтен СНГ». Передача осуществлялась на основании договора, заключенного в декабре 2013 года между обществом и ООО «Айрон Маунтен СНГ».

Предметом договора является оказание услуг по хранению документов, а также другие услуги (например, уничтожение).

Общество указывало, что передача персональных данных третьему лицу осуществляется с письменного согласия работника. По мнению общества, оно не нарушало ч.1 и 3 ст.6 федерального закона «О персональных данных» в связи с тем, что его сотрудники давали согласие на передачу персональных данных в архив общества. Оно ссылалось на то, что архивное хранение его документов осуществляет ООО «Айрон Маунтен СНГ», в связи с тем, что общество не имеет соответствующих помещений.

Суд подчеркнул, что в соответствии с ч.2 ст.1 федерального закона «О персональных данных» действие закона не распространяется на отношения по организации хранения, комплектования, учета и использования содержащих персональные данные документов Архивного фонда РФ и других архивных документов в соответствии с законодательством об архивном деле в Российской Федерации.

По мнению суда, законодательство об архивном деле содержит требование и возможность хранения различных документов организациями всех форм собственности. После архивирования документа, то есть передачи его на архивное хранение, в действие вступает законодательство об архивном деле.

Относительно хранения документов следует отметить, что хранение архивных документов в соответствующих архивах предусматривает определенный режим, особенности которого предусмотрены законодательством об архивном деле. Так, архивному документу присваиваются реквизиты, позволяющие идентифицировать информацию, зафиксированную на материальном носителе в соответствии с государственным стандартом Российской Федерации ГОСТ Р 51141-98.

Документ становится архивным только после принятия собственником (владельцем) документа решения о передаче его в архив в связи с закрытием дела, то есть в связи с тем, что данный документ окончательно исполнен (например, трудовой договор, иные договоры об оказании услуг и т.п.) и в процессе текущей хозяйственной деятельности организации более не пригодится.

Мой комментарий: В данном случае суд лукавит и выдает желаемое за действительное. В законодательстве нет четких указаний на то, когда документ становится архивным документом.

Суд отметил, что при проведении проверки комиссии не были представлены материалы, подтверждающие, что соблюдены установленные архивным законодательством требования, а также доказательства того, что личные дела сотрудников передавались на архивное хранение.

По мнению Управления Роскомнадзора, принимаемый на работу работник общества дает свое согласие на обработку его персональных данных. Указанное согласие распространяется исключительно на правоотношения в рамках трудовых отношений в течение срока действия трудового договора, т.е. на период, когда физическое лицо является работником общества. После прекращения трудовых отношений физическое лицо автоматически перестает быть работником общества, и, следовательно, его согласие, данное как работником в период исполнения им трудовых обязанностей, теряет свою юридическую силу.

В соответствии с ч.3 ст.6 Закона о персональных данных, передача персональных данных третьему лицу в рамках договора-поручения осуществляется при наличии двух основных условий: согласия физического лица и договора оператора с третьим лицом.

Соответственно, при передаче в рамках договора-поручения персональных данных уволенных сотрудников общество ввиду неприменимости согласия указанных лиц, данного на период трудовых отношений, обязан был получить их дополнительное согласие в соответствии с требованиями п.1 ч.1 ст.6 федерального закона «О персональных данных». Однако указанное требование обществом не было выполнено, кроме того, в ходе проверки не были представлены материалы, подтверждающие наличие правовых оснований на осуществление передачи персональных данных уволенных сотрудников обществу «Айрон Маунтин».

По мнению общества, оно вправе обрабатывать персональные данные без согласия уволенных сотрудников в целях исполнения налогового законодательства и законодательства о бухгалтерском учете. По его мнению, налоговое законодательство и законодательство о бухгалтерском учете содержит требование о том, что организации обязаны хранить документацию в течение установленных сроков:

• В соответствии с пп.6 п.3.4 ст.23 Налогового Кодекса РФ плательщики страховых взносов обязаны в течение шести лет обеспечивать сохранность документов, необходимых для исчисления и уплаты страховых взносов;


• Согласно пп.5 п.3 ст.24 Налогового Кодекса РФ налоговые агенты обязаны в течение четырех лет обеспечивать сохранность документов, необходимых для исчисления, удержания и перечисления налогов;


• На основании ст.29 федерального закона от 06.12.2011 №402-ФЗ «О бухгалтерском учете» первичные учетные документы, регистры бухгалтерского учета, бухгалтерская (финансовая) отчетность, аудиторские заключения о ней подлежат хранению экономическим субъектом в течение сроков, устанавливаемых в соответствии с правилами организации государственного архивного дела, но не менее пяти лет после отчетного года.

В соответствии с п.2 ч.1 ст.6 федерального закона «О персональных данных» обработка персональных данных допускается в случае, если она необходима для достижения целей, предусмотренных, в том числе законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей.

Роскомнадзор с этим не согласился. По его мнению, общество не учитывало тот факт, что обработка персональных данных осуществляется им не самостоятельно, а на основании поручения третьим лицом - ООО «АйронМаунтен СНГ».

В соответствии с ч.3 ст.6 федерального закона «О персональных данных», согласно которым оператор вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора. Положения налогового и бухгалтерского законодательства таких исключений не содержат, в связи с чем, поручение обработки персональных данных должно осуществляться в соответствие с общими требованиями.

Суд полностью поддержал позицию Роскомнадзора и отказал в полном объеме в удовлетворении заявленных требований ООО «Пфайзер».

Мой комментарий: У Роскомнадзора «каша в голове», а суд, к сожалению, поддержал его позицию, даже не попытавшись разобраться в ситуации :(

В качестве информации к размышлению отмечу, что обработка персональных данных работников проводится до достижения целей обработки. Какая цель обработки личных дел? Это, прежде всего, исполнение требований законодательства о труде, в том числе следующей нормы Трудового кодекса РФ:

Трудовой кодекс Российской Федерации

Статья 62. Выдача документов, связанных с работой, и их копий

По письменному заявлению работника работодатель обязан не позднее трех рабочих дней со дня подачи этого заявления выдать работнику трудовую книжку в целях его обязательного социального страхования (обеспечения), копии документов, связанных с работой (копии приказа о приеме на работу, приказов о переводах на другую работу, приказа об увольнении с работы; выписки из трудовой книжки; справки о заработной плате, о начисленных и фактически уплаченных страховых взносах на обязательное пенсионное страхование, о периоде работы у данного работодателя и другое). Копии документов, связанных с работой, должны быть заверены надлежащим образом и предоставляться работнику безвозмездно.

Это означает, что обработка персональных данных сотрудников продолжается и после их увольнения в целях защиты их пенсионных и социальных прав.

В апелляционной и кассационной инстанции дело не рассматривалось.

Источник: Официальный сайт Верховного Суда Российской Федерации / Электронное правосудие по экономическим спорам
http://www.arbitr.ru/