Среди требований к защите персональных данных (далее ПДн) есть требование их обязательного уничтожения по достижения целей обработки. К сожалению позиция Роскомнадзора и операторов ПДн по вопросу о том, когда цель обработки считается достигнутой часто расходится.
Арбитражный суд города Москвы в ноябре 2021 года рассмотрел дело №А40-163911/21-17-1229, в котором ПАО «Аэрофлот» оспаривал пять пунктов предписания, которое было выдано Управлением Роскомнадзора по Центральному федеральному округу после проведения проверки соблюдения обществом требования Федерального закона от 27.07.2006 №152-ФЗ «О персональных данных».
Суть спора
Управлением Роскомнадзора по Центральному федеральному округу в марте 2021 года была проведена плановая выездная проверка в отношении ПАО «Аэрофлот». По результатам проверки был составлен акт проверки о нарушении обществом федерального закона «О персональных данных» (всего 7 пунктов нарушений).
В целях устранения нарушений административным органом обществу было выдано предписание, согласно которому «Аэрофлотом» в том числе были нарушены требования ч. 4 ст. 21 закона «О персональных данных» в части несоблюдения установленных требований по уничтожению ПДн уволенных работников.
По мнению Роскомнадзора, был выявлен факт обработки ПДн уволенных государственных гражданских служащих после достижения цели обработки (увольнение, исполнение требований законов о бухгалтерском учете, о налоговом учете), уволенных свыше 5 лет на момент проверки. Этот факт подтверждался снимками экрана информационной системы «SAP», в том числе отображающими карточку уволенного работника (п.3 Предписания).
Считая свои права нарушенными, «Аэрофлот» обратился в Арбитражный суд города Москвы с заявлением к Управлению Роскомнадзора по ЦФО о признании недействительным указанного предписания в части пунктов 3-7.
Позиция Арбитражного суда города Москвы
Суд отметил, что после достижения цели обработки персональных данных оператор обязан их уничтожить. При этом какой-либо конкретный срок для уничтожения данных (пять лет или иной) законом не установлен. По мнению Роскомнадзора, увольнение работника свидетельствует о достижении цели обработки ПДн. Однако данное утверждение не соответствует закону.
Для справки: Согласно ч. 4 ст. 21 Федерального закона от 27.07.2006 №152-ФЗ «О персональных данных» в случае достижения цели обработки персональных данных оператор обязан прекратить обработку персональных данных или обеспечить ее прекращение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) и уничтожить персональные данные или обеспечить их уничтожение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) в срок, не превышающий тридцати дней с даты достижения цели обработки персональных данных, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, иным соглашением между оператором и субъектом персональных данных либо если оператор не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных настоящим Федеральным законом или другими федеральными законами.
Суд отметил, что из буквального толкования ч. 4 ст. 21 закона «О персональных данных» следует, что в случае если оператор вправе осуществлять обработку персональных данных без согласия субъекта по основаниям, предусмотренным указанным федеральным законом или иными федеральными законами, их обработка может осуществляться оператором после достижения цели обработки.
Суд отметил, что нормы федерального закона предусматривают возможность обработки ПДн, в том числе работников, как с использованием средств автоматизации или без использования таких средств (ст. 3).
В этой связи, по мнению суда, «Аэрофлот» вправе обрабатывать персональные данные работников с использованием средств автоматизации (ИСПДн SAP ERP).
«Аэрофлотом» персональные данные уволенных работников обрабатываются в информационной системе SАР в целях исполнения требований законодательства по обработке запросов органов Пенсионного фонда Российской Федерации в отношении уволенных работников для обеспечения их прав, а также обеспечения сохранности ПДн в пределах нормативно установленных сроков их хранения.
Одной из целей обработки ПДн в данном случае являются: соблюдение пенсионного законодательства в части предоставления сведений индивидуального (персонифицированного) учета в ПФР (сведения о застрахованных лицах по форме СЗВ-М и сведения о страховом стаже застрахованных лиц по форме СЗВ-СТАЖ).
Данная информация предоставлялась ответчику в ходе проведения проверки (справка о порядке обработки персональных данных уволенных работников в департаменте бухгалтерского учета (ДБУ).
Кроме того, суд учел, что общество с помощью данных кадровой системы обрабатывает запросы от органов Пенсионного фонда РФ при назначении пенсий работникам общества, в том числе бывшим.
Периоды, которые затрагивают запросы органов Пенсионного фонда РФ, могут быть любыми, в том числе свыше 5 лет с момента увольнения. Работники могут быть как действующие, так и давно уволенные. Перечень подобных запросов на примере 8 месяцев 2021 года был представлен заявителем в материалы настоящего дела.
В этой связи персональные данные уволенных работников обрабатываются в ИС SAP в целях исполнения требований законодательства по предоставлению запрашиваемой ПФР информации и обеспечения прав уволенных работников. При этом обработка персональных данных уволенных работников осуществляется в соответствии с требованиями приказа Росархива от 20.12.2019 №236 и приказа Росархива от 20.12.2019 №237.
Приказом Росархива от 20.12.2019 №236 был утвержден «Перечень типовых управленческих архивных документов, образующихся в процессе деятельности государственных органов, органов местного самоуправления и организаций, с указанием сроков их хранения (Перечень)».
В Перечне документы/сведения кадрового обеспечения (то есть приказы/распоряжения по личному составу, документы (докладные записки, справки, заявления) к ним о приеме, переводе, перемещении, ротации, совмещении, совместительстве, увольнении, оплате труда, аттестации, повышении квалификации, присвоении классных чинов, разрядов, званий, поощрении, награждении, об изменении анкетно-биографических данных, отпусках по уходу за ребенком, отпусках без сохранения заработной платы; личные карточки работников, в том числе государственных и муниципальных служащих) подлежат хранению в организации в течение 50/75 лет (строки 434, 444 таблицы раздела II Перечня), что исключает их уничтожение ранее установленного срока.
Согласно п. 4 раздела II Перечня также установлены сроки хранения персональных данных уволенных работников, содержащихся в учётных документах, значительно превышающие пятилетний срок (до 50/75 лет).
Приказом Росархива от 20.12.2019 №237 была утверждена «Инструкция по применению Перечня типовых управленческих архивных документов, образующихся в процессе деятельности государственных органов, органов местного самоуправления и организаций, с указанием сроков их хранения» (Инструкция).
В соответствии с п. 4.3 Инструкции сроки временного хранения документов (1 год, 3 года, 5 лет, 6 лет, 10 лет, 15 лет, 45 лет, 50 лет и 75 лет), установленные Перечнем, должны соблюдаться всеми организациями независимо от их организационно-правовых форм и форм собственности. После истечения сроков временного хранения документы подлежат уничтожению. Уничтожение документов до истечения сроков их временного хранения запрещается.
Суд подчеркнул, что данными документами прямо предусмотрен запрет на уничтожение документов до истечения сроков их временного хранения (п. 4.3 Инструкции).
По мнению суда, доводы административного органа о том, что требования приказа Росархива от 20.12.2019 №236 распространяются на документы, переведенные в статус архивных в соответствии с законодательством РФ об архивном деле, отклоняются судом как несостоятельные, поскольку в законодательстве РФ отсутствует такое понятие, как «документ, переведенный в статус архивного»; установленные приказом Росархива от сроки хранения документов применяются в силу самого факта наличия того или иного документа в перечне документов, утвержденных данных приказом, а не в силу признания документа архивным.
Суд согласился с позицией ПАО «Аэрофлот» о том, что если документ подпадает под перечень, то организацией должна быть обеспечена его сохранность независимо от процедур перевода документа на архивное хранение.
По мнению суда, обработка персональных данных уволенных работников в ИС SAP отвечает целям обработки и срокам хранения, которые регламентированы законодательно.
Суд также учел, что приказом Минфина России от 16.04.2021 №62н утвержден Федеральный стандарт бухгалтерского учета ФСБУ 27/2021 «Документы и документооборот в бухгалтерском учете». Согласно разделу IV данного ФСБУ (п. 23) экономический субъект должен хранить подлинники документов бухгалтерского учета, составленных на бумажном носителе и (или) в виде электронного документа, за исключением случаев, установленных законодательством Российской Федерации.
Документы бухгалтерского учета должны храниться в том виде, в котором они были составлены (п. 24 ФСБУ 27/2021). Таким образом, если документ был составлен на бумажном носителе и в электронном виде, он должен храниться в обоих случаях.
Таким образом, хранение документов, в том числе архивное хранение, может осуществляться не только в бумажном, но и в электронном виде. При этом персональные данные уволенных работников, содержащиеся в документах, подлежащих архивному хранению, должны сохраняться в течение нормативно установленных сроков хранения документов и сведений.
Суд признал недействительным пункт 3 предписания Управления Роскомнадзора по ЦФО об устранении выявленного нарушения.
Девятый арбитражный апелляционный суд в феврале 2022 года оставил без изменения решение Арбитражного суда г. Москвы по данному вопросов, а апелляционную жалобу - без удовлетворения.
Арбитражный суд Московского округа в мае 2022 года оставил без изменения решение Арбитражного суда города Москвы, постановление Девятого арбитражного апелляционного суда, а кассационную жалобу Управления Роскомнадзора по ЦФО – без удовлетворения.
Мой комментарий: О других претензиях Роскомнадзора к ПАО «Аэрофлот» и их оценке судами расскажу в следующем посте.
Источник: Официальный сайт Верховного Суда Российской Федерации / Электронное правосудие по экономическим спорам
http://www.arbitr.ru/
Комментариев нет:
Отправить комментарий