печерський районний суд міста києва
П О С Т А Н О В А

І М Е Н Е М У К Р А Ї Н И

15 вересня 2021 року суддя Печерського районного суду м. Києва Константінова К.Е., за участю захисника Віценка А.Г. та представника потерпілого - адвоката Бема М.В., розглянувши матеріали, які надійшли від Представника Уповноваженого Верховної Ради України з прав людини про притягнення до адміністративної відповідальності

ОСОБА_1 , ІНФОРМАЦІЯ_1 , громадянина України, керівника Дочірнього підприємства «КиївГазЕнерджи», який проживає за адресою: АДРЕСА_1 , РНОКПП НОМЕР_1 ,

за ч.4 ст.188-39 КУпАП,

В С Т А Н О В И В :

Згідно протоколу про адмінправопорушення ОСОБА_1 , будучи керівником Дочірнього підприємства «КиївГазЕнерджи», не додержав встановлений законодавством про захист персональних даних порядку захисту персональних даних, що призвело до незаконного доступу до них та порушення права користувачів зазначеного вебсайту на захист своїх персональних даних від незаконної обробки, за наступних обставин.

Так, до Уповноваженого Верховної Ради України з прав людини 14.06.2021 надійшло звернення адвоката Бема М.В. в інтересах ОСОБА_2 щодо стверджуваного порушення дочірнім підприємством «КиївГазЕнерджи» вимог Закону України «Про захист персональних даних».

Заявник зазначає та підтверджує відповідними знімками та записами екрана, що для отримання послуг Підприємства онлайн (укладення договору або надсилання звернення), кожен користувач повинен створити особистий кабінет на вебсайті https://energy.kyivgaz.ua/. Для укладення договору постачання природного газу з Підприємством користувачу необхідно завантажити в свій особистий кабінет скановані копії паспорту, реєстраційний номер облікової картки платника податків та інші персональні дані, а також документи, що підтверджують право власності на квартиру.

Для кожного створеного у особистому кабінеті зверненні автоматично створюється окрема вебсторінка із власною URL-адресою,наприклад: https://cabinet-energy.kvivgaz.ua/messaee/11330/show.

Зі звернення вбачається, що унікальна частина URL-адреси відповідає номеру звернення, згенерованого системою автоматично. Тобто, змінивши в адресному рядку браузера частину URL-адреси можна отримати доступ до звернень інших осіб, які містять персональні дані .

Таким чином виявлено, що звернення користувачів є незахищеними від доступу третіх осіб, а тому вбачається, що Підприємство не забезпечило захист персональних даних від незаконної обробки, у тому числі від незаконного доступу до персональних даних користувачів вебсайту https://cabinet-energy.kyivgaz.ua.

Таким чином, ОСОБА_1 , як керівник Підприємства, не здійснивши належний контроль за захистом персональних даних на вебсайті https://cabinet-energy.kyivgaz.ua та допустивши 07.06.2021 за адресою дочірнього підприємства «КИЇВГАЗЕНЕРДЖИ» (01103, м. Київ, вул. Михайла Бойчука, б. 4Б) поширення персональних даних осіб на вебсайті https://cabinet-energy.kyivgaz.ua, порушив вимоги частин першої та другої статті 14, частини першої статті 24. частин першої та другої статті 10 Закону України «Про захист персональних даних» та не забезпечив належний рівень захисту персональних даних користувачів вебсайту https://cabinet-energy.kyivgaz.ua, чим вчинив діяння, яке містить ознаки адміністративного правопорушення, передбаченого частиною 4 статті 188-39 Кодексу України про адміністративні правопорушення, а саме недодержання встановленого законодавством про захист персональних даних порядку захисту персональних даних, що призвело до незаконного доступу до них та порушення права користувачів зазначеного вебсайту на захист своїх персональних даних від незаконної обробки (пункт 7 частини другої статті 8 Закону України «Про захист персональних даних»),

ОСОБА_1 в судовому засіданні свою вину в інкримінованому адміністративному правопорушенні не визнав, зазначивши, що немає жодного доказу на підтвердження його вини, а «особистий кабінет» на вказаному у протоколі вебсайті компанії працює вже більше півтора року і не було жодних зауважень з цього приводу. Підтримав свої письмові пояснення від 15.09.2021 року, за змістом яких просив закрити справу за відсутністю складу адміністративного правопорушення, з огляду на те, що електронний кабінет споживача, розміщений на сайті ДП «КиївГазЕнерджи» відповідає вимогам Закону України «Про захист персональних даних», а за результатами перевірки звернення, факту доступності певної інформації невизначеному колу осіб не встановлено. Крім того, зазначив, що посадова особа, яка склала протокол про адміністративне правопорушення не перевірила обставин, про які зазначено в протоколі і у зверненні ОСОБА_2 , а також ті обставини, що обслуговуванням та належним функціонуванням цієї системи «особистий кабінет» займалось відповідно до договорів ТОВ «Ліана».

Представник потерпілого - адвокат Бем М.В. в судовому засіданні зазначив, що на даному сайті 194 тисячі користувачів і 06.06.2021 та 07.06.2021 факт вказаного в протоколі правопорушення мав місце, потерпіла ОСОБА_2 зафільмувала ці обставини і ОСОБА_1 спочатку визнав факт технічної несправності.

В судовому засіданні за участі ОСОБА_1 , захисника Віценка А.Г. та представника потерпілої - адвоката Бема М.В. було переглянуто наявні в матеріалах справи відеозаписи. Так на відеозаписі «Kyivgas at 08.39.1б» видно можливість переходу з одного «особистого кабінету» в інший «особистий кабінет», а також прикріплене до одного з «особистих кабінетів» посилання як «паспорт Screen Recording 2021-06-07».

Проте, чи наявна можливість доступу до прикріпленого файлу- «паспорту особи», цим відеозаписом не доведено, це посилання на файл не відкрито.

Заслухавши позицію ОСОБА_1 та його захисника, представника потерпілої Бема М.В., вивчивши матеріали справи про адміністративне правопорушення, додатково долучені пояснення і додатки до них, приходжу до наступного висновку.

Відповідно до ст. 280 КУпАП, при розгляді справи про адміністративне правопорушення орган (посадова особа) зобов`язані з`ясувати зокрема, чи було вчинено адміністративне правопорушення, чи винна дана особа в його вчиненні.

Так, згідно ч. 4 ст. 188-39 КУпАП, особу може бути притягнуто до адміністративної відповідальності у випадку недодержання нею встановленого законодавством про захист персональних даних порядку захисту персональних даних, що призвело до незаконного доступу до них або порушення прав суб`єкта персональних даних.

Пункт 1 ч. 1 ст. 247 КУпАП передбачає, що провадження у справі про адміністративне правопорушення не може бути розпочато, а розпочате підлягає закриттю у разі відсутності події і складу адміністративного правопорушення.

Так, на виконання умов Договору 1 від 15.04.2020 ТОВ «Компанія`Ліана» було розроблено, налаштовано та впроваджено для ДП «КиївГазЕнерджи» програмне забезпечення - «Особистий кабінет для фізичних осіб - споживачів газу», що підтверджується підписаним між сторонами договору актом №АК2020_945 прийому-передачі програмного продукту від 28.10.2020 року.

На виконання п. 2.7 Договору 2 від 15.04.2020 між ТОВ «Компанія «Ліана» та ДП «КиївГазЕнерджи» були підписані наступні акти приймання-передачі наданих послуг: № АК2020 1175 від 31.12.2020, № АК2020_1174 від 31.12.2020, № АК2020_1324 від 31.01.2021, № АК2020_1325 від 31.01.2021, № АК2020_1434 від 28.02.2021, № АК2020 1433 від 28.02.2021, № АК2020_1518 від 13.03.2021, № АК2020_1516 від 13.03.2021, № АК2020 1593 від 30.04.2021, № АК2020 1598 від 30.04.2021, № АК2020 1674 від 31.05.2021, № АК2020_1673 від 31.05.2021, № АК 2020_1766 від 30.06.2021, № АК 2020_1749 від 30.06.2021, № АК2021_1831 від 31.07.2021, № АК2020 1829 від 31.07.2021.

В п. 8.1. Договору зазначено, що якість надання послуг повинна відповідати вимогам, що зазвичай пред`являються до даного виду послуг, і повинна забезпечувати можливість їх використання за функціональним призначенням.

Згідно п. 8.2. Договору 2, ТОВ «Компанія «Ліана» забезпечує гарантійну (технічну) підтримку створеного в результаті доопрацювань для ПЗ (компонентів) протягом 12 місяців дати підписання Акту приймання-передачі наданих послуг. Під гарантійною підтримкою у договорі розуміється зобов`язання Виконавця безоплатно підтримувати розроблені доопрацювання до ПЗ, виправляти виявлені помилки.

Так, відповідно до п. 8.3 Договору, якщо протягом строку гарантійної (технічної) підтримки виявляються дефекти в роботі або його невідповідність Технічному завданню та умовам Договору, Виконавець зобов`язується своїми засобами і за власні кошти усунути помилки, неполадки, збої у роботі ПЗ, що було створене або модифіковане ним під час надання послуг за цим Договором у погоджені Сторонам строки.

При цьому, відповідно до п. 2.6 Технічних Завдань Додатку №1 до договору надійність доопрацювань повинна бути забезпечена за наступними напрямками, зокрема: забезпечення працездатності компонентів програмно-технічної платформи, збереження даних. А відповідно до п. 2.8 інформаційне забезпечення повинен забезпечити, серед іншого, розмежування доступу до даних, запобігання несанкціонованого доступу до них.

Також, Листом від 02.07.2021 № 356/01 ДП «КиївГазЕнерджи» ОСОБА_1 повідомлено представника Уповноваженого у сфері захисту персональних даних І. Берназюка, що пунктом 6.1. Правил користування особистим кабінетом ДП «Київгазенерджи», що опубліковані на веб-сайті, та з якими користувач знайомиться та погоджується при реєстрації в особистому кабінеті передбачено, що персональні дані та/або конфіденційна інформація, що надається користувачем для використання веб-сайту, зберігається відповідно до встановлених законодавством України вимог.

Також, зазначеним листом ДП «КиївГазЕнерджи» повідомило, що за результатами перевірки звернення ОСОБА_2 , факту доступності певної інформації невизначеному колу осіб не встановлено.

Таким чином, судом встановлено, що згідно з договорами КП «КиївГазЕнерджи» з ТОВ «Ліана», програмне забезпечення було розроблено спеціалізованою фірмою, а до розробки програмного забезпечення замовником були встановлені вимоги захисту та збереження даних, оскільки відповідно до вищевказаних договорів саме на ТОВ «Ліана» було покладено обов`язок надати програмний продукт належної якості, а відтак ОСОБА_1 не є суб`єктом адміністративного правопорушення.

Крім того, відповідно до листа ТОВ «Ліана» Вих. №12 від 11.07.2021. ТОВ «Компанія «Ліана» детально перевірено обставини, викладені у наданих ОСОБА_1 копіях скарги гр. ОСОБА_2 від 07.06.2021 про порушення захисту персональних даних, що містяться у зверненнях в особистому кабінеті на сайті ДП «КиївГазЕнерджи» та скарги адвоката Бема М.В. в інтересах ОСОБА_2 № 337 від 10.06.2021, за результатами перевірки, відомості викладені у зазначених скаргах не підтвердилися.

Щодо переглянутих в судовому засіданні відеозаписів, суд прийшов до висновку, що відеозаписи не відображують можливості при попаданні сторонньої особи на сторінку особистого кабінету іншої особи відкривати файл з його персональною інформацією, така можливість потерпілою суду не доведена.

З огляду на викладене, оцінивши докази у справі за своїм внутрішнім переконанням та з точки зору належності, допустимості та достатності, суд вважає відсутнім події та в діях ОСОБА_1 складу адміністративного правопорушення, передбаченого ч. 4 ст. 188-39 КУпАП, оскільки він не є суб`єктом адміністративного правопорушення, не доведена об`єктивна сторона правопорушення, яка вказана у протоколі, а також відсутня суб`єктивна сторона правопорушення в діях ОСОБА_1 .

На підставі викладеного, керуючись ст. ст. 7, ч. 4 ст. 188-39, п.1 ст.247, ст.ст. 252, 280, 284 КУпАП, -

П О С Т А Н О В И В :

Провадження у справі про адміністративне правопорушення відносно ОСОБА_1 за ч.4 ст. 188-39 КУпАП закрити у зв`язку з відсутністю події та складу адміністративного правопорушення.

Апеляційна скарга може бути подана до Київського апеляційного суду через Печерський районний суд м. Києва протягом десяти днів з дня винесення постанови.

Суддя К.Е. Константінова