В практике появилось дело, которое на первый взгляд можно посчитать как подтверждение штрафов за неуведомление Роскомнадзора о трансграничной передаче персональных данных. Но при внимательном анализе решение вызывает серьезные вопросы.
Арбитражный суд Республики Башкортостан рассмотрел дело, где директора ООО привлекли к ответственности по ч. 10 ст. 13.11 КоАП РФ.
Что указано в решении:
ООО образовательное агентство «Инкорт» организовывало поездки несовершеннолетних в Великобританию, а значит, осуществляло трансграничную передачу персональных данных. При этом уведомление в Роскомнадзор о намерении осуществлять такую передачу, как следует из текста решения, подано не было.
На этом основании суд рассматривает вопрос о привлечении к ответственности по ч. 10 ст. 13.11 КоАП РФ. Но здесь есть важные юридические нюансы.
1. Неочевидна сама квалификация по ч. 10 ст. 13.11 КоАП РФ.
Эта норма формально связывается с нарушением требований ст. 22 Закона № 152-ФЗ, то есть с неисполнением обязанности по уведомлению о намерении осуществлять обработку персональных данных.
При этом уведомление о намерении осуществлять трансграничную передачу регулируется ст. 12 Закона № 152-ФЗ.
В опубликованном решении, насколько можно судить по его тексту, не объяснено, почему ответственность по ч. 10 ст. 13.11 КоАП РФ была применена именно к ситуации с уведомлением о трансграничной передаче. Это ключевой пробел в мотивировке.
2. В решении не отражена позиция привлекаемого лица.
Из текста не видно, заявлялись ли возражения по поводу неверной квалификации, различия между ст. 12 и ст. 22 Закона № 152-ФЗ, а также по вопросу субъекта ответственности.
Поэтому использовать это дело как устойчивый ориентир для правоприменения нужно очень осторожно.
3. Есть вопрос и к субъекту ответственности.
В деле речь идет о директоре коммерческой организации — ООО.
Однако примечание 2 к ст. 13.11 КоАП РФ прямо указывает, что для чч. 10–18 ст. 13.11 КоАП РФ под должностным лицом понимается должностное лицо государственного или муниципального органа либо некоммерческой организации.
Соответственно, само по себе привлечение по этой норме должностного лица коммерческой организации выглядит как минимум дискуссионным.
Что из этого следует на практике:
— обязанность уведомлять РКН о намерении осуществлять трансграничную передачу персональных данных действительно предусмотрена ст. 12 Закона № 152-ФЗ;
— однако именно это дело нельзя безоговорочно подавать как однозначное подтверждение сложившейся практики штрафов по ч. 10 ст. 13.11 КоАП РФ за неподачу такого уведомления;
— правовая квалификация в решении выглядит спорной, а мотивировка — неполной.
Корректный вывод для бизнеса:
если компания передает персональные данные за рубеж, требования ст. 12 Закона № 152-ФЗ в любом случае нужно соблюдать. Но ссылаться на это дело как на ясный и бесспорный прецедент именно по ответственности по ч. 10 ст. 13.11 КоАП РФ преждевременно.
