Справа № 758/4391/17
3/758/2149/17 Категорія
П О С Т А Н О В А

І М Е Н Е М У К Р А Ї Н И

05 вересня 2017 року cуддя Подільського районного суду м.Києва Отвіновський П. Л., розглянувши матеріали, які надійшли від Секретаріату Уповноваженого Верховної Ради України з прав людини про притягнення до адміністративної відповідальності:

ОСОБА_1, ІНФОРМАЦІЯ_1, проживаючого за адресою: АДРЕСА_1 ,-

за ч. 4 ст. 188-39 КУпАП,-

В С Т А Н О В И В:

25 листопада 2016 року з метою проведення верифікації та подачі уточненої інформації до Міністерства фінансів України до ОСОБА_2 зателефонував працівник ТОВ «Дельта М Юкрейн», якому незрозуміло звідки були відомі її персональні дані, а саме: прізвище, ім'я, по батькові, дата народження, номер мобільного телефону, відомості про місце проживання.

Враховуючи наведене та беручи до уваги повідомлення інших осіб, оприлюднені у засобах масової інформації (інтернет-видання «MRPL.CITY» ІНФОРМАЦІЯ_2) та соціальній мережі «Facebook» (ІНФОРМАЦІЯ_3) про подібні телефонні дзвінки працівників ТОВ «Дельта М Юкрейн», з метою з'ясування обставин вказаної справи співробітниками Секретаріату Уповноваженого Верховної Ради України з прав людини було проведено позапланову виїзну перевірку додержання ТОВ «Дельта М Юкрейн» вимог законодавства про захист персональних даних.

За результатами вказаної перевірки було встановлено, що 23.09.2016 року Державне підприємство «Головний проектно-виробничий і сервісний центр комп'ютерних фінансових технологій» Міністерства фінансів України оголосило тендер на закупівлю послуг на проведення телефонної верифікації, переможцем в яких було визнано ТОВ «Дельта М Юкрейн».

11 листопада 2016 року між Державним підприємством «Головний проектно-виробничий і сервісний центр комп'ютерних фінансових технологій» Міністерства фінансів України та ТОВ «Дельта М Юкрейн» укладено Договір про закупівлю послуг № 76000-110-16/25.

На виконання вказаного договору Міністерство фінансів України, в особі начальника відділу верифікації Управління верифікації та моніторингу виплат ОСОБА_3, передало Державному підприємству «Головний проектно-виробничий і сервісний центр комп'ютерних фінансових технологій» Міністерства фінансів України, в особі заступника директора - головного інженера ОСОБА_1, яке у свою чергу передало директору ТОВ «Дельта М Юкрейн» ОСОБА_5 оптичний носій CD-RW з інформацією щодо фізичних осіб, які отримують виплати.

Згідно з протоколом приймання-передачі № 2 від 11.11.2016 на оптичному носію (CD-RW HLD671QB20000097BО3) містилася база даних, об'ємом по вихідним дзвінкам - 3500 (три тисячі п»ятсот) осіб, необхідними для здійснення фізичної веритифікації.

Проведений під час перевірки ТОВ «Дельта М Юкрейн» огляд файлів, що містилися на оптичному носії (CD-RW HLD671QB20000097BО3) показав, що на ньому розміщено файли у форматі «хlsх» з інформацією про прізвище, ім'я, по батькові, номер телефону фізичної особи. Щодо окремих осіб, окрім зазначеної інформації, містилися також відомості про їх зареєстроване місце проживання та місце перебування. Крім того, за наявною на оптичному носії інформацією можна було дізнатися джерело походження наданих відомостей про особу. Так, зокрема, у файлах містилася інформація проте, з якого реєстру та/або бази даних відомства та/або установи було відібрано зазначену інформацію про особу.

Сукупність відомостей, зазначених в оприлюднених списках відповідно до Закону України «Про інформацію», Закону України «Про захист персональних даних» та рішення Конституційного Суду України від 20.01.2012 №2-рп/2012 є персональними даними, тобто конфіденційною інформацією про особу.

В суді ОСОБА_1 свою вину не визнав та пояснив, що на виконання Постанови Кабінету міністрів України від 18.02.2016 р. № 136, порядку використання коштів, передбачених у державному бюджеті для побудови і забезпечення функціонування інформаційно-аналітичної платформи верифікації та здійснення інших заходів, пов'язаних з її впровадженням (затвердженого Постановою КМУ від 14.03.2016 р. № 168) Головфінтех у 2016 році провів торги на закупівлю послуг з проведення телефонної верифікації. Розмір бюджетного призначення на телефонну верифікацію складав два мільйони грн. 00 коп. В результаті проведення торгів договір уклався на суму дев'ятсот дев'яносто дев'ять тисяч дев'ятсот дев'яносто дев'ять грн. 00 коп.

Враховуючи п. 2.6. Договору від 31.10.2016 р. за №76000-110-16/23 Виконавець зобов'язується перевірити тільки окремі дані, щодо осіб, які отримують соціальні виплати, відповідно і Головфінтех, як замовник передасть інформацію Виконавцю за окремими даними. Вищевказане положення договору перевіряючими Секретаріату Уповноваженого ВРУ з прав людини в Акті від 23.01.2017 р. та Протоколі не було враховано, що є недопустимим, адже персональні дані згідно абзацу восьмого статті 2 Закону України «Про захист персональних даних», є відомості чи сукупність відомостей про фізичну особу, яка ідентифікована або може бути конкретно ідентифікована. Також не враховано Алгоритм діалогу Виконавця з Фізичною особою де чітко вказано, що Виконавець лише уточнює з відповіддю так чи ні окремі дані щодо фізичної особи, або фізична особа добровільно повідомляє інформацію щодо себе.

На виконання Договору від 31.10.2016 р. за №76000-110-16/23 Міністерство фінансів передає ДП Головфінтех, яке передає ТОВ «Дельта М Юкрейн» оптичний носій з інформацією щодо 150 000 фізичних осіб, які отримують соціальні виплати, пільги, субсидії та ін. за рахунок коштів державного та місцевого бюджетів, коштів Пенсійного фонду та ін. з метою перевірки правомірності вказаних виплат. При цьому, за інформацією представника Міністерства фінансів на оптичному носії розміщені тільки окремі дані щодо фізичних осіб, а саме ПІБ фізичної особи та номер телефону, що не можуть конкретно ідентифікувати особу і відповідно не відносяться до персональних даних.

Окремо слід зауважити, що згідно Регламенту обміну інформацією між Міністерством фінансів та ДП Головфінтех від 01.07.2016 р. працівники підприємства отримують для обробки тільки знеособлені інформаційні масиви.

На думку ОСОБА_1 ДП Головфінтех і він, як виконуючий обов'язки керівника підприємства не порушували норм Закону України «Про захист персональних даних», оскільки інформація, яка знаходилась на оптичному носії не може класифікуватись як персональні дані.

Уповноважений Верховної Ради України з права людини ОСОБА_6 та ОСОБА_2 в судовому засіданні повністю підтримали складений відносно ОСОБА_1 протокол і просили визнати його винним в скоєному адміністративному правопорушенню передбаченого ч. 4 ст. 188-39 КУпАП.

Суд вислухавши учасників судового розгляду, матеріали справи про адміністративне правопорушення та надані учасниками докази на спростування та підтвердження своїх доводів, дійшов висновку, що в діях ОСОБА_1 є склад адміністративного правопорушення передбаченого ч. 4 ст. 188-39 КУпАП і вищезазначене підтверджується наступним.

Конституційний Суд України, даючи офіційне тлумачення частин 1, 2 статті 32 Конституції України, у своєму рішенні від 20.01.2012 №2-рп/2012 у справі за конституційним поданням Жашківської районної ради Черкаської області зазначив, що інформація про особисте та сімейне життя особи (персональні дані про неї) - це будь-які відомості чи сукупність відомостей про фізичну особу, яка ідентифікована або може бути конкретно ідентифікована, а саме: національність, освіта, сімейний стан, релігійні переконання, стан здоров'я, матеріальний стан, адреса, дата і місце народження, місце проживання та перебування тощо, дані про особисті майнові та немайнові відносини цієї особи з іншими особами, зокрема членами сім'ї, а також відомості про події та явища, що відбувалися або відбуваються у побутовому, інтимному, товариському, професійному, діловому та інших сферах життя особи, за винятком даних стосовно виконання повноважень особою, яка займає посаду, пов'язану зі здійсненням функцій держави або органів місцевого самоврядування.

Статтею 32 Конституції України передбачено, що ніхто не може зазнавати втручання в його особисте і сімейне життя, крім випадків, передбачених Конституцією України. Не допускається збирання, зберігання, використання та поширення конфіденційної інформації про особу без її згоди, крім випадків, визначених законом, і лише в інтересах національної безпеки, економічного добробуту та прав людини.

Відповідно до статті 6 Закону України «Про захист персональних даних» обробка персональних даних здійснюється для конкретних і законних цілей, визначених за згодою суб'єкта персональних даних, або у випадках, передбачених законами України, у порядку, встановленому законодавством.

Відповідно до частини 2 статті 14 Закону України «Про захист персональних даних» поширення персональних даних без згоди суб'єкта персональних даних або уповноваженої ним особи дозволяється у випадках, визначених законом, і лише (якщо це необхідно) в інтересах національної безпеки, економічного добробуту та прав людини.

При обробці відомостей про фізичну особу володілець персональних даних вживає заходів щодо забезпечення їх захисту, у тому числі за допомогою організаційних та технічних заходів.

При зберіганні персональних даних володілець повинен забезпечити їх цілісність (схоронність) та встановити відповідний режим доступу до них.

На працівників суб'єктів відносин, пов'язаних із персональними даними, покладається обов'язок не розголошувати у будь-який спосіб персональні дані, які їм було довірено або які стали відомі у зв'язку з виконанням професійних чи службових або трудових обов'язків, крім випадків, передбачених законом. Використання таких даних повинно здійснюватися лише відповідно до їхніх професійних чи службових або трудових обов'язків (частина 3 статті 10 Закону України «Про захист персональних даних»).

Відповідно до частини 1 статті 24 Закону України «Про захист персональних даних» на володільця (розпорядника) персональних даних покладено обов'язок забезпечувати захист персональних даних від випадкових втрати або знищення, від незаконної обробки, у тому числі незаконного знищення чи доступу до персональних даних.

Частиною 2 статті 4 Закону України «Про захист персональних даних» передбачено, що володільцем чи розпорядником персональних даних можуть бути підприємства, установи і організації усіх форм власності, органи державної влади чи органи місцевого самоврядування, фізичні особи - підприємці, які обробляють персональні дані відповідно до закону.

Водночас частиною 3 цієї ж статті встановлено обмеження, відповідно до якого розпорядником персональних даних, володільцем яких є орган державної влади чи орган місцевого самоврядування, крім цих органів, може бути лише підприємство державної або комунальної форми власності, що належить до сфери управління цього органу.

Пунктом 7 «Порядку здійснення верифікації та моніторингу достовірності інформації, поданої фізичними особами для нарахування та отримання соціальних виплат, пільг, субсидій, пенсій, заробітної плати, інших виплат, що здійснюються за рахунок коштів державного та місцевих бюджетів, коштів Пенсійного фонду України, фондів загальнообов'язкового державного соціального страхування», затвердженого постановою Кабінету Міністрів України від 18.02.2016 № 136, передбачено, що верифікація та моніторинг державних виплат здійснюються структурним підрозділом Мінфіну.

Відповідно до пункту 1 розпорядження Кабінету Міністрів України від 11.02.2016 № 101-р «Деякі питання адміністрування та підтримки функціонування Аналітично-інформаційної платформи електронної верифікації та моніторингу» Державне підприємство «Головний проектно-виробничий і сервісний центр комп'ютерних фінансових технологій» Міністерства фінансів України визначено адміністратором Аналітично-інформаційної платформи електронної верифікації та моніторингу.

З аналізу вказаних норм випливає, що Міністерство фінансів України є володільцем персональних даних, які йому були передані для здійснення верифікації, а Державне підприємство «Головний проектно-виробничий і сервісний центр комп'ютерних фінансових технологій» Міністерства фінансів України, будучи адміністратором Аналітично-інформаційної платформи електронної верифікації та моніторингу, є їх розпорядником.

Відтак, враховуючи вказані положення законодавства, ТОВ «Дельта М Юкрейн», яке не належить до сфери управління Міністерства фінансів України, не може бути розпорядником персональних даних за Договором про закупівлю послуг від 11.11.2016 № 76000-110-16/25.

Перевіркою додержання Управлінням верифікації та моніторингу виплат Міністерства фінансів України законодавства про захист персональних даних встановлено, що оголошення тендеру на закупівлю послуг на проведення телефонної верифікації, а також укладення Державним підприємством «Головний проектно-виробничий і сервісний центр комп'ютерних фінансових технологій» Міністерства фінансів України Договору про закупівлю послуг від 11.11.2016 № 76000- 110-16/25 (щодо проведення телефонної верифікації) з подальшою передачею посадовими особами Міністерства фінансів України на виконання вказаного договору згідно з протоколом приймання-передачі №2 від 11.11.2016 ТОВ «Дельта М Юкрейн» оптичного носія (CD-RW HLD671QB20000097BО3) з персональними даними фізичних осіб, які отримали державні виплати, відбулося з порушенням вимог частини 3 статті 4 Закону України «Про захист персональних даних».

Аналізуючи все вищезазначене суд дійшов висновку, що заступником директора - головним інженером Державного підприємства «Головний проектно-виробничий і сервісний центр комп»ютерних фінансових технологій» Міністерства фінансів України ОСОБА_1, як посадовою особою володільця персональних даних - Міністерства фінансів України, не було дотримано встановленого законодавством порядку захисту персональних даних, внаслідок чого персональні дані осіб, які отримують державні виплати, були передані третім особам.

Таким чином, передавши директору ТОВ «Дельта М Юкрейн» ОСОБА_5 за протоколом приймання-передачі № 2 від 11.11.2016 оптичний носій (CD-RW HrD671QB20000097BО3) з персональними даними осіб, які отримують державні виплати, заступник директора - головний інженер Державного підприємства «головний проектно-виробничий і сервісний центр ком»ютерних фінансових технологій» Міністерства фінансів України ОСОБА_1, як посадова особа володільця персональних даних, порушив вимоги частини 3 статті 4, частини З статті 10, частини 1 статті 24 Закону України «Про захист персональних даних», не забезпечив належний рівень захисту персональних даних осіб, відомості про яких було розміщено на вказаному оптичному носію, чим 11.11.2016 у м. Києві (вул. Межигірська, 11) вчинив адміністративне правопорушення, передбачене ч. 4 статті 188-39 КУпАП, а саме недодержався встановленого законодавством про захист персональних даних порядку захисту персональних даних, що призвело до незаконного доступу до них та порушення прав суб'єктів персональних даних (осіб, відомості про яких було розміщено на вказаному оптичному носію) на захист від незаконної обробки (пункт 7 частини 2 статті 8 Закону України «Про захист персональних даних»).

Відповідно до статті 247 КУпАП, провадження в справі про адміністративне правопорушення не може бути розпочато, а розпочате підлягає закриттю, у випадку закінчення строків передбачених статтею 38 КУпАП.

Як убачається з матеріалів справи, адміністративне правопорушення ОСОБА_1 вчинив 01 листопада 2016 р., тобто строк накладення адміністративного стягнення 3 місяці закінчився, а тому розпочате провадження у справі підлягає закриттю.

На підставі викладеного, керуючись п. 2 ст. 38, ч. 4 ст. 188-39, п. 7 ст. 247, 291, 294 КУпАП,-

П О С Т А Н О В И В:

ОСОБА_1 - визнати винним у вчиненні адміністративного правопорушення, передбаченого ч. 4 ст. 188-39 КУпАП.

Провадження в справі про адміністративне правопорушення за ч. 4 ст. 188-39 КУпАП відносно ОСОБА_1 у зв'язку з закінченням строків накладення адміністративного стягнення - закрити.

Постанова судді у справах про адміністративне правопорушення набирає законної сили після закінчення строку оскарження (внесення подання прокурора) цієї постанови.

Постанова по справі про адміністративне правопорушення може бути оскаржена прокурором у випадках, передбачених ч. 5 ст. 7 КУпАП, особою, щодо якої її винесено, а також потерпілим протягом десяти днів з дня винесення постанови.

Скарга, подання прокурора подаються до відповідного апеляційного суду через місцевий суд, який виніс постанову.

Суддя П. Л. Отвіновський