Р І Ш Е Н Н Я

І М Е Н Е М У К Р А Ї Н И

(вступна та резолютивна частини)

20 березня 2015 року м. Київ

Солом'янський районний суд м. Києва в складі:

головуючого судді - Г.О. Козленко,

за участю секретаря - Л.Л. Григорович

розглянувши у відкритому судовому засіданні в залі суду цивільну справу за позовною заявою ОСОБА_1 до Інституту підготовки кадрів державної служби зайнятості України, Міністерства освіти і науки України, Державного підприємства «Інфоресурс», Приватного акціонерного товариства «Науково-дослідний інститут прикладних інформаційних технологій» про зобов'язання вчинити певні дії щодо зберігання, обробки та видалення персональних даних,-

встановив:

Позивач звернувся до Солом'янського районного суду м. Києва з позовною заявою до відповідачів про зобов'язання припинити зберігання, обробку та видалити персональні дані, просив суд ухвалити рішення згідно якого зобов'язати Інститут підготовки кадрів державної служби зайнятості України (далі ІПК ДСЗУ), Міністерство освіти і науки України (далі МОН України), Державне підприємство «Інфоресурс» (далі ДП «Інфоресурс»), Приватне акціонерне товариство «Науково-дослідний інститут-прикладних інформаційних технологій» (далі ПрАТ «НДІ Прикладних інформаційних технологій») припинити зберігання і обробку персональних даних ОСОБА_1 в інформаційно-виробничий системі «Освіта» та в Єдиній державній електронній базі з питань освіти; зобов'язати ІПК ДСЗУ, МОН України, ДП «Інфоресурс», ПрАТ «НДІ Прикладних інформаційних технологій» видалити персональні дані ОСОБА_1 з Інформаційно-виробничої системі «Освіта» та з Єдиної державної електронної бази з питань освіти.

В обґрунтування позову ОСОБА_1 зазначив, що 25 травня 2012 року ІПК ДСЗУ видав позивачу диплом магістра НОМЕР_1. Також на замовлення ІПК ДСЗУ на ім'я позивача був виготовлений студентський квиток НОМЕР_2 в зв'язку з навчанням позивача в магістратурі ІПК ДСЗУ згідно з договором на підготовку магістра, строк дії якого з 01 вересня 2011 року по 01 липня 2012 року.

При виготовленні зазначених диплому магістра та студентського квитка відповідачами використано фотокомп'ютерні технології та застосовано Порядок замовлення документів про освіту державного зразка, видачі та обліку їх карток, затверджений Наказом Міністерства освіти і науки України від 10.12.2003 року № 811. При цьому персональні дані позивача були внесені до бази даних Інформаційно-виробничої системи «Освіта» (далі ІВС «Освіта»). Зазначеним Порядком передбачалась передача персональних даних осіб, яким виготовляються та видаються документи про вищу освіту державного зразка.

ІПК ДСЗУ при зборі персональних даних позивача з метою передачі їх ДП «Інфоресурс» був зобов'язаний отримати у позивача, як у суб'єкта персональних даних, згоду на обробку його персональних даних і тільки після цього - передавати їх для замовлення та виготовлення документів про навчання та освіту. Проте ІПК ДСЗУ передав персональні дані позивача для обробки в ІВС «Освіта» та Єдиній державній електронній базі з питань освіти (далі ЄДЕБО) без згоди останнього. Незаконна обробка персональних даних ОСОБА_1 відповідачами триває і дотепер, після його чисельних заперечень.

Власником первинних інформаційних ресурсів ІВС «Освіта» є МОН України, яке в свою чергу визначає розпорядника інформаційних ресурсів ІВС «Освіта», яким сьогодні є ДП «Інфоресурс». Власником вторинних інформаційних ресурсів ІВС «Освіта» є Науково-дослідний інститут прикладних інформаційних технологій Кібернетичного центру Національної академії наук України. ЄДЕБО є джерелом даних, що використовуються під час виготовлення документів про освіту державного зразка. Володільцем (держателем) ЄДЕБО є МОН України, а розпорядником (адміністратором) ЄДЕБО є ДП «Інфоресурс». Одночасно з цим, розпорядником ЄДЕБО є МОН України.

Відомості про студентський квиток та диплом магістра позивача виготовлені за замовленням ІПК ДСЗУ, містяться у Єдиній інформаційній базі даних МОН України.

ІПК ДСЗУ листом від 07.08.2012 №1852 повідомив позивача про те, що його персональні дані без згоди останнього подані для внесення до ЄДЕБО.

ДП «Інфоресурс» листом від 03.02.2014 повідомило позивача про те, що його персональні дані обробляються в ІВС «Освіта» та не обробляються у ЄДЕБО.

17.07.2013 ІПК ДСЗУ звернувся листом до ДП «Інфоресурс» з проханням задовольнити вимоги позивача щодо припинення обробки та зберігання його персональних даних у ЄДЕБО та ІВС "Освіта". На мою вимогу та на вимогу ІПК ДСЗУ Державне підприємство «Інфоресурс» відповіло відмовою, зазначивши, що вважає обробку персональних даних позивача законною.

Представником Уповноваженого Верховної Ради України з прав людини та Уповноваженим Верховної Ради України з прав людини відповідями від 17.06.2013, 10.04.2014 та 07.10.2014 скарги позивача не були задоволені та йому рекомендовано звернутись за захистом своїх прав до суду.

За твердженням позивача, відповідно до Закону України «Про захист персональних даних» правовий статус учасників правовідносин щодо обробки персональних даних позивача в ІВС «Освіта» та ЄДЕБО, може бути визначено наступним чином:

суб'єктом персональних даних є позивач;

володільцем персональних даних позивача є ІПК ДСЗУ;

володільцем ІВС «Освіта» є МОН України;

володільцем ЄДЕБО є МОН України;

розпорядником ІВС «Освіта» є МОН України;

розпорядником ЄДЕБО є ДП «Інфоресурс»;

володільцем персональних даних позивача, що обробляються та зберігаються у ІВС «Освіта» є МОН України;

володільцем персональних даних позивача, що обробляються та зберігаються у ІВС «Освіта» є Науково-дослідний інститут прикладних інформаційних технологій Кібернетичного центру Національної академії наук України;

володільцем персональних даних позивача, що обробляються та зберігаються у ЄДЕБО є МОН України.

Згоди на обробку своїх персональних даних ІПК ДСЗУ, МОН України, ДП «Інфоресурс» та Науково-дослідному інституту прикладних інформаційних технологій Кібернетичного центру Національної академії наук України позивач не надавав.

Необхідність виконання обов'язку ІПК ДСЗУ видати позивачу диплом про освіту державного зразка, не може бути підставою для продовження обробки та зберігання персональних даних останнього в ІВС «Освіта» та ЄДЕБО, після видачі ІПК ДСЗУ позивачу диплому магістра 25 травня 2012 року.

Таким чином, на думку позивача, підстави для обробки та зберігання персональних даних ОСОБА_1 в ІВС «Освіта» та ЄДЕБО, згідно зі ст.11 Закону України «Про захист персональних даних» відсутні.

Позивач вважає, що його персональні дані були незаконно зібрані відповідачами та внесені до ІВС «Освіта» та ЄДЕБО без його згоди, отримання якої було обов'язковою умовою для збору та обробки персональних даних ОСОБА_1

Згідно п.5 ч.1 ст.11 ЗУ «Про захист персональних даних», яким у якості додаткової підстави обробки персональних даних встановлена необхідність виконання обов'язку володільця персональних даних, набув чинності 03.07.2013 і не може розглядатися як підстава того, що персональні дані ОСОБА_1 відповідачами були зібрані без порушення вимог ЗУ «Про захист персональних даних».

ІПК ДСЗУ при зборі персональних даних позивача, з метою передачі їх ДП «Інфоресурс» був зобов'язаний отримати у ОСОБА_1, як у суб'єкта персональних даних, згоду на обробку його персональних даних і тільки після цього - передавати персональні дані для замовлення та виготовлення документів про навчання та освіту.

Позивач неодноразово звертався до установ та органів державної влади і зокрема до відповідачів з вимогою про припинення обробки його персональних даних в ІВС «Освіта» та ЄДЕБО, однак вказані спроби не дали бажаного результату, що і спонукало позивача звернутися до суду за захистом своїх порушених прав та інтересів.

В судовому засіданні позивач підтримав позовні вимоги, посилаючись на обставини викладені в позовній заяві та просив задовольнити позов в повному обсязі.

Представники відповідачів ІПК ДСЗУ, МОН України та ДП "Інфоресурс" в судовому засіданні заперечували проти задоволення позовних вимог та просили суд відмовити у задоволенні позову, зазначивши, що у ЄДЕБО, створеній на підставі постанови Кабінету Міністрів України від 13 липня 2011 року № 752, персональні дані позивача не обробляються, надавши при цьому відповідні пояснення та письмові заперечення (а.с.56-62).

ПрАТ "НДІ Прикладних інформаційних технологій", свого представника в судове засідання не направило, про час та місце розгляду справи повідомлялося належним чином, причини неявки суду не відомі.

Заслухавши сторін, які з'явилися в судове засідання, дослідивши матеріали справи, зібрані у справі докази, суд приходить до висновку про відмову у задоволенні позовних вимог виходячи з наступних підстав.

Згідно ст.ст.2-4 ЦПК України, провадження в цивільних справах здійснюється відповідно до законів, чинних на час виникнення окремих процесуальних дій, розгляду і вирішення справи. Кожна особа має право в порядку, встановленому цим кодексом, звернутися до суду за захистом порушених або оспорюваних прав, свобод та інтересів. Здійснюючи правосуддя, суд захищає права, свободи та інтереси фізичних осіб, права та інтереси юридичних осіб, державні та суспільні інтереси у спосіб, визначений законами України.

Відповідно до ст.ст.57, 58 ЦПК України доказами є будь-які фактичні дані, на підставі яких суд встановлює наявність або відсутність обставин, що обґрунтовують вимоги і заперечення сторін, та інших обставин, які мають значення для вирішення справи. Ці дані встановлюються на підставі пояснень сторін, третіх осіб, їхніх представників, допитаних як свідків, показань свідків, письмових доказів, речових доказів, зокрема, звуко- і відеозаписів, висновків експертів. Належними є докази, які містять інформацію щодо предмета доказування. Сторони мають право обґрунтовувати належність конкретного доказу для підтвердження їхніх вимог або заперечень.

Стаття 32 Конституції України зокрема зазначає, що ніхто не може зазнавати втручання в його особисте і сімейне життя, крім випадків, передбачених Конституцією України. Не допускається збирання, зберігання, використання та поширення конфіденційної інформації про особу без її згоди, крім випадків, визначених законом, і лише в інтересах національної безпеки, економічного добробуту та прав людини.

При цьому, суд не може погодитися з твердженнями позивача стосовно того, що його права були порушені відповідачами під час збирання, використання та обробки персональних даних позивача, у зв'язку з отриманням позивачем диплома вищого навчального закладу, оскільки вказані ствердження позивача не знайшли свого підтвердження в ході судового розгляду справи та доказів вказаного позивачем не надано.

Судом встановлено та не заперечується сторонами, що всі сторони по справі є суб'єктами відносин, пов'язаних із персональними даними та той факт, що позивач навчався в магістратурі ІПК ДСЗУ, по закінченню якої 25.05.2012, ОСОБА_1 отримав диплом магістра з відзнакою серії НОМЕР_1 (а.с.47).

Як визначено у ст.2 Закону України «Про захист персональних даних» (далі Закону) (в редакції, що діяла на момент виникнення спірних правовідносин), суб'єкт персональних даних - фізична особа, стосовно якої відповідно до закону здійснюється обробка її персональних даних; персональні дані - відомості чи сукупність відомостей по фізичну особу, яка ідентифікована або може бути конкретно ідентифікована.

В цій же статті Закону міститься визначення обробки персональних даних - будь-яка дія або сукупність дій, здійснених повністю або частково в інформаційній (автоматизованій) системі та/або в картотеках персональних даних, які пов'язані зі збиранням, реєстрацією, накопиченням, зберіганням, адаптуванням, зміною, поновленням, використанням і поширенням (розповсюдженням, реалізацією, передачею), знеособленням, знищенням відомостей про фізичну особу.

Згідно ч.1 ст.12 Закону, збирання персональних даних є складовою процесу їх обробки, що передбачає дії з підбору чи впорядкування відомостей про фізичну особу та внесення їх до бази персональних даних.

Стаття 6 Закону встановлює, що мета обробки персональних даних має бути сформульована в законах, інших нормативно-правових актах, положеннях, установчих чи інших документах, які регулюють діяльність володільця бази персональних даних, та відповідати законодавству про захист персональних даних. У разі зміни визначеної мети обробки персональних даних суб'єктом персональних даних має бути надана згода на обробку його даних відповідно до зміненої мети. Обробка персональних даних здійснюється для конкретних і законних цілей, визначених за згодою суб'єкта персональних даних, або у випадках, передбачених законами України, у порядку, встановленому законодавством. Не допускається обробка даних про фізичну особу без її згоди, крім випадків, визначених законом, і лише в інтересах національної безпеки, економічного добробуту та прав людини.

Згідно прохальної частини заяви позивача від 01.03.2012, що міститься в матеріалах справи, останній звертається з проханням до ректора ІПК ДСЗУ : «направити до відповідної організації замовлення про виготовлення бланку документа про вищу освіту «Диплом магістра з відзнакою» або «Диплом магістра» за зразком затвердженим Постановою Кабінету Міністрів України № 1260 від 12.11.1997.

Однак при цьому слід зазначити, що ст.11 Закону до підстав виникнення права на використання персональних даних зокрема відносить і дозвіл на обробку персональних даних, наданий володільцю бази персональних даних відповідно до закону виключно для здійснення його повноважень. Зважаючи на те, що правовідносини щодо персональних даних виникли у сторін в контексті навчання позивача у ВНЗ з подальшою необхідністю отримання документу державного зразка, а саме диплому магістра з відзнакою, тобто в свою чергу вказані правовідносини регулюються також Конституцією України, Законами України «Про освіту», «Про вишу освіту» та іншим законодавством в сфері освітніх послуг.

Так відповідно до ЗУ "Про вищу освіту" (ст.ст.1, 7, 9) (станом на момент виникнення спірних правовідносин між сторонами) встановлено, що освітня діяльність - діяльність, пов'язана з наданням послуг для здобуття вищої освіти, з видачею відповідного документа Вищу освіту мають особи, які завершили навчання у вищих навчальних закладах, успішно пройшли державну атестацію відповідно до стандартів вищої освіти і отримали відповідний документ про вищу освіту державного зразка. Серед документів про вищу освіту є зокрема диплом магістра. Відповідно виготовлення документів про освіту вимагає обробки персональних даних особи, яка здійснюється відповідно до порядку замовлення, видачі та обліку документів про освіту в України, затвердженого наказом МОН Українивід10.12.2003 №811.

Законом України від 6 липня 2010 року Україна ратифікувала Конвенцію Ради Європи про захист осіб у зв'язку з автоматизованою обробкою персональних даних та Додатковий протокол до неї. Цим самим Україна взяла на себе зобов'язання забезпечити дотримання прав і свобод людини, зокрема, права на недоторканність приватного життя, передбаченого статтею 8 Конвенції про захист прав людини і основоположних свобод та гарантованого статтею 32 Конституції України.

З метою забезпечення незалежності уповноваженого органу з питань захисту персональних даних, як того вимагає Конвенція Ради Європи про захист осіб у зв'язку з автоматизованою обробкою персональних даних, повноваження щодо контролю за додержанням законодавства про захист персональних даних покладено на Уповноваженого Верховної Ради України з прав людини.

Позивач неодноразово звертався до Уповноваженого Верховної Ради України з прав людини (далі Уповноважений) та до Адміністрації Президента України з приводу порушення прав позивача щодо захисту персональних даних за обставинами, які покладені позивачем в обґрунтування позовних вимог. Однак згідно наданих відповідей (від 17.06.2013; 10.04.2014; 07.10.2014) вбачається, що ознак порушення законодавства про захист персональних даних Уповноваженим не встановлено, одночасно детально проаналізовані правові підстави обробки персональних даних позивача та вказано на те, що зазначена обробка є законною (а.с.17-19).

Стаття 11 ЗУ «Про інформацію» визначає, що інформація про фізичну особу (персональні дані) - відомості чи сукупність відомостей про фізичну особу, яка ідентифікована або може бути конкретно ідентифікована. Не допускаються збирання, зберігання, використання та поширення конфіденційної інформації про особу без її згоди, крім випадків, визначених законом, і лише в інтересах національної безпеки, економічного добробуту та захисту прав людини. До конфіденційної інформації про фізичну особу належать, зокрема, дані про її національність, освіту, сімейний стан, релігійні переконання, стан здоров'я, а також адреса, дата і місце народження.

Доступ до інформації регламентує ст.20 цього закону, за порядком доступу інформація поділяється на відкриту інформацію та інформацію з обмеженим доступом. Будь-яка інформація є відкритою, крім тієї, що віднесена законом до інформації з обмеженим доступом.

Відповідно до ст.21 ЗУ «Про інформацію», інформацією з обмеженим доступом є конфіденційна, таємна та службова інформація. Конфіденційною є інформація про фізичну особу, а також інформація, доступ до якої обмежено фізичною або юридичною особою, крім суб'єктів владних повноважень. Конфіденційна інформація може поширюватися за бажанням (згодою) відповідної особи у визначеному нею порядку відповідно до передбачених нею умов, а також в інших випадках, визначених законом.

Згідно рішення Конституційного Суду України від 20.01.2012 року № 2-рп/2012 інформацією про особисте та сімейне життя особи є будь-які відомості та/або дані про відносини немайнового та майнового характеру, обставини, події, стосунки тощо, пов'язані з особою та членами її сім'ї, за винятком передбаченої законами інформації, що стосується здійснення особою, яка займає посаду, пов'язану з виконанням функцій держави або органів місцевого самоврядування, посадових або службових повноважень. Така інформація про особу є конфіденційною;

- збирання, зберігання, використання та поширення конфіденційної інформації про особу без її згоди державою, органами місцевого самоврядування, юридичними або фізичними особами є втручанням в її особисте та сімейне життя. Таке втручання допускається винятково у випадках, визначених законом, і лише в інтересах національної безпеки, економічного добробуту та прав людини.

Виходячи з ґрунтовних пояснень відповідачів, вбачається що на даний час персональні дані позивача не обробляються, а зберігаються, оскільки були використані тільки з метою видачі позивачу відповідного диплому державного зразка, в подальшому дані зберігаються з метою ідентифікації виготовлених документів в галузі освіти, виготовлення дублікатів тощо.

Аналізуючи викладене, суд вважає, що при виготовленні диплому магістра може здійснюватись обробка персональних даних позивача і без залежності щодо надання згоди позивача на використання його персональних даних.

Статтями 10, 60 ЦПК України передбачено, що кожна сторона зобов'язана довести ті обставини, на які вона посилається як на підставу своїм вимог і заперечень. Докази подаються сторонами та іншими особами, які беруть участь у справі. Доказуванню підлягають обставини, які мають значення для ухвалення рішення у справі і щодо яких у сторін та інших осіб, які беруть участь у справі, виникає спір. Доказування не може ґрунтуватися на припущеннях.

Згідно ст.11 ЦПК України суд розглядає цивільні справи не інакше як за зверненням фізичних чи юридичних осіб, поданим відповідно до цього Кодексу, в межах заявлених ними вимог і на підставі доказів сторін та інших осіб, які беруть участь у справі.

На основі з'ясованих обставин, підтверджених доказами, дослідженими в судовому засіданні, оцінивши їх належність, допустимість, достовірність, а також достатність і взаємний зв'язок у їх сукупності, встановивши правовідносини, які випливають із встановлених обставин та правові норми, які підлягають застосуванню до цих правовідносин, суд дійшов висновку про відмову в задоволенні позову, оскільки в судовому засіданні не знайшло свого відображення твердження позивача, щодо збирання та обробки персональних даних позивача з порушенням законодавства в сфері захисту персональних даних.

Враховуючи викладене, керуючись, ст.ст.2, 11, 12 Закону України «Про захист персональних даних», ст.ст.11, 20, 21 ЗУ «Про інформацію», ст.ст.1, 7, 9 ЗУ «Про вищу освіту», ст.ст.2-4, 8, 10, 11, 15, 57, 58, 60, 88, 209, 213-215, 223 Цивільного процесуального кодексу України, -

вирішив:

У задоволенні позовної заяви ОСОБА_1 до Інституту підготовки кадрів державної служби зайнятості України, Міністерства освіти і науки України, Державного підприємства «Інфоресурс», Приватного акціонерного товариства «Науково-дослідний інститут прикладних інформаційних технологій» про зобов'язання вчинити певні дії щодо зберігання, обробки та видалення персональних даних - відмовити.

Рішення може бути оскаржене до Апеляційного суду м. Києва через Солом'янський районний суд м. Києва шляхом подання апеляційної скарги особою, яка його оскаржує протягом десяти днів з дня проголошення рішення, а особами, які не були присутніми в судовому засіданні - протягом десяти днів з моменту отримання його копії.

Суддя - Г.О. Козленко