Суть спора
Гражданин получил почтовое отправление, в графе «Отправитель» которого значилось обезличенное «Организация». По его запросу АО «Почта России» подтвердило, что письмо было направлено через личный кабинет Общества.
Чтобы выяснить, кто и на каком основании обрабатывает его данные, гражданин дважды направил в Общество запросы о порядке обработки его персональных данных (ч. 1 и ч. 7 ст. 14 152-ФЗ). Оба запроса Общество получило, но не дало ни ответа по существу, ни мотивированного отказа со ссылкой на ч. 8 ст. 14 152-ФЗ. Поскольку Общество проигнорировало ответ на запрос гражданина, он обратился в Управление Роскомнадзора по Республике Карелия. Датой совершения правонарушения признана дата истечения установленного десятидневного срока предоставления ответа на второй запрос.
Суд установил, что у Общества есть договор с АО «Почта России» и личный кабинет, доступ к которому возможен только по логину и паролю. Доступ Общество передало финансовому (арбитражному) управляющему для отправки корреспонденции. При этом у владельца кабинета сохраняется возможность видеть ФИО и адреса получателей.
Позиции сторон
В письменных возражениях Общество настаивало на отсутствии состава правонарушения: отвечать на запросы оно не обязано, а заявитель и так раскрыл свои персональные данные сам, поскольку ранее уже был участником ряда судебных разбирательств, в том числе с участием самого Общества, - поэтому его согласие на обработку, по мнению Общества, не требовалось. Дополнительно Общество ссылалось на ранее данные заявителю ответы и на злоупотребление правом (однотипные повторные запросы), указывало, что действовало в интересах конкурсного кредитора и лишь предоставило арбитражному управляющему право пользоваться своим ресурсом на сайте «Почты России», а также заявляло о нарушении порядка составления протокола.
Управление Роскомнадзора по Республике Карелия настаивало на доказанности нарушения, описанного в протоколе об административном правонарушении (невыполнение Обществом обязанности ответить субъекту на его запрос об обработке данных), и просило привлечь Общество к ответственности.
Позиция первой инстанции
Мировой судья признал состав административного правонарушения доказанным. Передав финансовому управляющему логин и пароль от своего личного кабинета на сайте «Почты России» для отправки корреспонденции, Общество совершило обработку персональных данных получателя и выступило оператором, тогда как согласия субъекта на обработку не получало. Суд подчеркнул, что лицо признаётся оператором в силу самого факта обработки данных независимо от какой-либо регистрации или специальных разрешений.
Довод о том, что заявитель сам раскрыл данные как участник судебных процессов, отклонён: участие субъекта в судебных разбирательствах не освобождает оператора от обязанности предоставить ему сведения об обработке его персональных данных. Отклонён и довод о недопустимости протокола - уведомление о его составлении было вручено Обществу (по QR-коду), сведений о возврате письма нет. Доказательств того, что Общество направило заявителю ответы по существу запросов, в деле не оказалось.
Действия квалифицированы по ч. 4 ст. 13.11 КоАП РФ. Оснований для малозначительности (ст. 2.9 КоАП РФ) и смягчающих обстоятельств суд не усмотрел и назначил штраф - 40 000 рублей.
Апелляция
Суд подтвердил позицию первой инстанции по поводу доказанности вины Общества. Как оператор, Общество было обязано предоставить субъекту информацию по ч. 7 ст. 14 152-ФЗ, но уклонилось от этого. Довод о том, что субъект и так был осведомлён об обработке как участник судебных дел, отклонён - ч. 3 и п. 1 ч. 4 ст. 18 152-ФЗ устанавливают иной перечень сведений, чем ч. 7 ст. 14. Срок давности соблюдён, оснований для малозначительности нет.
Однако размер санкции суд изменил. Общество включено в единый реестр субъектов малого и среднего предпринимательства как малое предприятие. Суд снизил штраф с 40 000 до 20 000 рублей; в остальной части постановление оставлено без изменения, а жалоба - без удовлетворения.
