В законодательстве о персональных данных существует несколько «серых зон», которые регулярно становятся предметом судебных споров и разбирательств. При проведении проверок Роскомнадзором организациям достаточно часто предъявляются претензии в связи с обработкой специальных категорий персональных данных (ПДн) без письменного согласия их субъектов.
Арбитражный суд Ростовской области в августе 2013 года рассмотрел дело № А53-13327/13, в котором филиал ЗАО «Банк Русский Стандарт» пытался оспорить предписание Управления Роскомнадзора по Ростовской области, выданное после проведения плановой выездной проверки.
Суть спора
В апреле 2013 года Управлением была проведена плановая выездная проверка филиала ЗАО «Банк Русский Стандарт» в г. Ростов-на-Дону. В ходе проверки было установлено, что филиал банка без письменного согласия субъектов персональных данных или иного законного основания обрабатывает специальную категорию ПДн - национальность, указанную в копиях свидетельства о заключении брака, свидетельства о рождении ребенка.
Управление выдало банку предписание об устранении выявленных нарушений. Не согласившись с вынесенным предписанием, банк оспорил его в судебном порядке.
Позиция Арбитражного суда Ростовской области
По мнению суда, информация, касающаяся конкретного работника, полученная от него самого и, необходимая работодателю в связи с трудовыми отношениями, может быть получена и, следовательно, обработана в целях обеспечения соблюдения законов и иных нормативных правовых актов в том объеме, в каком это не противоречит Конституции РФ, Трудовому кодексу РФ и иным федеральным законам.
По мнению суда, персональные данные, содержащиеся в представленных работниками паспортах и военных билетах, становятся доступными работодателю и обрабатывается им на основании Трудового кодекса РФ.
Суд отметил, что заполнение работодателем унифицированной формы первичной учетной документации по учету труда и его оплаты № Т-2 является отнюдь не единственной целью обработки содержащихся в паспортах и военных билетах персональных данных работника.
Суд признал, что хранение в личных делах сотрудников банка копий паспортов и военных билетов, содержащих персональные данные работников, осуществляется филиалом банка во исполнение требований действующего законодательства по обеспечению актуализации сведений кадрового и воинского учетов.
Приказом от 8 июня 2012 года № 1608 в банке был утвержден локальный нормативный акт - Положение о защите персональных данных работников ЗАО «Банк Русский Стандарт», в соответствии с которым в филиалах банка хранение персональных данных (ПДн) работников в период их работы в банке осуществляется службой персонала в делах, находящихся в помещении Отдела документарного учета информационного обеспечения службы персонала в оборудованных для этих целей помещениях и в железных закрываемых шкафах, обеспечивающих защиту от несанкционированного доступа, а также в электронном виде в информационной системе персональных данных (ИСПДн).
Ограничение доступа к ИСПДн обеспечивается с использованием средств защиты от несанкционированного доступа и копирования.
После прекращения трудовых отношений дело дополняется соответствующими документами - заявлением работника о расторжении трудового договора, копией/выпиской из приказа (распоряжения) о прекращении (расторжении) трудового договора с работником (увольнении работника), иными необходимыми документами.
Приказом от 6 июня 2012 года № 1943/1 в банке был утвержден локальный нормативный акт - Положение об организации работы с персональными данными в ЗАО «Банк Русский Стандарт», в соответствии с которым целью обработки ПДн в банке является, в том числе, обеспечение соблюдения Конституции РФ, законов и иных нормативно правовых актов, а также содействие работникам в трудоустройстве, обучении и продвижении по службе.
Суд отметил, что банком, в соответствии с требованиями Трудового кодекса РФ, издан и действует локальный нормативный акт, регулирующий порядок хранения и использования персональных данных работников. Каждый работник банка подлежит ознакомлению под роспись с документами банка, устанавливающими порядок обработки и защиты их ПДн, а также их права и обязанности.
Получение филиалом банка, являющимся страхователем, копий свидетельств о рождении, о заключении брака в целях назначения и выплаты работникам государственных пособий, предусмотренных законодательством об обязательном социальном страховании, связано с необходимостью исполнения требований указанного законодательства, а представление необходимых документов филиалу банка работниками основано на волеизъявлении последних.
Учитывая, что действующим законодательством предусмотрена обязанность застрахованных лиц представить работодателю копии указанных свидетельств для назначения и выплаты им государственных пособий, гражданин при принятии решения о раскрытии сведений о национальной принадлежности в получаемых им свидетельствах осознает, что указанные сведения в дальнейшем могут стать известными третьим лицам, а именно - работодателю и органам обязательного социального страхования.
Суд согласился с доводами представителя банка о том, что оспариваемое предписание незаконно возлагает на банк обязанности, не предусмотренные законами, создает препятствия в реализации прав и обязанностей банка, как оператора персональных данных, а также как субъекта обязательного социального страхования.
Судом также было установлено, что в Положении банка о ПДн содержатся нормы, необходимые для соблюдения требований п.13 Положения Правительства РФ, а именно:
- Персональные данные физических лиц, состоящих в договорных отношениях с банком, содержатся в анкетах, заявлениях, договорах, документах, относящихся к исполнению данных договоров и других документах, а также в информационной системе персональных данных банка;
- Персональные данные физических лиц, состоящих в договорных (гражданско-правовых) отношениях с банком, хранятся в подразделениях банка, которые отвечают за взаимодействие с указанными субъектами, а также в электронном виде в информационной системе персональных данных банка.
Кроме этого, судом также установлено, что в отношении всех выявленных сотрудников имеется письменное согласие на обработку ПДн, в котором указаны требования к их сохранности и должностное лицо, ответственное за их сохранность.
Арбитражный суд признал недействительным предписание Управления Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Ростовской области, выданное ЗАО «Банк Русский Стандарт».
Позиция Пятнадцатого арбитражного апелляционного суда
Пятнадцатый арбитражный апелляционный суд в декабре 2013 года отметил, что банк не предоставил лицам, уполномоченным на проведение проверки, сведения о том, какими положениями Конституции РФ, Трудового кодекса РФ и иных федеральных законов он руководствовался при определении объема и содержания обрабатываемых персональных данных, в частности, работника Б. при сборе и дальнейшем хранении копий страниц его паспорта и копий страниц его военного билета.
Апелляционный суд отметил, что хранение и дальнейшее использование копий паспортов и военных билетов, полученных у работника при заключении трудового договора, не только не обеспечивает точность и актуальность персональных данных, а, наоборот, может привести к использованию недостоверных сведений. Только сам паспорт, военный билет или другой документ, имеющие определенный вид, состояние, отметки и записи является источником достоверной и актуальной информации.
Используя в качестве источников информации полученные ранее копии документов, банк не учитывает реальное состояние документов, что не обеспечивает точность персональных данных, их достаточность, а в необходимых случаях и актуальность по отношению к целям их обработки.
В качестве основания обработки национальности работника, указанную в копии свидетельства о рождении ребенка, банк ссылался на ч. 2 ст. 10 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»: п. 2.3 - обработка персональных данных осуществляется в соответствии с законодательством о государственной социальной помощи, трудовым законодательством, законодательством РФ о пенсиях по государственному пенсионному обеспечению, о трудовых пенсиях; п. 8 - обработка персональных данных осуществляется в соответствии с законодательством об обязательных видах страхования, со страховым законодательством.
Суд отметил, что сотрудник, о персональных данных которого шла речь в судебных разбирательствах, при приеме на работу в банк в феврале 2013 года представил в отдел кадров свидетельство о рождении дочери. На момент приема сотрудника на работу ребенку было более 5 лет.
Суд отметил, что работник на момент проведения проверки не мог получать на дочь государственные пособия, и на этом основании сделал вывод о том, что банк хранил в личном деле копию свидетельства о рождении не в целях выполнения законодательства об обязательных видах страхования или страхового законодательства, и, следовательно, у банка отсутствовало основание для обработки специальной категории персональных данных – национальности, указанной в копии свидетельства.
Кроме свидетельства о рождении ребенка, национальность работника содержится и в копии свидетельства о браке, также хранящейся в кадровых документах. При проведении проверки и в ходе рассмотрения дела в суде банк не предоставил каких-либо правовых оснований для обработки специальной категории персональных данных - национальности.
По мнению суда, у банка не было правовых оснований для хранения копий страниц паспорта, копий страниц военного билета работника и не было правовых оснований для обработки специальной категории персональных данных - его национальности.
Арбитражный суд отменил решение Арбитражного суда Ростовской области и отказал банку в удовлетворении заявленных требований отказать.
Позиция Федерального арбитражного суда Северо-Кавказского округа.
При рассмотрении дела в Федеральном арбитражном суде Северо-Кавказского округа в апреле 2014 года представитель управления пояснил (и это отражено также в отзыве на кассационную жалобу), что по результатам внеплановой проверки банка в период с в июле 2013 года был установлен факт изъятия и уничтожения банком из документов по кадровому учету работников копий паспортов, копий военных билетов, копий свидетельств о рождении детей, копий свидетельств о браке сотрудников.
Мой комментарий: Кассационные жалобы были поданы не только банком, но и тем сотрудником, из-за копий документов которого и разгорелся весь «сыр-бор».
Суд отметил, что сотрудник банка в своей кассационной жалобе фактически поддержал позицию банка, о том, что банк вправе хранить копии паспортов, военных билетов, свидетельств о браке и свидетельств о рождении детей сотрудников банка. Его кассационная жалоба повторяла довод банка о том, что он дал добровольное согласие на хранение банком копий данных документов.
В кассационной жалобе сотрудник указывал на возможное возникновение у него проблем с получением налоговых вычетов, в том числе стандартного налогового вычета, в соответствии со статьей 218 Налогового кодекса РФ, предусматривающей документальное обоснование такого права, в частности, копией свидетельства о рождении ребенка; а также высказал опасение об утрате возможности получения больничного листа по уходу за ребенком, не достигшим 7-летнего, 14-летнего возраста, поскольку для реализации этого права Федеральным законом от 29.12.2006 № 255-ФЗ «Об обязательном социальном страховании на случай временной нетрудоспособности и в связи с материнством» предусмотрено предоставление копии свидетельства о браке и свидетельства о рождении ребенка.
По мнению суда, изложенные в кассационной жалобе сотрудника доводы являются предположениями и не подтверждены документально. Кроме того, соблюдение банком требований Закона № 152-ФЗ не может являться препятствием к обеспечению сотрудникам социальных гарантий, установленных законодательством РФ.
Доводы кассационной жалобы сотрудника о том, что он осознанно и добровольно передал банку на хранение копии паспорта, военного билета, свидетельства о браке и свидетельства о рождении ребенка повторяют доводы банка и не являются основанием для вывода о незаконности предписания управления об устранении банком нарушений.
Суд кассационной инстанции согласился с выводом суда апелляционной инстанции о том, что для идентификации личности при приеме на работу достаточно фамилии, имени и отчества, при условии предъявления лицом документа, удостоверяющего личность, в котором содержатся все необходимые сведения. Хранение копий паспорта, страниц военного билета, свидетельства о заключении брака, свидетельства о рождении ребенка на рабочем месте превышает объем обрабатываемых персональных данных работника, действующим законодательством не предусмотрено, нарушает права и свободы гражданина, снижает уровень прав и гарантий работника, противоречит федеральному законодательству.
Федеральный арбитражный суд Северо-Кавказского округа оставил без изменения постановление Пятнадцатого арбитражного апелляционного суда, а кассационные жалобы – без удовлетворения.
Источник: Официальный сайт Верховного Суда Российской Федерации / Электронное правосудие по экономическим спорам
http://www.arbitr.ru/
Комментариев нет:
Отправить комментарий