Справа № 296/2306/17
3/296/881/17
П О С Т А Н О В А
І М Е Н Е М У К Р А Ї Н И
"14" квітня 2017 р. м.Житомир
Суддя Корольовського районного суду м. Житомира Покатілов О.Б., розглянувши матеріали, які надійшли з Секретаріату Уповноваженого Верховної Ради України з прав людини про притягнення до адмін. відповідальності
ОСОБА_1, ІНФОРМАЦІЯ_1, ід.н. НОМЕР_1, гр-на України, працює в.о. начальника Головного управління Держгеокадастру у Житомирській області, прож. ІНФОРМАЦІЯ_2, раніше до відповідальності не притягувався,
за ст. 188-39 ч.2 КпАП України,-
встановив :
14.11.2016 уповноважені посадові особи Секретаріату Уповноваженого Верховної Ради України з прав людини - головний спеціаліст Управління з питань захисту персональних даних ОСОБА_2 та провідний спеціаліст Управління з питань захисту персональних даних ОСОБА_3, а також регіональний Представник Уповноваженого Верховної Ради України з прав людини (далі - Уповноважений) ОСОБА_4, регіональний координатор взаємодії з громадськістю ОСОБА_5 - в рамках провадження, відкритого Уповноваженим за зверненням громадянина ОСОБА_6, прийшли в Головне управління Держгеокадастру в Житомирській області (м. Житомир, вул. Довженка, 45) для здійснення позапланової виїзної перевірки додержання ГУ Держгеокадастру в Житомирській області законодавства про захист персональних даних.
На підтвердження своїх повноважень уповноважені посадові особи Секретаріату пред'явили начальнику, І заступнику начальника та іншим посадовим особам ГУ Держегоекадастру в Житомирській області (на їх вимогу) свої службові посвідчення, повідомили про свої права та повноваження, причину та мету перевірки, роз'яснили обов'язки суб'єкта перевірки.
За результатами проведеної позапланової перевірки щодо вказаних у зверненні ОСОБА_6 фактів незаконного поширення його персональних даних третій особі, було складено Акт перевірки додержання законодавства про захист персональних даних від 24.11.2016 р. та Припис про усунення порушення вимог законодавства у сфері захисту персональних даних, виявлених під час перевірки від 24.11.2016 №32-16. Вказані документи були направлені до ГУ Держгеокадастру в Житомирській області листом від 24.11.2016 №2.-2832/177-16 .
Відповідно до Порядку здійснення Уповноваженим Верховної Ради України з прав людини контролю за додержанням законодавства про захист персональних даних, затвердженого наказом Уповноваженого від 08.01.2014 № 1/02-14 (далі - Порядок), припис (вимога) - це обов'язкова для виконання у визначені строки письмова вимога Уповноваженого щодо усунення порушень вимог законодавства про захист персональних даних, яка вручається (надсилається) суб'єкту перевірки та, згідно з п. 5.13., суб'єкт перевірки повинен протягом визначеного у приписі строку менше ніж 30 календарних днів) вжити заходів щодо усунення порушень, зазначених у приписі, та письмово поінформувати Уповноваженого про усунення порушень разом із наданням копій документів, що це підтверджують.
У листі від 24.11.2016 №2.-2832/177-16 було зазначено, що припис має бути виконаний в строк до 24.12.2016, про його виконання необхідно було повідомити до 29.12.2016 із обов'язковим додаванням підтверджуючих документів.
Відповідь ГУ Держгеокадастру в Житомирській області від 23.12.2016 №26-0.6-13588/2-16 про виконання Припису від 24.11.2016 №32-16 була отримана та зареєстрована у Секретаріаті Уповноваженого 05.01.2017. Зазначена відповідь носила формалізований характер та не містила жодного підтверджуючого документа про виконання припису, відтак не може вважатися такою, що підтверджує виконання Припису у розумінні Порядку.
У зв'язку з цим головний спеціаліст Управління з питань захисту персональних даних ОСОБА_2 зателефонувала особисто виконавцю листа в.о. начальника юридичного відділу ОСОБА_7 та повідомила, що факт належного виконання Припису необхідно підтвердити копіями відповідних документів, завірених відповідно до законодавства.
ОСОБА_7 в телефонному режимі повідомила, що зробили все можливе та надати документи не можуть, оскільки не мають часу для належного виконання Припису. Варто зауважити, що в структурі ГУ Держгеокадастру у Житомирській області в юридичному відділі, станом на жовтень 2016 року, відповідно до табелю обліку робочого часу, фактично працювало 5 осіб.
Разом з тим, 25.01.2017 на адресу Секретаріату Уповноваженого надійшов лист ГУ Держгеокадастру в Житомирській області від 18.01.2017 №2-6-0.6-788/2-17, як супровідний до копій підтверджуючих документів про виконання Припису про усунення порушення вимог законодавства у сфері захисту персональних даних, виявлених під час перевірки від 24.11.2016 №32-16. Проте, вказаним листом було надано лише частину підтверджуючих документів, зокрема, наказ ГУ Держгеокадастру у Житомирській області від 23.12.2016 №286/0/50- 16-к «Про затвердження Положення про захист та обробку персональних даних і визначення відповідальних осіб, що організовують роботу, пов'язану із захистом персональних даних», яким підтверджується виконання тільки пункту 2 Припису: визначення відповідальних осіб та безпосередньо Положення про захист та обробку персональних даних працівників та осіб, що звертаються до Головного управління Держгеокадастру у Житомирській області (що підтверджує часткове (детально далі) виконання пункту 4 Припису). При цьому, назва самого Положення не відповідає назві Положення, зазначеного у вищезазначеному наказі.
З огляду на те, що необхідні документи про виконання Припису до Секретаріату Уповноваженого Верховної Ради України з прав людини надані так і не були, Припис не може вважатися виконаним.
Так, пунктом 1 Припису передбачено обов'язкове отримання від працівників, які мають доступ до персональних даних, зобов'язання про нерозголошення персональних даних, які їм було довірено або які стали їм відомі у зв'язку з виконанням професійних чи службових або трудових обов'язків (відповідно до частини 3 статті 10 Закону України «Про захист персональних даних»), проте зобов'язання про нерозголошення персональних даних згадуються лише у наказі ГУ Держгеокадастру у Житомирській області від 23.12.2016 №286/0/50-16-к, де вказано, що існує додаток 1 (яким затверджено форму зобов'язання про нерозголошення персональних даних), копія якого до Секретаріату Уповноваженого надана не була. Крім того додатком 2 до цього наказу іередбачено ведення Журналу реєстрації зобов'язань про нерозголошення персональних даних, копії якого також отримано не було.
Пункт 3 Припису вимагає забезпечення належного рівня зберігання та захисту документів, що містять персональні дані осіб, які звертаються до ГУ Держгеокадастру у Житомирській області, а саме договорів оренди землі (оскільки перевірка стосувалась незаконного поширення персональних даних суб'єкта персональних даних третій особі, а саме надання доступу до договору оренди землі), водночас про вжиті заходи із належного захисту персональних даних повідомлено не було, крім того, Положення про захист та обробку персональних даних працівників та осіб, що звертаються до ГУ Держеокадастру у Житомирській області не містить норм, що свідчать про забезпечення належного рівня захисту та зберігання персональних даних і окрема, тих, що обробляються у паперовому вигляді).
Пунктом 4 Припису визначено необхідність затвердження Положення про захист та обробку персональних даних працівників та осіб, що звертаються до ГУ Держгеокадастру у - Житомирській області, відповідно до пунктів 1.2 та 3.4 Типового порядку обробки персональних даних, затвердженого наказом Уповноваженого від 08.01.2014 №1/02-14 (далі - Типовий порядок), що було виконано проте, затверджене Положення є досить формалізованим, не відповідає вимогам Типового порядку та Закону України «Про захист персональних даних». По перше, виходячи з його назви Положення регулює питання обробки персональних даних працівників ГУ Держгеокадастру у Житомирській області та осіб, що звертаються за отриманням послуг, водночас в самому тексті Положення відсутнє конкретне розмежування за згаданими суб'єктами; по друге, наведена у Положенні мета не відповідає фактичній меті обробці персональних даних; по третє, підстави обробки персональних даних, зазначені у Положенні є лише витягом із Закону України «Про захист персональних даних» та є загальними, а відтак не відображають фактичних підстав обробки персональних даних у ГУ Держгеокадастру у Житомирській області. Слід зазначити, що під час здійснення перевірки працівниками Секретаріату Уповноваженого при усному спілкуванні, були надані роз'яснення щодо підстав обробки персональних даних та необхідності отримання згоди суб'єктів персональних даних на обробку їх персональних даних, але ця інформація не була взята до уваги під час розробки вищезазначеного Положення. Крім того, Положенням не визначено склад персональних даних, який є мінімально необхідний для досягнення мети їх обробки, не визначено порядок доступу працівників до персональних даних та порядок ведення обліку операцій, пов'язаних з обробкою персональних даних.
У пункті 5 Припису визначено обов'язок ГУ Держгеокадастру у Житомирській області затвердити процедуру обліку працівників, які мають/мали доступ до персональних даних суб'єктів персональних даних та визначити рівні доступу працівників, у відповідності до пункту 3.5 Типового порядку. На виконання зазначеного, додатком 2 до наказу ГУ Держгеокадастру у Житомирській області від 23.12.2016 №286/0/50-16-к був затверджений Журнал реєстрації зобов'язань про нерозголошення персональних даних, наявність якого засвідчило б виконання вказаного пункту, проте його копії надано не було, а відтак, встановити та підтвердити факт ведення обліку працівників які мають/мали доступ до персональних даних у ГУ Держгеокадастру у Житомирській області неможливо.
Також, не виконано пункт 6 Припису, а саме не надано документального підтвердження того, що була затверджена процедура обліку операцій, пов'язаних з обробкою персональних даних суб'єкта персональних даних та доступом до них, зокрема, договорів оренди землі, відповідно до вимог пункту 3.11 Типового порядку.
Щодо договору оренди землі, що був досліджений під час здійснення перевірки, та пункту 7 Припису, було встановлено невідповідність його чинному законодавству України у сфері захисту персональних даних, а саме: повідомлення суб'єкта персональних даних про володільця персональних даних, склад та зміст зібраних персональних даних, свої права, визначені Законом України «Про захист персональних даних», мету збору персональних даних та осіб, яким передаються його персональні дані, що міститься у договорі оренди землі (у Розділі 15), крім того, норми договору звужують зміст та обсяг існуючих прав суб'єкта персональних даних, а саме перелік прав суб'єкта персональних даних визначений договором є неповним та не відповідає статті 8 Закону України «Про захист персональних даних» (пункт 8 Акту). Разом з тим, мета обробки персональних даних, визначена у договорі оренди землі є загальною (розмитою) та не визначає конкретних цілей обробки персональних даних. Листом ГУ Держгеокадастру у Житомирській області від 23.12.2016 №2-6-0.6-13588/2-16 було лише повідомлено, що договори оренди землі було приведено у відповідність до типового оренди землі, затвердженого постановою Кабінету Міністрів України від 03.03.2004 №220 зі змінами від 13.12.2006 №1724 та від 03.09.2008 №780 та від 23.11.2016 №843, проте змінений договір надано не було і встановити факт приведення вказаних договорів у відповідність до чинного законодавства - неможливо.
Таким чином, враховуючи вищенаведене, а також зневажливе відношення працівників ГУ Держгеокадастру у Житомирській області до проведеної перевірки та її результатів, свідчить про умисне невиконання законних вимог Уповноваженого.
Разом з тим, згідно із підпунктами 1 та 2 пункту 10 Положення про Головне управління Держгеокадастру у Житомирській області, затвердженого наказом Державної служби України з її питань геодезії, картографії та кадастру від 17.11.2016 № 308, начальник Головного управління здійснює керівництво Головним управлінням, є відповідальним за організацію та результати його діяльності, а також організовує та забезпечує виконання Головним управлінням Конституції та законів України, постанов Верховної Ради України, прийнятих відповідно до Конституції та законів України, актів Президента України та Кабінету Міністрів України, доручень Прем'єр- міністра України, наказів Міністерства аграрної політики та продовольства України, доручень Міністра аграрної політики та продовольства України, його першого заступника та заступників, наказів Держгеокадастру та інших нормативно-правових актів.
Відповідно до п. 1 ч. 1 ст. 22 Закону України «Про захист персональних даних» Уповноважений Верховної Ради України з прав людини у межах повноважень, передбачених законом здійснює контроль за додержанням законодавства про захист персональних даних. Із цією метою згідно з п.п. 2, 3 ч. 1 ст. 23 цього Закону Уповноважений має право проводити на підставі звернень виїзні та безвиїзні, планові, позапланові перевірки володільців або розпорядників зональних даних в порядку, визначеному Уповноваженим, із забезпеченням відповідно до закону доступу до приміщень, де здійснюється обробка персональних даних, а також отримувати на свою вимогу та мати доступ до будь-якої інформації (документів) володільців або розпорядників персональних даних, які необхідні для здійснення контролю за забезпеченням захисту персональних даних, у тому числі доступ до персональних даних, відповідних баз даних чи картотек, інформації з обмеженим доступом.
Пунктом 2.2 Порядку, встановлено, шо виїзна перевірка проводиться Уповноваженим та (або) уповноваженими посадовими особами, зокрема працівниками Секретаріату Уповноваженого. Згідно з абзацом 2 цього ж пункту уповноважені посадові особи здійснюють свої повноваження, в тому числі проводять перевірки володільців і розпорядників персональних даних, на підставі службового посвідчення та додатку до нього, який є невід'ємною частиною посвідчення та підтверджує обсяг повноважень працівника Секретаріату, виданих відповідно до Положення про службові посвідчення працівників Секретаріату Уповноваженого Верховної Ради України з прав людини, затвердженого наказом Уповноваженого Верховної Ради України з прав людини від 4.12.2012 № 19/8-12.
Відповідно до пунктів 5.1, 5.10. Порядку, за результатами здійснення планової або позапланової перевірки Уповноважений та/або уповноважена посадова особи складає у двох примірниках акт перевірки додержання вимог законодавства про захист персональних даних та на підставі Акта перевірки, під час якої виявлено порушення вимог законодавства про захист персональних даних, складається припис про усунення порушень вимог законодавства у сфері захисту персональних даних, виявлених під час перевірки.
Так, пунктом 5.13. Порядку суб'єкт перевірки повинен протягом визначеного у приписі строку (не менше ніж 30 календарних днів) вжити заходів щодо усунення порушень, зазначених у приписі, та письмово поінформувати Уповноваженого про усунення порушень разом із наданням копій документів, що це підтверджують.
Крім того, контроль за своєчасністю та повнотою виконання вимог, зазначених у приписі, здійснюється шляхом вивчення вказаних копій документів та, у разі необхідності, шляхом проведення позапланової перевірки (п.5.14 Порядку).
Водночас, пунктом 5.15. Порядку передбачено, що у разі невиконання припису протягом вказаного у ньому строку Уповноважений або уповноважена посадова особа складає протокол про адміністративне правопорушення за формою та у порядку, передбаченому законодавством та рядком оформлення матеріалів про адміністративні правопорушення.
Відповідно до ст. 10 Закону України «Про Уповноваженого Верховної Ради України з прав людини» для забезпечення діяльності Уповноваженого утворюється секретаріат, який є юридичною особою, має свій рахунок у банку та печатку встановленого зразка. Пунктом 7 « Положення про Секретаріат Уповноваженого Верховної Ради України з прав людини», затвердженого наказом Уповноваженого від 20.06.2012 №4/8-12, передбачено, що за дорученням Уповноваженого працівники Секретаріату мають право діяти від імені Уповноваженого та представляти його інтереси з усіма правами, що надані чинним законодавством України.
З аналізу вказаних норм випливає, що на уповноважених посадових осіб – працівників Секретаріату Уповноваженого, яким делегуються повноваження із здійснення контролю за додержанням законодавства про захист персональних даних, поширюються загальні гарантії діяльності Уповноваженого.
ОСОБА _1 вину при розгляді справи в суді визнав частково та пояснив, що всі матеріали, що надані для виконання Припису, і повинні бути надані, на його думку, надані.
На даний час після узгодження позиції між ним та Уповноваженим Верховної Ради України з прав людини всі недоліки усунуті.
Представник Уповноваженого Верховної Ради України з прав людини в суді пояснила, що ОСОБА_1 був наданий припис про усунення недоліків Закону до 29.12.2016 р., що зазначені у протоколі про адміністративне правопорушення. Після цього за усною домовленістю термін виконання Припису був продовжений до кінця січня 2017 року. Всі недоліки на час розгляду справи в суді ( 14.04.2017 р.) були усунені.
Вина ОСОБА_1 підтверджується:
- протоколом про адмінправопорушення від 09.03.2017 р.;
- пам»яткою про права та обов»язки уповноваженої посадової особи та суб»єкта перевірки;
- актом перевірки додержання законодавства про захист персональних даних;
- приписом № 32-16 про усунення порушення вимог законодавства у сфері захисту персональних даних, виявленого під час перевірки від 24.11.2016 р.;
- к. листа Секретаріату Уповноваженого Верховної Ради України з прав людини від 24.11.2016 р.;
- к. листа ГУ Держгеокадастру у Житомирській області від 24.11.2016 р.;
- к. листа ГУ Держгеокадастру у Житомирській області від 18.01.2017 р.;
- к. наказу від 23.12.2016р. № 296/0/50-16-к;
- к. наказу від 28.12.2016 р. № 293/0/50-16-к;
- к. Положення про захист та обробку персональних даних працівників та осіб, що звертаються до ГУ Держгеокадастру у Житомирській області;
- журналом реєстрації зобов»язань про нерозголошення персональних даних;
- зобов»язаннями про нерозголошення персональних даних відносно ОСОБА_8 та ОСОБА_9;
- к. наказу від 23.12.2016 р. № 286/0/50-16-к;
- актом прийому-передачі документів від 27.12.2016 р.;
- к. наказу від 04.04.2017 р. № 294-к;
- журналом обліку операцій, пов»язаних із обробкою персональних даних;
- журналом обліку працівників відділу землеустрою та охорони земель ГУ Держгеокадастру у Житомирській області, які мають/ мали доступ до персональних даних;
- договором оренди землі № 2/57/-17 ДД від 10.01.2017 р.;
- посадовою інструкцією головного спеціаліста відділу правового забезпечення юридичного ГУ Держгеокадастру у Житомирській області.
Оцінивши докази в їх сукупності, винуватість ОСОБА_1 доведена повністю, але у зв»язку з тим, що строки виконання Припису Секретаріату Уповноваженого Верховної Ради України з прав людини закінчились 29.12.2016 р., будь-яких відомостей про те, що термін дії Припису продовжений у встановленому законом порядку, слід ОСОБА_1 звільнити від накладення адміністративного стягнення відповідно до ст. 38 КУпАП.
На підставі викладеного та керуючись ст.ст.38, 283, 284 КпАП України
П О С Т А Н О В И В :
ОСОБА_1 визнати винним у скоєнні адмін. правопорушення, передбаченого ст. 188-39 ч. 2 КпАП України та провадження по адмінсправі відносно ОСОБА_1 закрити в зв"язку зі закінченням строків притягнення його до адміністративної відповідальності.
Постанова може бути оскаржена до апеляційного суду Житомирської області через Корольовський районний суд м. Житомира протягом 10 днів з дня її винесення.
Cуддя О. Б. Покатілов
