Справа № 826/5727/13-а
Суддя: Романчук О.М
Дата ухвалення: 2014-02-25 00:00:00+02
Юрисдикція: administrative

КИЇВСЬКИЙ АПЕЛЯЦІЙНИЙ
АДМІНІСТРАТИВНИЙ СУД Справа: №
Головуючий у 1-й інстанції: Скочок Т.О.
Суддя-доповідач: Романчук О.М
У Х В А Л А

Іменем України

25 лютого 2014 року
м. Київ

Київський апеляційний
адміністративний суд у складі колегії
суддів:

Головуючого:
Романчук О.М.,

Суддів:
Глущенко Я.Б.,

Шелест С.Б.,

при секретарі
Артюхіній М.А.,

розглянувши в судовому засіданні в
місті Києві апеляційну скаргу
Інспекції державного
архітектурно-будівельного контролю у
Київській області на постанову
Окружного адміністративного суду
міста Києва від 27 грудня 2013 року у
справі за адміністративним позовом
Інспекції державного
архітектурно-будівельного контролю у
Київській області до Державної служби
України з питань захисту персональних
даних про скасування припису №52 від
07.03.2013 року, -

В С Т А Н О В И В :

Позивач звернувся до Окружного
адміністративного суду міста з позовом
до Державної служби України з питань
захисту персональних даних про
скасування припису №52 про усунення
порушення вимог законодавства у сфері
захисту персональних даних, виявленого
під час перевірки від 07.03.2013 року.

Постановою Окружного
адміністративного суду міста Києва від
27 грудня 2013 року адміністративний
позов задоволено частково. Скасовано п.
1 припису №52 про усунення порушення
вимог законодавства у сфері захисту
персональних даних, виявленого під час
перевірки від 07.03.2013 року в частині
зобов'язання Інспекції державного
архітектурно-будівельного контролю у
Київській області визначити та
затвердити внутрішніми документами
процедури внесення, зміни,
поновлення/оновлення, використання,
поширення, знеособлення, знищення
персональних даних та порядок захисту
персональних даних, в тому числі від
незаконної обробки у базах
персональних даних, володільцем яких є
суб'єкт перевірки у відповідності до п.
1.8. Типового порядку обробки. В іншій
частині позову відмовлено.

Не погоджуючись із зазначеною
постановою, позивач подав апеляційну
скаргу, в якій просить скасувати
постанову суду першої інстанції та
прийняти нову, якою позов задовольнити
повністю.

Заслухавши суддю-доповідача,
перевіривши матеріали справи, доводи
апеляційної скарги, колегія суддів
вважає необхідним апеляційну скаргу
залишити без задоволення, виходячи з
наступного.

Судом першої інстанції встановлено, що
посадовими особами ДСЗПД України
проведено позапланову виїзну
перевірку додержання законодавства у
сфері захисту персональних даних
Інспекції, результати якої оформлені
актом №59 перевірки додержання
законодавства у сфері захисту
персональних даних від 01.03.2013 року.

У вищезазначеному акті зроблено
висновок, що суб'єкт перевірки у своїй
діяльності порушує вимоги ч. 2 ст. 12
Закону України «Про захист
персональних даних» (у редакції від
23.02.2012 року) та вимоги п. 3.1, п. 1.8 Типового
порядку обробки персональних даних у
базах персональних даних,
затвердженого наказом Міністерства
юстиції України від 30.12.2011 року №3659/5.

На підставі зроблених висновків
посадовою особою ДСЗПД України
винесено припис №52 про усунення
порушення вимог законодавства у сфері
захисту персональних даних, виявленого
під час перевірки, від 07.03.2013 року, яким
у зв'язку із встановленими порушеннями,
а саме:

1. жодними внутрішніми документами не
врегульовано порядок внесення, зміни,
поновлення/оновлення, використання,
поширення, знеособлення персональних
даних у базах персональних даних,
володільцем яких є суб'єкт перевірки та
не визначено яким чином та за якою
процедурою проводиться знищення
персональних даних та порядок захисту
персональних даних, в тому числі від
незаконної обробки, чим порушуються
вимоги абзацу 2 та 4 п. 1.8 Типового
порядку обробки персональних даних;

2. суб'єктом перевірки не було
повідомлено скаржника ОСОБА_3 про
володільця персональних даних, склад
та зміст зібраних персональних даних,
права такого суб'єкта, визначені цим
Законом, мету збору персональних даних
та осіб, яким передаються його
персональні дані, оскільки
правовідносини між скаржником та
суб'єктом перевірки настали у жовтні 2011
року, то у відповідності до вимог ч.2
ст.12 Закону України «Про захист
персональних даних» (у редакції від
23.02.2012 року) суб'єкт перевірки повинен
був повідомити скаржника протягом
десяти робочих днів з дня включення
його персональних даних до бази
персональних даних про його права, мету
збору персональних даних та осіб, яким
передаються його персональні дані
виключно в письмовій формі. Таким
чином, суб'єктом перевірки порушено
вимоги ч. 2 ст. 12 Закону України «Про
захист персональних даних» (у редакції
від 23.02.2012 року), зобов'язано:

1. визначити та затвердити внутрішніми
документами процедури внесення, зміни,
поновлення/оновлення, використання,
поширення, знеособлення, знищення
персональних даних та порядок захисту
персональних даних, в тому числі від
незаконної обробки у базах
персональних даних, володільцем яких є
суб'єкт перевірки у відповідності до п.
1.8. Типового порядку обробки;

2. повідомити скаржника ОСОБА_3 про
володільця персональних даних, склад
та зміст зібраних персональних даних,
його права, у відповідності до
процедури, передбаченою ч. 2 ст. 12 Закону
України «Про захист персональних
даних».

Однак, позивач, вважаючи оскаржуваний
припис протиправним, звернувся до суду
з вказаним позовом.

Надаючи правову оцінку обставинам
справи, колегія суддів виходить з
наступного.

Нормативно-правовим актом, що регулює
правові відносини, пов'язані із
захистом і обробкою персональних
даних, і спрямований на захист
основоположних прав і свобод людини і
громадянина, зокрема права на
невтручання в особисте життя, у зв'язку
з обробкою персональних даних, є Закон
України «Про захист персональних
даних» від 01.06.2010 року №2297-VI (надалі -
Закон №2297).

У відповідності до ст.22 Закон України
«Про захист персональних даних» від
01.06.2010 року №2297-VI (надалі - Закон №2297),
контроль за додержанням законодавства
про захист персональних даних у межах
повноважень, передбачених законом,
здійснюють такі органи:

1) уповноважений державний орган з
питань захисту персональних даних;

2) інші органи державної влади.

У відповідності до п.1 Положення про
Державну службу України з питань
захисту персональних даних,
затвердженого Указом Президента
України від 06.04.2011 року №390/2011 (надалі -
Положення №390), Державна служба України
з питань захисту персональних даних
(ДСЗПД України) є центральним органом
виконавчої влади, діяльність якої
спрямовується і координується
Кабінетом Міністрів України через
Міністра юстиції України. ДСЗПД
України входить до системи органів
виконавчої влади, забезпечує
реалізацію державної політики у сфері
захисту персональних даних.

На виконання положень, зокрема, ст. 22
Закону №2297 Наказом Міністерства
юстиції України від 22.06.2012 року №947/5
затверджено Порядок здійснення
Державною службою України з питань
захисту персональних даних державного
контролю за додержанням законодавства
про захист персональних даних (надалі -
Порядок №947/5), яким врегульований
механізми здійснення Державною
службою України з питань захисту
персональних даних (далі - ДСЗПД)
державного контролю за додержанням
вимог законодавства про захист
персональних даних шляхом проведення
перевірок фізичних осіб, фізичних
осіб-підприємців, підприємств, установ
і організацій усіх форм власності,
органів державної влади, що є
володільцями та/або розпорядниками баз
персональних даних (далі - суб'єкт
перевірки), а також оформлення і
розгляд результатів перевірок.

Відповідно до п. 2.1 Порядку №947/5,
контроль за додержанням суб'єктами
перевірки законодавства про захист
персональних даних здійснюється ДСЗПД
шляхом проведення перевірок: планових,
позапланових, виїзних та безвиїзних.
Планові та позапланові перевірки є
виїзними та безвиїзними. За
результатами здійснення планової або
позапланової перевірки комісія
складає у двох примірниках акт
перевірки додержання законодавства у
сфері захисту персональних даних (далі
- Акт перевірки) за формою згідно з
додатком 2 до цього Порядку (п. 5.1
Порядку №947/5).

Так, акт перевірки має містити один із
таких висновків: про відсутність у
діяльності суб'єкта перевірки порушень
вимог законодавства про захист
персональних даних; про виявлені у
діяльності суб'єкта перевірки
порушення вимог законодавства про
захист персональних даних, їх
детальний опис із посиланням на норми
чинного законодавства, які порушено. Не
допускається викладати в Акті
перевірки припущення та факти, не
підтверджені документально (п. 5.3
Порядку №947/5).

Згідно п. 5.4 Порядку №947/5, в Акті
перевірки викладаються всі виявлені
під час перевірки факти невиконання
(неналежного виконання) суб'єктом
перевірки вимог законодавства у сфері
захисту персональних даних.

На підставі Акта перевірки, під час
якої виявлено порушення вимог
законодавства про захист персональних
даних, комісією складається припис про
усунення порушень вимог законодавства
у сфері захисту персональних даних,
виявлених під час перевірки, за формою
згідно з додатком 4 до цього Порядку.
Припис не передбачає застосування
санкцій щодо суб'єкта перевірки.

З матеріалів справи вбачається, що
ДСЗПД України винесено оскаржуваний
припис у зв'язку із встановленими
порушеннями:

1. жодними внутрішніми документами не
врегульовано порядок внесення, зміни,
поновлення/оновлення, використання,
поширення, знеособлення персональних
даних у базах персональних даних,
володільцем яких є суб'єкт перевірки та
не визначено яким чином та за якою
процедурою проводиться знищення
персональних даних та порядок захисту
персональних даних, в тому числі від
незаконної обробки, чим порушуються
вимоги абзацу 2 та 4 п. 1.8 Типового
порядку обробки персональних даних;

2. суб'єктом перевірки не було
повідомлено скаржника ОСОБА_3 про
володільця персональних даних, склад
та зміст зібраних персональних даних,
права такого суб'єкта, визначені цим
Законом, мету збору персональних даних
та осіб, яким передаються його
персональні дані, оскільки
правовідносини між скаржником та
суб'єктом перевірки настали у жовтні 2011
року, то у відповідності до вимог ч. 2 ст.
12 Закону України «Про захист
персональних даних» (у редакції від
23.02.2012 року) суб'єкт перевірки повинен
був повідомити скаржника протягом
десяти робочих днів з дня включення
його персональних даних до бази
персональних даних про його права, мету
збору персональних даних та осіб, яким
передаються його персональні дані
виключно в письмовій формі. Таким
чином, суб'єктом перевірки порушено
вимоги ч. 2 ст. 12 Закону України «Про
захист персональних даних» (у редакції
від 23.02.2012 року).

Відповідно до ч. 1 та ч.10 ст. 6 Закон
України «Про захист персональних
даних» від 01.06.2010 року №2297-VI
передбачено, що мета обробки
персональних даних має бути
сформульована в законах, інших
нормативно-правових актах, положеннях,
установчих чи інших документах, які
регулюють діяльність володільця
персональних даних, та відповідати
законодавству про захист персональних
даних. Обробка персональних даних
здійснюється відкрито і прозоро із
застосуванням засобів та у спосіб, що
відповідають визначеним цілям такої
обробки. У разі зміни визначеної мети
обробки персональних даних суб'єктом
персональних даних має бути надана
згода на обробку його даних відповідно
до зміненої мети, якщо нова мета
обробки є несумісною з попередньою.
Типовий порядок обробки персональних
даних у базах персональних даних
затверджується центральним органом
виконавчої влади, що забезпечує
формування державної політики у сфері
захисту персональних даних.

Наказом Міністерства юстиції України
від 30.12.2011 року №3659/5 затверджено
Типовий порядок обробки персональних
даних у базах персональних даних, що
встановлює загальні вимоги до
організаційних та технічних заходів
захисту персональних даних під час їх
обробки у базах персональних даних
володільцями та розпорядниками
персональних даних.

У відповідності до п.1.8 Типового
порядку, володілець персональних даних
визначає: мету обробки, склад
персональних даних у базі персональних
даних та її місцезнаходження; порядок
внесення, зміни, поновлення,
використання, поширення, знеособлення,
знищення персональних даних у базі
персональних даних; відповідальну
особу або структурний підрозділ;
порядок захисту персональних даних від
незаконної обробки, у тому числі від
втрати, незаконного або випадкового
знищення, а також від незаконного
доступу до них.

З матеріалів справи вбачається, що
позивачем з метою приведення
діяльності Інспекції у відповідність
до вимог Закону України «Про захист
персональних даних» щодо обробки
персональних даних було видано накази
Інспекції від 30.11.2011 року №52-«ОД» «Про
організацію роботи з захисту
персональних даних в Інспекції
державного архітектурно-будівельного
контролю у Київській області» та від
01.02.2013 року №28-«ОД» «Про організацію
роботи з захисту персональних даних в
Інспекції державного
архітектурно-будівельного контролю у
Київській області».

В цих наказах було затверджено перелік
баз персональних даних та їх
місцезнаходження, мету обробки баз
персональних даних Інспекції,
категорії персональних даних громадян
та посадових осіб, які обробляються
Інспекцією, призначено відповідальних
працівників за організацію роботи,
пов'язаної з захистом персональних
даних при їх обробці, визначено
структурні підрозділи, які мають право
доступу до баз персональних даних,
володільцем яких є Інспекція.

Однак, з матеріалів справи вбачається,
що копії наказу Інспекції від 30.11.2011
року №52-«ОД» «Про організацію роботи з
захисту персональних даних в Інспекції
державного архітектурно-будівельного
контролю у Київській області», яким
позивач обґрунтовує свої позовні
вимоги, на виконання вимог ухвали суду
від 16.05.2013 року, якою було, зокрема, його
витребувано, до суду першої інстанції
надано не було.

Проте, як вбачається з матеріалів
справи, наказом Інспекції державного
архітектурно-будівельного контролю у
Київській області від 01.02.2013 року
№28-«ОД» «Про організацію роботи
захисту персональних даних в Інспекції
державного архітектурно-будівельного
контролю у Київській області», зокрема,
наказано вважати таким, що втратив
чинність наказ Інспекції від 30.11.2011
року №52-«ОД» «Про організацію роботи з
захисту персональних даних в Інспекції
державного архітектурно-будівельного
контролю у Київській області» (п.1);
призначити відповідальних працівників
за організацію роботи, пов'язану з
захистом персональних даних при їх
обробці, Володільцем яких є Інспекція
(додаток 1) (п. 2); відповідальним
працівникам за організацію роботи,
пов'язану з захистом персональних
даних, забезпечити використання
інформації про персональні дані
фізичних та юридичних осіб, її обробку
та зберігання лише за згодою їх
власників у відповідності до
законодавства України та
затвердженого Порядку обробки
персональних даних у Інспекції
державного архітектурно-будівельного
контролю у Київській області (додаток 2)
(п. 3).

При цьому, відповідно до положень п. 1.1
Порядку обробки персональних даних у
Інспекції державного
архітектурно-будівельного контролю у
Київській області, затвердженого в
якості додатку 2 до наказу Інспекції
державного архітектурно-будівельного
контролю у Київській області від 01.02.2013
року №28-«ОД», даний порядок обробки
персональних даних розроблено з метою
створення умов для забезпечення
захисту цих даних від незаконної
обробки, а державного
архітектурно-будівельного контролю у
Київській області також від
незаконного доступу до них, належного
захисту прав працівників Інспекції
державного архітектурно-будівельного
контролю у Київській області при
обробці їх персональних даних
відповідно до вимог ст. 24 Закону
України «Про захист персональних
даних» від 01.06.2010 року №2297-VI. При цьому,
п. 1.2 вказаного Порядку визначено, що
останній встановлює вимоги до обробки
персональних даних у базі персональних
даних «Кадри».

Проаналізувавши положення Порядку
обробки персональних даних, колегією
суддів встановлено, що у Інспекції
державного архітектурно-будівельного
контролю у Київській області,
затвердженого в якості додатку 2 до
наказу Інспекції державного
архітектурно-будівельного контролю у
Київській області від 01.02.2013 року
№28-«ОД», вбачається, що ним
врегульовано порядок обробки
персональних даних працівників
Інспекції державного
архітектурно-будівельного контролю у
Київській області, однак враховуючи п. 3
наказу від 01.02.2013 року №28-«ОД» «Про
організацію роботи захисту
персональних даних в Інспекції
державного архітектурно-будівельного
контролю у Київській області»,
встановлено, що приписи Порядку
обробки персональних даних у Інспекції
державного архітектурно-будівельного
контролю у Київській області
розповсюджуються, у тому числі, й на
обробку та зберігання персональних
даних фізичних та юридичних осіб.

Також, на момент проведення перевірки
додержання Інспекцією законодавства у
сфері захисту персональних даних
наказом Інспекції державного
архітектурно-будівельного контролю у
Київській області від 01.02.2013 року
№28-«ОД» врегульовано порядок обробки
персональних даних.

Враховуючи вищевикладене, судом першої
інстанції вірно зроблено висновок про
те, що оскаржуваний припис в частині
зобов'язання Інспекції визначити та
затвердити внутрішніми документами
процедури внесення, зміни,
поновлення/оновлення, використання,
поширення, знеособлення, знищення
персональних даних та порядок захисту
персональних даних, в тому числі від
незаконної обробки у базах
персональних даних, володільцем яких є
суб'єкт перевірки у відповідності до п.
1.8. Типового порядку обробки (п. 1
припису) підлягає скасуванню.

Разом з цим, в приписі вказано, що
суб'єктом перевірки не було
повідомлено скаржника ОСОБА_3 про
володільця персональних даних, склад
та зміст зібраних персональних даних,
права такого суб'єкта, визначені цим
Законом, мету збору персональних даних
та осіб, яким передаються його
персональні дані, оскільки
правовідносини між скаржником та
суб'єктом перевірки настали у жовтні 2011
року, то у відповідності до вимог ч. 2 ст.
12 Закону України «Про захист
персональних даних» (у редакції від
23.02.2012 року) суб'єкт перевірки повинен
був повідомити скаржника протягом
десяти робочих днів з дня включення
його персональних даних до бази
персональних даних про його права, мету
збору персональних даних та осіб, яким
передаються його персональні дані
виключно в письмовій формі. Таким
чином, суб'єктом перевірки порушено
вимоги ч. 2 ст. 12 Закону України «Про
захист персональних даних» (у редакції
від 23.02.2012 року).

Згідно листа суб'єкта перевірки від
28.02.2013 року №7/10-6/2802/06 стосовно
надходження документів ОСОБА_3 та
ОСОБА_4 отримано наступні пояснення:

« 24.10.2012 року до Інспекції від
громадянина ОСОБА_3 надійшло
повідомлення про початок виконання
будівельних робіт щодо будівництва
садового будинку з господарськими
будівлями за адресою: АДРЕСА_1 (вхідний
номер 7/10-Є-2410/70)…».

На дату надходження від гр. ОСОБА_3
скарги жодна база персональних даних
Інспекції не була зареєстрована, з
огляду на що викладене у приписі
твердження, що Інспекція порушила ч. 2
ст. 12 Закону України «Про захист
персональних даних» (у редакції від
23.02.2012 року) є непідтвердженим.

Статтею 2 Закону України «Про захист
персональних даних» передбачено, що
володілець бази персональних даних -
фізична або юридична особа, якій
законом або за згодою суб'єкта
персональних даних надано право на
обробку цих даних, яка затверджує мету
обробки персональних даних у цій базі
даних, встановлює склад цих даних та
процедури їх обробки, якщо інше не
визначено законом.

Згідно ч. 1 ст. 9 Закону України «Про
захист персональних даних», база
персональних даних підлягає державній
реєстрації шляхом внесення
відповідного запису уповноваженим
державним органом з питань захисту
персональних даних до Державного
реєстру баз персональних даних.

У відповідності до ч.3 ст.9 Закону
України «Про захист персональних
даних» реєстрація баз персональних
даних здійснюється за заявочним
принципом шляхом повідомлення.

Позивач вказує на те, що ще 05.12.2011 року
головному спеціалісту по режиму
секретної роботи Державної
архітектурно-будівельної інспекції
України Єрьоміну В.В. було передано
заяви про реєстрацію шести баз
персональних даних від 05.12.2011 року за
№7/10-1395, 7/10-1396, 7/10-1398, 7/10-1399, який
здійснював подальшу процедуру
реєстрації у ДСЗПД України, тобто,
процедура реєстрації баз персональних
даних, володільцем яких є Інспекція,
розпочалася ще у 2011 році.

Однак, судом першої інстанції вірно
зауважено в своїй постанові, що з
аналізу положень Закону України «Про
захист персональних даних» не
вбачається, що набуття статусу
володільця бази персональних даних
безпосередньо пов'язано з отриманням
свідоцтва про реєстрацію бази
персональних даних у Державному
реєстрі баз персональних даних, що як
наслідок суд першої інстанції дійшов
до висновку, що викладені у п. 2
оскаржуваного припису вимоги
відповідають викладеним вище
положенням законодавства, а, відтак
скасуванню не підлягає.

Відповідно до ч. 1 ст. 71 КАС України
кожна сторона повинна довести ті
обставини, на яких ґрунтуються її
вимоги та заперечення, крім випадків,
встановлених статтею 72 цього Кодексу.

Доводи викладені в апеляційній скарзі,
висновки суду першої інстанції не
спростовують.

Таким чином, колегія суддів вирішила
згідно ст. 200 КАС України залишити
апеляційну скаргу без задоволення, а
постанову суду - без змін, з урахуванням
того, що суд першої інстанції правильно
встановив обставини справи та ухвалив
судове рішення з додержанням норм
матеріального та процесуального права.

Керуючись ст. ст. 160, 195, 196, 198, 200, 205, 206 КАС
України, суд ,-

У Х В А Л И В :

Апеляційну скаргу Інспекції
державного архітектурно-будівельного
контролю у Київській області - залишити
без задоволення, а постанову Окружного
адміністративного суду міста Києва від
27 грудня 2013 року - без змін.

Ухвала набирає законної сили з моменту
проголошення та може бути оскаржена
протягом двадцяти днів з дня її
складання в повному обсязі шляхом
подачі касаційної скарги
безпосередньо до Вищого
адміністративного суду України.

Повний текст ухвали виготовлено 28
лютого 2014 року.

Головуючий суддя:
О.М. Романчук

Судді:
Я.Б. Глущенко

С.Б.Шелест

Головуючий суддя
Романчук О.М

Судді:
Глущенко Я.Б.

Шелест С.Б.