Глава 3 Обзор судебной практики

Анализ судебной практики приводит к тому выводу, что работодатели очень часто нарушают требования Закона по обработке персональных данных.

Рассмотрим два распространенных примера привлечения судом к административной ответственности юридических лиц (работодателей) за нарушение правил обработки и хранения персональных данных.

В соответствии со ст. 6, п. 1 ст. 11 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных" обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных. Вместе с тем в результате проверки установлено, что в ООО "Мираж" согласие работников на обработку их персональных данных не получено.

Таким образом, в действиях ООО "Мираж" был выявлен состав административного правонарушения, предусмотренного ст. 13.11 КоАП РФ, то есть нарушение установленного законом порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных). Судом ООО "Мираж" был признан виновным в совершении административного правонарушения, предусмотренного ст. 13.11 КоАП РФ, и было назначено административное наказание в виде предупреждения (Постановление мирового судьи судебного участка N 12 Зуевского судебного района Кировской области от 8 апреля 2015 г. по делу N 5-199/15).

Следующий пример из судебной практики. ООО АНО ДПО "Учебный Центр Газ-Нефть" было привлечено к административной ответственности по ст. 13.11 КоАП РФ за отсутствие письменного согласия Тряскиной Н.Г. и Зотовой Ю.С. на передачу их персональных данных третьим лицам и их обработку. Таким образом, нарушен порядок сбора персональных данных Тряскиной Н.Г. и Зотовой Ю.С, которые в обязательном порядке должны быть ознакомлены под роспись с Положением "О разграничении прав доступа к обрабатываемым персональным данным в АНО "Учебный центр Газ-Нефть", а также дать свое согласие на обработку своих персональных данных (Постановление мирового судьи судебного участка N 8 судебного района г. Уфы Республики Башкортостан по делу N 5-203/2015).

В соответствии со ст. 86 ТК РФ обработка персональных данных может осуществляться работодателем лишь с целью обеспечения соблюдения нормативных правовых актов, содействия работникам в трудоустройстве, обучения и продвижения по службе, обеспечения личной безопасности работников, контроля количества и качества выполняемой работы и обеспечения сохранности имущества.

Нарушения могут быть и при назначении ответственного лица, которое осуществляет обработку данных в организации.

Согласно ч. 1 ст. 22.1 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных" оператор, являющийся юридическим лицом, назначает лицо, ответственное за организацию обработки персональных данных. Так, в нарушение п. 1 ч. 1 ст. 18.1, ч. 1 ст. 22.1 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных" в ООО "Ясмин" не назначен ответственный за организацию обработки персональных данных. Согласно п. 2 ч. 1 ст. 18.1 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных" оператор обязан принимать меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных законом и принятыми в соответствии с ним нормативными правовыми актами (Постановление мирового судьи Вологодской области по судебному участку N 9 по делу N 5-1303/2015г.).

В некоторых случаях суд может признать законность действий работодателя при обработке и защите персональных данных работника.

Так, в исковом заявлении Б.П. ссылался на то обстоятельство, что в период его работы у ответчика при разработке конструкторской документации на ряде документов, которые он не видел и не подписывал или с содержанием которых не был согласен, представители работодателя указали его фамилию.

В связи с чем он в докладной записке потребовал от работодателя удалить свою фамилию из всех конструкторских документов, которые он не подписывал или с содержанием которых не был согласен, однако работодатель никаких действий по защите персональных данных Б.П. не предпринял, чем нанес ему моральный вред.

Отказывая в удовлетворении исковых требований Б.П., суд указал, что использование работодателем персональных данных Б.П. в виде указания его фамилии в конструкторской документации было обусловлено выполнением им трудовых обязанностей и было осуществлено в соответствии с должностной инструкцией Б.П. и действующими нормами трудового права.

Суд при этом отметил, что каких-либо доказательств того, что документы, в которых была указана фамилия истца, не относились к области его трудовых обязанностей, в материалах дела не имеется (Решение судебной коллегии по гражданским делам Санкт-Петербургского городского суда от 26 января 2012 г. по делу N 33-712/2012).

При хранении материальных носителей должны соблюдаться условия, обеспечивающие сохранность персональных данных и исключающие несанкционированный к ним доступ.

Исходя из толкования ст. 90 ТК РФ в совокупности со ст. 237 ТК РФ следует, что в результате незаконного распространения информации о персональных данных работника последнему может быть причинен моральный вред, подлежащий возмещению работодателем.

Так, Апелляционным определением Верховного Суда Республики Саха (Якутия) от 23 октября 2013 г. по делу N 33-4172/13 было установлено незаконное бездействие акционерной компании "АЛРОСА", выразившееся в нарушении норм защиты персональных данных работника Д. при их получении и обработке, содержавшихся в дополнительном соглашении б/н от 30 апреля 2008 г. к трудовому договору. При таких обстоятельствах, вопреки выводам суда первой инстанции, распечатка с интернет-сайта и протокол осмотра с участием нотариуса указывают на неправомерное использование третьими лицами персональных данных работника, находившихся, кроме истца, только у работодателя. Таким образом, акционерная компания "АЛРОСА" (ОАО) нарушила действующее законодательство по защите персональных данных работника.

В соответствии с п. 4 ст. 86 ТК РФ работодатель не имеет права получать и обрабатывать данные работника о его политических, религиозных и иных убеждениях и частной жизни без его письменного согласия, если это не связано с трудовыми отношениями.

Обязанность работодателя обеспечивать защиту персональных данных работника подтверждается судебной практикой. Так, суд указал, что работодатель правомерно не представил акционерам общества копию трудового договора с генеральным директором, поскольку ст. 88 ТК РФ установлен запрет на передачу персональных данных работника третьей стороне, а в соответствии со ст. 90 ТК РФ лица, виновные в нарушении норм, регулирующих защиту персональных данных, несут административную, гражданско-правовую или уголовную ответственность (Постановление ФАС Московского округа от 14.01.2010 по делу N А40-38438/09-17-269).

Суды и другие правоохранительные органы могут беспрепятственно получать от организаций персональные данные работников, клиентов или контрагентов без согласия последних. Данную правовую позицию поддерживают и суды высших инстанций.

В частности, Иркутский областной суд в Апелляционном определении от 9 сентября 2014 г. по делу N 33-7441-14 указал, что суд первой инстанции сделал правильные выводы о том, что запрос сведений, касающихся лица, состоящего в трудовых отношениях с администрацией муниципального образования, является правомерным, произведен прокурором в пределах его полномочий, предусмотренных законом, и не требует согласия указанного гражданина на обработку его персональных данных. Как следует из содержания запроса и материалов дела, обращаясь к главе администрации АМО, прокурор конкретизировал запрашиваемые сведения, ограничив их документами, предшествующими заключению трудового договора, включая конкурсную документацию, что воспринимается однозначно и не вызывает сомнений в составе и объеме запрашиваемых документов.

В соответствии с п. 6 ст. 3 Федерального закона "О персональных данных" действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц, являются предоставлением, а не распространением информации.

Рассмотрим следующий пример из судебной практики. Так, в Апелляционном определении от 4 марта 2015 г. по делу N 33-7084 Московский городской суд правильно исходил из того, что обработка персональных данных заявителя по его письменному заявлению осуществляется не в рамках уголовно-правовых отношений, определяющих основания аннулирования всех последствий, связанных с судимостью, а в связи с его профессиональной деятельностью и в соответствии с целями обработки, определенными Трудовым кодексом РФ, которые допускают включение в данную справку сведений как об имеющейся, так и об имевшейся у лица судимости. Данное правовое регулирование обеспечивает защиту общественных интересов и обязывает ФКУ ГИАЦ МВД России и ИЦ предоставлять информацию обо всех судимостях заявителя, включая погашенные (Апелляционное определение Московского городского суда от 4 марта 2015 г. по делу N 33-7084).

Федеральными законами могут быть предусмотрены иные случаи передачи персональных данных без согласия работника. Запрашивать сведения о персональных данных работника могут также адвокаты, нотариусы, должностные лица государственных органов.

В силу п. 1 ч. 3 ст. 6 Федерального закона от 31.05.2002 N 63-ФЗ "Об адвокатской деятельности и адвокатуре в Российской Федерации" адвокат вправе собирать сведения, необходимые для оказания юридической помощи, в том числе запрашивать справки, характеристики и иные документы от органов государственной власти, органов местного самоуправления, а также общественных объединений и иных организаций. Указанные органы и организации в порядке, установленном законодательством, обязаны выдать адвокату запрошенные им документы или их заверенные копии не позднее чем в месячный срок со дня получения запроса адвоката.

В частности, в Апелляционном определении Московского городского суда от 24 декабря 2014 г. по делу N 33-41576/2014 указано, что, отказывая истцу в удовлетворении заявленных требований, суд первой инстанции исходил из того, что предоставление ответчиком адвокату копии трудовой книжки П. и расписки в получении трудовой книжки соответствует положениям п. 1 ч. 3 ст. 6 Федерального закона "Об адвокатской деятельности и адвокатуре в Российской Федерации", п. п. 2, 3 ч. 1 ст. 6 Федерального закона "О персональных данных", поскольку обработка персональных данных истца осуществлялась ЗАО "ИНТЕРРОС ЭСТЕЙТ" в целях обеспечения права на представления доказательств по гражданскому делу.

Но не все правоохранительные и контрольные органы имеют аналогичные права. Остановимся на следующей судебной практике.

Так, Девятый арбитражный апелляционный суд в своем Постановлении от 25.06.2009 по делу N А40-76345/08-122-112 указал, что сотрудник службы судебных приставов не имеет права запрашивать и получать сведения, содержащие личные данные граждан. В частности, суд отметил, что ни Федеральный закон от 21.07.1997 N 118-ФЗ "О судебных приставах", ни Федеральный закон от 02.10.2007 N 229-ФЗ "Об исполнительном производстве" не предоставляют судебным приставам-исполнителям права получать персональные данные без согласия их субъектов, не устанавливают условия получения таких данных, не определяют круг субъектов, персональные данные которых подлежат обработке, а также полномочия судебного пристава-исполнителя по их обработке.

За разглашение персональных данных устанавливается дисциплинарная ответственность. Однако в практике есть случаи признания недействительным применение дисциплинарной ответственности к работнику за разглашение сведений о персональных данных, если работник не был ознакомлен с внутренними документами об обработке и хранении персональных данных, а также в случае недоказанности работодателем факта обоснованности привлечения к дисциплинарной ответственности.

Разрешая спор по существу и признавая незаконным и подлежащим отмене приказ Дальневосточного банка ОАО "Сбербанк России" о применении дисциплинарного взыскания о наложении на Д. дисциплинарного взыскания в виде замечания, суд первой инстанции пришел к обоснованному выводу о том, что ответчиком в судебном заседании не доказан тот факт, что Д. получила копии приказов N-k, N-k, N-k, содержащие персональные данные работников Дальневосточного банка ОАО "Сбербанк России". Незаконность получения персональных данных и факт распространения также не доказаны.

Судебная коллегия также соглашается с выводом суда первой инстанции о пропуске срока привлечения истца к дисциплинарной ответственности, поскольку датой обнаружения проступка является подача директором юридического управления служебной записки на имя заместителя председателя Дальневосточного банка "Сбербанк России" о необходимости проведения служебного расследования. Об этом прямо указано в п. 2.3 акта служебного расследования. Приказ о применении дисциплинарного взыскания издан после истечения срока для применения наказания, когда с момента обнаружения проступка до применения дисциплинарного взыскания прошло более двух месяцев (Апелляционное определение Хабаровского краевого суда от 30 мая 2014 г. по делу N 33-3334).

Таким образом, можно сделать вывод о том, что судебная практика по вопросам обработки и хранения персональных данных является одним из наиболее распространенных категорий трудовых споров. В основном в судах рассматриваются нарушения правил обработки и хранения персональных данных различными организациями. Большинство споров удалось бы избежать, если бы работодатели соблюдали требования федерального законодательства об обработке и хранении персональных данных.

В основном суды апелляционной и кассационной инстанции соглашаются с выводами судов первой инстанции и оставляют решения без изменений.