Справа № 758/4393/17
3/758/2151/17 Категорія
П О С Т А Н О В А

І М Е Н Е М У К Р А Ї Н И

05 вересня 2017 року cуддя Подільського районного суду м.Києва Отвіновський П. Л., розглянувши матеріали, які надійшли від Секретаріату Уповноваженого Верховної Ради України з прав людини про притягнення до адміністративної відповідальності:

ОСОБА_1, ІНФОРМАЦІЯ_1, проживаючого за адресою: АДРЕСА_1

за ч. 4 ст. 188-39 КУпАП,-

В С Т А Н О В И В:

25 листопада 2016 року з метою проведення верифікації та подачі уточненої інформації до Міністерства фінансів України до ОСОБА_3 зателефонував працівник ТОВ «Дельта М Юкрейн», якому незрозуміло звідки були відомі її персональні дані, а саме: прізвище, ім'я, по батькові, дата народження, номер мобільного телефону, відомості про місце проживання.

Враховуючи наведене та беручи до уваги повідомлення інших осіб, оприлюднені у засобах масової інформації (інтернет-видання «ІНФОРМАЦІЯ_2) та соціальній мережі «Facebook» (ІНФОРМАЦІЯ_3) про подібні телефонні дзвінки працівників ТОВ «Дельта М Юкрейн», з метою з'ясування обставин вказаної справи співробітниками Секретаріату Уповноваженого Верховної Ради України з прав людини було проведено позапланову виїзну перевірку додержання ТОВ «Дельта М Юкрейн» вимог законодавства про захист персональних даних.

За результатами вказаної перевірки було встановлено, що 22.09.2016 року Державне підприємство Головний проектно-виробничий і сервісний центр комп'ютерних фінансових технологій» Міністерства фінансів України оголосило тендер на закупівлю послуг на проведення телефонної верифікації, переможцем в яких було визнано ТОВ «Дельта М Юкрейн».

31 жовтня 2016 року між Державним підприємством «Головний проектно-виробничий і сервісний центр комп'ютерних фінансових технологій» Міністерства фінансів України та ТОВ «Дельта М Юкрейн» укладено Договір про закупівлю послуг № 76000-110-16/23.

На виконання вказаного договору Міністерство фінансів України, в особі начальника відділу верифікації Управління верифікації та моніторингу виплат ОСОБА_1, передало Державному підприємству «Головний проектно-виробничий і сервісний центр комп'ютерних фінансових технологій» Міністерства фінансів України, в особі заступника директора - головного інженера ОСОБА_4, яке у свою чергу передало директору ТОВ «Дельта М Юкрейн» ОСОБА_5 оптичний носій CD-RW з інформацією щодо фізичних осіб, які отримують виплати.

Згідно з протоколом приймання-передачі № 1 від 01.11.2016 на оптичному носію (CD-RW HLD671QB20000097BО3) містилася база даних, об'ємом по вихідним дзвінкам - 150000 (сто п'ятдесят тисяч) записів, що містила інформацію необхідну для здійснення телефонної верифікації осіб, а саме їх: прізвище, ім'я, по батькові, номер телефону.

Вказана інформація була записана на оптичний носій начальником відділу верифікації Управління верифікації та моніторингу виплат Міністерства фінансів України ОСОБА_1, що підтверджується наданими ним письмовими поясненнями від 06.12.2016 року.

З письмових пояснень головного інженера Державного підприємства «Головний проектно - виробничий і сервісний центр комп'ютерних фінансових технологій» Міністерства фінансів України ОСОБА_6 від 01.12.2016 року вбачається, що передача оптичного носія (CD-RW HLD671QB20000097B03) з відомостями, необхідними для здійснення телефонної верифікації відбувалася 01.11.2016 року у приміщенні Управління верифікації та моніторингу виплат Міністерства фінансів України у місті Києві, по вулиці Межигірській, 11.

Проведений під час перевірки ТОВ «Дельта М Юкрейн» огляд файлів, що містилися на вказаному оптичному носію показав, що на ньому розміщено файли у форматі «хlsх» з інформацією про прізвище, ім'я, по батькові, номер телефону фізичної особи. Щодо окремих осіб, окрім зазначеної інформації, містилися також відомості про їх зареєстроване місце проживання та місце перебування. Крім того, за наявною на оптичному носії інформацією можна було дізнатися джерело походження наданих відомостей про особу. Так, зокрема, у файлах містилася інформація проте, з якого реєстру та/або бази даних відомства та/або установи було відібрано зазначену інформацію про особу.

Сукупність відомостей, зазначених в оприлюднених списках відповідно до Закону України «Про інформацію», Закону України «Про захист персональних даних» та рішення Конституційного Суду України від 20.01.2012 №2-рп/2012 є персональними даними, тобто конфіденційною інформацією про особу.

В суді ОСОБА_1 свою вину не визнав та пояснив, що він, в своїй роботі керується Конституцією України, законами України, актами Президента України, Кабінету Міністрів України, рішеннями колегії Міністерства, наказами Міністерства, Положенням про Міністерство фінансів України та Положенням про Управління верифікації та моніторингу виплат Міністерства фінансів України, пунктом 40 розділу VI Бюджетного кодексу України, постановою Кабінету Міністрів України «Про внесення змін до Положення про Міністерство фінансів України» від 11 лютого 2016 р. № 185, постановою Кабінету Міністрів України «Про затвердження Порядку здійснення верифікації та моніторингу достовірності інформації, поданої фізичними особами для нарахування та отримання соціальних виплат, пільг, субсидій, пенсій, заробітної плати, інших виплат, що здійснюються за рахунок коштів державного та місцевих бюджетів, коштів Пенсійного фонду України, фондів загальнообов'язкового державного соціального страхування» від 18 лютого 2016 р. № 136, постановою Кабінету Міністрів України «Про затвердження Порядку адміністрування Аналітично-інформаційної платформи електронної верифікації та моніторингу» від 18 лютого 2016 р. № 137, постановою Кабінету Міністрів України «Про затвердження Порядку використання коштів, передбачених у державному бюджеті для побудови і забезпечення функціонування інформаційно-аналітичної платформи верифікації та здійснення інших заходів, пов'язаних з її впровадженням, та внесення змін до деяких актів Кабінету Міністрів України» від 14 березня 2016 р. № 168, розпорядженням Кабінету Міністрів України «Про забезпечення доступу Міністерства фінансів до інтегрованої міжвідомчої інформаційно-телекомунікаційної системи здійснення контролю осіб, транспортних засобів та вантажів, які перетинають державний кордон» від 11 лютого 2016 р. № 91-р, розпорядженням Кабінету Міністрів України «Деякі питання адміністрування та підтримки функціонування Аналітично-інформаційної системи електронної верифікації та моніторингу» від 11 лютого 2016 р. № 101-р, наказом Міністерства фінансів України «Про затвердження Положення про Управління верифікації та моніторингу виплат» від 25 листопада 2016 р. №1036, наказом Міністерства фінансів України «Про затвердження Положення про порядок заповнення електронних матриць верифікаційних виплат» від 11 квітня 2016 року № 440.

Управління верифікації та моніторингу виплат Міністерства фінансів, відповідно до покладених на Управління завдань здійснює обробку, збереження та верифікацію персональних даних одержувачів соціальної допомоги та банківської таємниці, здійснює створення та супровід відповідних інформаційних баз даних щодо одержувачів соціальної допомоги на підставі інформації щодо нарахування та отримання соціальних виплат, пільг, субсидій, пенсій, заробітних плат, інших виплат, що здійснюються за рахунок коштів державного та місцевих бюджетів, фондів.

Управління має право готувати, направляти проекти запитів до центральних та місцевих органів виконавчої влади, банків та інших фінансових установ, підприємств установ та організацій усіх форм власності, громадян з метою отримання персональних даних та банківської таємниці з дотриманням вимог законодавства з питань державної таємниці для виконання функціональних повноважень Управління.

З метою унормування особливостей роботи Управління з персональними даними, розроблено наказ, спрямований на визначення комплексу організаційних та технічних заходів для забезпечення захисту персональних даних, у тому числі інформації, яка містить банківську таємницю, що використовуються в процесі верифікації та моніторингу достовірності інформації, поданої фізичними особами для нарахування та отримання соціальних виплат, пільг, субсидій, пенсій, заробітної плати, інших виплат, що здійснюються за рахунок коштів державного та місцевих бюджетів, коштів Пенсійного фонду, фондів загальнообов'язкового державного соціального страхування, від несанкціонованого доступу, витоку інформації, неправомірного використання або втрати під час обробки. Проект наказу було доопрацьовано з урахуванням зауважень і пропозицій, наданих МВС, ДФС, Секретаріату Уповноваженого ВРУ з прав людини. Наразі відповідний наказ готується до державної реєстрації в Міністерстві юстиції України.

Міністерство фінансів України отримує інформацію відповідно до Порядку здійснення верифікації та моніторингу достовірності інформації, поданої фізичними особами для нарахування та отримання соціальних виплат, пільг, субсидій, пенсій, заробітної плати, інших виплат, що здійснюються за рахунок коштів державного та місцевих бюджетів, коштів Пенсійного фонду України, фондів загальнообов'язкового державного соціального страхування, затвердженого Постановою КМУ від 18 лютого 2016 р. № 136.

Міністерство фінансів отримує інформацію від донорів інформації (наприклад, Мінсоцполітики, Пенсійного фонду, Державної фіскальної служби, Держприкордонслужби, Держказначейства, ФСС по ТВП, ФСС по НВ, Державної служби зайнятості та ін). Зокрема, Мінфін отримує інформацію відповідно до Угоди про обмін і передачу інформації між Міністерством фінансів України та Міністерством соціальної політики України від 11 квітня 2016 року № 13010-05/46.

Відкриті торги на закупівлю послуг на проведення телефонної верифікації було оголошено 22.09.2016 відповідно до протоколу засідання тендерного комітету Головфінтех №3 від 21.09.16. (ідентифікатор закупівлі иА-2016-09-22-000585-а). У закупівлі приймало участь 3 учасника: ФОП "ОСОБА_8", ТОВ "ДЕЛЬТА М ЮКРЕЙН" та ТОВ "ВІНДІКС". За результатами аукціону переможцем було визнано ФОП "ОСОБА_8", яка запропонувала найнижчу ціну - 999998 грн., але при розгляді пропозиції було виявлені певні недоліки, а саме відсутність необхідних довідок згідно з ст.16 Закону України "Про публічні закупівлі". Наступним за ціновим критерієм було ТОВ "Дельта М Юкрейн" (999999 ГРН.). В результаті розгляду їх пропозиції недоліків знайдено не було, тому їх було визнано переможцями. Результати розгляду тендерних пропозицій оформлено протоколом тендерного комітету Головфінтех №13 від 12.10.16 та оприлюднено відповідно до законодавства. В результаті проведення закупівлі з ТОВ "Дельта М Юкрейн" було укладено договір на проведення телефонної верифікації №7600-110-16/23 від 31.10.16 р. В рамках договору було розроблено алгоритм (сценарій) діалогу Виконавця з Фізичною особою та підписано додаткову угоду №1 від 28.11.16 в якій було погоджено Форму звіту з реалізації послуг та Форму акту приймання-передачі наданих послуг. Інформація щодо фізичних осіб, які отримують державні виплати передавалась згідно протоколів 1 та 3 приймання-передачі оптичного носія з інформацією (додається).

Відповідно до зазначеного Акту Міністерство фінансів в моїй особі передало інформацію ДП «Головфінтех». Яке в рамках Договору надало інформацію ТОВ «Дельта М».

Відповідно до статті 4 Закону України «Про захист персональних даних» розпорядником персональних даних, володільцем яких є орган державної влади чи орган місцевого самоврядування, крім цих органів, може бути лише підприємство державної або комунальної форми власності, що належить до сфери управління цього органу.

Оскільки ДП «Головфінтех» є підприємством державної форми власності - Мінфін мав законодавчі підстави передавати інформацію підприємству.

Відповідно до статті 4 Закону України «Про захист персональних даних» Володілець персональних даних може доручити обробку персональних даних розпоряднику персональних даних відповідно до договору, укладеного в письмовій формі.

Відповідний регламент обміну інформацією між Мінфіном та ДП «Головфінтех» також було укладено.

Телефонна верифікація здійснюється за результатами проведення електронної верифікації.

Заходи телефонної верифікації здійснюються з використанням наданих компетентними органами даних щодо померлих осіб, а також осіб, щодо яких виявлено факти перебування поза межами України та осіб, місця фактичного отримання державних допомог яких потребують додаткового з'ясування, тощо.

Під час проведення телефонної верифікації Замовник надає лише мінімальний обсяг інформації, необхідний компанії для здійснення телефонної верифікації (ПІБ, контактний номер телефону).

Згідно Закону України «Про захист персональних даних» персональні дані - відомості чи сукупність відомостей про фізичну особу, яка ідентифікована або може бути конкретно ідентифікована.

Таким чином, поєднання відомостей - ПІБ та телефон фізичної особи, не дозволяють ідентифікувати конкретну особу, оскільки за такими даним неможливо визначити місцезнаходження людини, вік, вигляд, особливості, тощо.

Враховуючи вищенаведене, передача персональних даних не відбувалася - передано лише частину інформації про людей, яка не є персональними даними.

Право проводити телефонну верифікацію закріплено абзацом восьмим пункту 3 Порядку використання коштів, передбачених у державному бюджеті для побудови і забезпечення функціонування інформаційно-аналітичної платформи верифікації та здійснення інших заходів, пов'язаних з її впровадженням, та внесення змін до деяких актів Кабінету Міністрів України, затвердженого Постановою Кабінету Міністрів України від 14 березня 2016 р. № 168, та відповідним регламентом, затвердженим заступником Міністра фінансів України 05.04.2016 р.

Такими ж документами та підставами було проведено фізичну верифікацію, лише з однією особливістю - передано адресу, вказану особою, як місце перебування, та ім'я і по-батькові особи (без прізвища), що також є лише частиною інформації про людей, яка не є персональними даними.

Робота з вказаною інформацією здійснювалася з посиленими засобами її захисту.

Жодній людині, щодо якої проводилася телефонна чи фізична верифікація, не завдано ніяких збитків та не нанесено жодної шкоди, ні матеріальної, ні моральної.

На думку ОСОБА_1 він не надавав персональні дані третім особам. В рамках його посадових обов'язків ним було передано лише ПІБ та номер телефону, які не дозволяють конкретно ідентифікувати ту чи іншу особу.

Уповноважений Верховної Ради України з права людини ОСОБА_7 та ОСОБА_3 в судовому засіданні повністю підтримали складений відносно ОСОБА_1 протокол і просили визнати його винним в скоєному адміністративному правопорушенню передбаченого ч. 4 ст. 188-39 КУпАП.

Суд вислухавши учасників судового розгляду, матеріали справи про адміністративне правопорушення та надані учасниками докази на спростування та підтвердження своїх доводів, дійшов висновку, що в діях ОСОБА_1 є склад адміністративного правопорушення передбаченого ч. 4 ст. 188-39 КУпАП і вищезазначене підтверджується наступним.

Конституційний Суд України, даючи офіційне тлумачення частин 1, 2 статті 32 Конституції України, у своєму рішенні від 20.01.2012 №2-рп/2012 у справі за конституційним поданням Жашківської районної ради Черкаської області зазначив, що інформація про особисте та сімейне життя особи (персональні дані про неї) - це будь-які відомості чи сукупність відомостей про фізичну особу, яка ідентифікована або може бути конкретно ідентифікована, а саме: національність, освіта, сімейний стан, релігійні переконання, стан здоров'я, матеріальний стан, адреса, дата і місце народження, місце проживання та перебування тощо, дані про особисті майнові та немайнові відносини цієї особи з іншими особами, зокрема членами сім'ї, а також відомості про події та явища, що відбувалися або відбуваються у побутовому, інтимному, товариському, професійному, діловому та інших сферах життя особи, за винятком даних стосовно виконання повноважень особою, яка займає посаду, пов'язану зі здійсненням функцій держави або органів місцевого самоврядування.

Статтею 32 Конституції України передбачено, що ніхто не може зазнавати втручання в його особисте і сімейне життя, крім випадків, передбачених Конституцією України. Не допускається збирання, зберігання, використання та поширення конфіденційної інформації про особу без її згоди, крім випадків, визначених законом, і лише в інтересах національної безпеки, економічного добробуту та прав людини.

Відповідно до статті 6 Закону України «Про захист персональних даних» обробка персональних даних здійснюється для конкретних і законних цілей, визначених за згодою суб'єкта персональних даних, або у випадках, передбачених законами України, у порядку, встановленому законодавством.

Відповідно до частини 2 статті 14 Закону України «Про захист персональних даних» поширення персональних даних без згоди суб'єкта персональних даних або уповноваженої ним особи дозволяється у випадках, визначених законом, і лише (якщо це необхідно) в інтересах національної безпеки, економічного добробуту та прав людини.

При обробці відомостей про фізичну особу володілець персональних даних вживає заходів щодо забезпечення їх захисту, у тому числі за допомогою організаційних та технічних заходів.

При зберіганні персональних даних володілець повинен забезпечити їх цілісність (схоронність) та встановити відповідний режим доступу до них.

На працівників суб'єктів відносин, пов'язаних із персональними даними, покладається обов'язок не розголошувати у будь-який спосіб персональні дані, які їм було довірено або які стали відомі у зв'язку з виконанням професійних чи службових або трудових обов'язків, крім випадків, передбачених законом. Використання таких даних повинно здійснюватися лише відповідно до їхніх професійних чи службових або трудових обов'язків (частина 3 статті 10 Закону України «Про захист персональних даних»).

Відповідно до частини 1 статті 24 Закону України «Про захист персональних даних» на володільця (розпорядника) персональних даних покладено обов'язок забезпечувати захист персональних даних від випадкових втрати або знищення, від незаконної обробки, у тому числі незаконного знищення чи доступу до персональних даних.

Частиною 2 статті 4 Закону України «Про захист персональних даних» передбачено, що володільцем чи розпорядником персональних даних можуть бути підприємства, установи і організації усіх форм власності, органи державної влади чи органи місцевого самоврядування, фізичні особи - підприємці, які обробляють персональні дані відповідно до закону.

Водночас частиною 3 цієї ж статті встановлено обмеження, відповідно до якого розпорядником персональних даних, володільцем яких є орган державної влади чи орган місцевого самоврядування, крім цих органів, може бути лише підприємство державної або комунальної форми власності, що належить до сфери управління цього органу.

Пунктом 7 «Порядку здійснення верифікації та моніторингу достовірності інформації, поданої фізичними особами для нарахування та отримання соціальних виплат, пільг, субсидій, пенсій, заробітної плати, інших виплат, що здійснюються за рахунок коштів державного та місцевих бюджетів, коштів Пенсійного фонду України, фондів загальнообов'язкового державного соціального страхування», затвердженого постановою Кабінету Міністрів України від 18.02.2016 № 136, передбачено, що верифікація та моніторинг державних виплат здійснюються структурним підрозділом Мінфіну.

Відповідно до пункту 1 розпорядження Кабінету Міністрів України від 11.02.2016 № 101-р «Деякі питання адміністрування та підтримки функціонування Аналітично-інформаційної платформи електронної верифікації та моніторингу» Державне підприємство «Головний проектно-виробничий і сервісний центр комп'ютерних фінансових технологій» Міністерства фінансів України визначено адміністратором Аналітично-інформаційної платформи електронної верифікації та моніторингу.

З аналізу вказаних норм випливає, що Міністерство фінансів України є володільцем персональних даних, які йому були передані для здійснення верифікації, а Державне підприємство «Головний проектно-виробничий і сервісний центр комп'ютерних фінансових технологій» Міністерства фінансів України, будучи адміністратором Аналітично-інформаційної платформи електронної верифікації та моніторингу, є їх розпорядником.

Відтак, враховуючи вказані положення законодавства, ТОВ «Дельта М Юкрейн», яке не належить до сфери управління Міністерства фінансів України, не може бути розпорядником персональних даних за Договором про закупівлю послуг від 31.10.2016 № 76000-110-16/23.

Перевіркою додержання Управлінням верифікації та моніторингу виплат Міністерства фінансів України законодавства про захист персональних даних встановлено, що оголошення тендеру на закупівлю послуг на проведення телефонної верифікації, а також укладення Державним підприємством «Головний проектно-виробничий і сервісний центр комп'ютерних фінансових технологій» Міністерства фінансів України Договору про закупівлю послуг від 31.10.2016 № 76000- 110-16/23 (щодо проведення телефонної верифікації) з подальшою передачею посадовими особами Міністерства фінансів України на виконання вказаного договору згідно з протоколом приймання-передачі №1 від 01.11.2016 ТОВ «Дельта М Юкрейн» оптичного носія (CD-RW HLD671QB20000097B03) з персональними даними фізичних осіб, які отримали державні виплати, відбулося з порушенням вимог частини 3 статті 4 Закону України «Про захист персональних даних».

Аналізуючи все вищезазначене суд дійшов висновку, що начальником відділу верифікації Управління верифікації та моніторингу виплат Міністерства фінансів України ОСОБА_1, як посадовою особою володільця персональних даних - Міністерства фінансів України, не було дотримано встановленого законодавством порядку захисту персональних даних, внаслідок чого персональні дані осіб, які отримують державні виплати, були передані третім особам.

Таким чином, передавши заступнику директора - головному інженеру Державного підприємства «Головний проектно-виробничий і сервісний центр комп'ютерних фінансових технологій» Міністерства фінансів України ОСОБА_6 та директору ТОВ «Дельта М Юкрейн» ОСОБА_5 за протоколом приймання-передачі № 1 від 01.11.2016 оптичний носій (CD-RW HrD671QB20000097B03) з персональними даними осіб, які отримують державні виплати, начальник відділу верифікації Управління верифікації та моніторингу виплат Міністерства фінансів України ОСОБА_1, як посадова особа володільця персональних даних, порушив вимоги частини 3 статті 4, частини З статті 10, частини 1 статті 24 Закону України «Про захист персональних даних», не забезпечив належний рівень захисту персональних даних осіб, відомості про яких було розміщено на вказаному оптичному носію, чим 01.11.2016 у м. Києві (вул. Межигірська, 11) вчинив адміністративне правопорушення, передбачене ч. 4 статті 188-39 КУпАП, а саме недодержався встановленого законодавством про захист персональних даних порядку захисту персональних даних, що призвело до незаконного доступу до них та порушення прав суб'єктів персональних даних (осіб, відомості про яких було розміщено на вказаному оптичному носію) на захист від незаконної обробки (пункт 7 частини 2 статті 8 Закону України «Про захист персональних даних»).

Відповідно до статті 247 КУпАП, провадження в справі про адміністративне правопорушення не може бути розпочато, а розпочате підлягає закриттю, у випадку закінчення строків передбачених статтею 38 КУпАП.

Як убачається з матеріалів справи, адміністративне правопорушення ОСОБА_1 вчинив 01 листопада 2016 р., тобто строк накладення адміністративного стягнення 3 місяці закінчився, а тому розпочате провадження у справі підлягає закриттю.

На підставі викладеного, керуючись п. 2 ст. 38, ч. 4 ст. 188-39, п. 7 ст. 247, 291, 294 КУпАП,-

П О С Т А Н О В И В:

ОСОБА_1 - визнати винним у вчиненні адміністративного правопорушення, передбаченого ч. 4 ст. 188-39 КУпАП.

Провадження в справі про адміністративне правопорушення за ч. 4 ст. 188-39 КУпАП відносно ОСОБА_1 у зв'язку з закінченням строків накладення адміністративного стягнення - закрити.

Постанова судді у справах про адміністративне правопорушення набирає законної сили після закінчення строку оскарження (внесення подання прокурора) цієї постанови.

Постанова по справі про адміністративне правопорушення може бути оскаржена прокурором у випадках, передбачених ч. 5 ст. 7 КУпАП, особою, щодо якої її винесено, а також потерпілим протягом десяти днів з дня винесення постанови.

Скарга, подання прокурора подаються до відповідного апеляційного суду через місцевий суд, який виніс постанову.

Суддя П. Л. Отвіновський