суббота, 6 апреля 2019 г.

Судебная практика: Обработка персональных данных работников в информационных системах третьих лиц


Я уже неоднократно убеждалась, что значительная часть судебных споров граждан по вопросу доступа к их персональным данным связана с трудовыми спорами.

Судебная коллегия по административным делам Санкт-Петербургского городского суда в ноябре 2018 года вынесла решение по делу № 2а-2898/2018 (апелляционное определение № 33а-25520/2018), в котором гражданин оспаривал бездействие Управления Роскомнадзора по Северо-Западному Федеральному округу, которое не помогло ему получить запрошенные в коммерческой организации данные.

Суть спора

Гражданин с февраля по октябрь 2017 года работал в ООО «Альтер Эго». В процессе осуществления трудовых обязанностей и организации рабочего процесса им использовалась CRM-система «Мегаплан», которая представлялась и обслуживалась ООО «Мегаплан». При использовании системы оператор производит в ней обработку персональных данных пользователей.

В январе 2018 года гражданин направил в ООО «Мегаплан» запрос о предоставлении сведений, касающихся обработки его персональных данных, на который поступил ответ о том, что запрашиваемые данные могут быть предоставлены только по судебному запросу, поскольку они относятся к конфиденциальным сведениям. В связи с этим гражданин обратился в Управление Роскомнадзора с жалобой на действия общества по непредставлению сведений, касающихся обработки его персональных данных.

Управлением обращение гражданина было рассмотрено и разъяснено, что запрос, направленный в общество, не соответствует требованиям законодательства в области персональных данных. По мнению гражданина, Управлением при рассмотрении жалобы были нарушены нормы федерального закона от 27 июля 2006 года № 152-ФЗ «О персональных данных», Приказ Роскомнадзора от 25 января 2016 года № 43, поскольку не обеспечено объективное, всестороннее рассмотрение обращения, не приняты меры, направленные на восстановление или защиту нарушенных прав; направленный в общество запрос соответствует требованиям части 7 статьи 14 федерального закона от 27 июля 2006 года № 152-ФЗ «О персональных данных».

Гражданин обратился в суд.

Позиция Октябрьского районного суда Санкт-Петербурга

Гражданин обратился в ООО «Мегаплан» с заявлением, в котором просил представить ему для последующего предоставления в суд в качестве доказательств по трудовому спору следующие сведения:
  • IP-адрес, с которого производился вход им в CRM-систему 4 октября 2017 года;

  • Время, в течение которого он находился в сети CRM-системы 04 октября 2017 года;

  • Список всех лиц, указанных как сотрудники, руководство и иных, являющихся пользователями профиля ООО «Альтер Эго» системы на 4 октября 2017 года;

  • Список пользователей-сотрудников ООО «Альтер Эго», осуществляющих вход в систему на 4 октября 2017 года, с указанием времени нахождения в сети, а также их IP-адреса, с которых осуществлялся вход;

  • Дату и время, с которого был заблокирован его доступ к профилю ООО «Альтер Эго» в системе и он был он исключен из числа пользователей.
Общество сообщило гражданину о том, что запрошенные им сведения относятся к конфиденциальным сведениям в рамках договора, заключенного с клиентом, и могут быть предоставлены по запросу судебных органов.

В марте 2018 года гражданин обратился в Управление Роскомнадзора с жалобой на действия общества по непредставлению сведений, касающихся обработки его персональных данных, в которой просил истребовать их, в том числе из ООО "Мегаплан":
  • Список всех «Задач», «Задач-согласований», «Дел», комментариев и иных, имеющихся функций системы, которые были сделаны, созданы или в которых он принимал участие, с предоставлением всей содержащейся в них информации за весь его период работы;

  • Всю имеющуюся его переписку в системе.
Также гражданин просил провести проверку действий общества по непредоставлению сведений, касающихся обработки его персональных данных, и привлечь ответственных лиц к ответственности в случае выявления нарушений действующего законодательства.

Письмом Управления гражданину было разъяснено, что Управление не наделено полномочиями на проведение оперативно-розыскных мероприятий, в том числе в части истребования сведений об «IP-адресах подключения», «наименованиях и типах устройств, через которые выполнялся вход»; сведениях об «IP-адресах подключения», «наименованиях и типах устройств, через которые выполнялся вход» без дополнительных данных, позволяющих идентифицировать личность, персональными данными не являются; запросы, направленные гражданином в ООО «КАДИС» и ООО «Мегаплан», не отвечают требованиям части 7 статьи 14 федерального закона N 152-ФЗ от 27 июля 2006 года «О персональных данных».

Суд первой инстанции пришел к выводу о том, что Управлением Роскомнадзора обращение гражданина было рассмотрено в установленном законом порядке.

Решением Октябрьского районного суда Санкт-Петербурга в августе 2018 года в удовлетворении административного искового заявления было отказано.

Позиция Судебной коллегии по административным делам Санкт-Петербургского городского суда

Суд отметил, что субъект персональных данных имеет право на получение информации, касающейся обработки его персональных данных. При этом право субъекта ПДн на доступ к его персональным данным может быть ограничено, если доступ субъекта ПДн к его персональным данным нарушает права и законные интересы третьих лиц.

В заявлении гражданин просил представить ему информацию о персональных данных третьих лиц.

ООО «Мегаплан» является правообладателем программного обеспечения «Мегаплан», которое предоставляет собой CRM-систему. Клиенты приобретают права на пользование программным обеспечением и используют его как инструмент для работы на основании лицензионных договоров.

24 января 2017 года между ООО «Мегаплан» и ООО «Альтер Эго» был заключен договор-оферта на приобретение доступа к программному обеспечению, условия которого являются конфиденциальными.

Суд также обратил внимание на то, что, обращаясь в Управление Роскомнадзора с жалобой на действия общества, гражданин просил истребовать иную информацию, чем была изложена в его обращении в само общество, что не входит в полномочия Управления.

Судебная коллегия пришла к выводу, что на заявление гражданина ответ дан надлежащим должностным лицом в пределах его компетенции в установленные законом сроки, ответ мотивирован, дан по существу поставленных в обращении вопросов. Содержание ответа требованиям законодательства не противоречит, препятствий к осуществлению прав и свобод заявителя не установлено.

Судебная коллегия оставила без изменения решение Октябрьского районного суда Санкт-Петербурга, а апелляционную жалобу гражданина - без удовлетворения.

Мой комментарий: Хочу обратить внимание на важный момент: отказывая гражданину в предоставлении конфиденциальной информации, общество сообщило, что может выдать данные сведения по запросу суда. Печально, что гражданин не воспользовался этим. Ведь если он оспаривал в суде действия своего работодателя, то суд, при наличии соответствующего обоснования, мог бы спокойно это сделать.

Источник: Консультант Плюс
http://www.consultant.ru/cons/cgi/online.cgi?req=doc;base=SARB;n=136034

Комментариев нет:

Отправить комментарий