Деятельность по проведению проверок (стр. 2 )

В рамках проверки на основании информации, представленной Инспекцией, было установлено, что сотрудник этой организации, по запросу страховой компании,,YYY” AО, передал последней информацию о результатах проверки, проведенной у экономического агента,,XXX” ООО, указав в тексте письма существенный объем персональных данных, относящихся к сотрудникам предприятия, на котором осуществлялась проверка, а также передал в приложении материалы на 21 странице (копии приказов о приеме на работу, индивидуальные трудовые договоры, табели учета реально отработанного времени, списки платежных ведомостей, журнал учета трудовых книжек и пр.).

Проанализировав законодательство, регулирующее деятельность Инспекции, Центр не выявил норм, которые могли бы служить представителям упомянутого органа основанием для действий по сбору, хранению, использованию и раскрытию посредством передачи определенной информации ограниченного доступа в адрес третьих лиц, не имеющих соответствующего разрешения. Следует отметить, что хотя в некоторых случаях этот орган располагает компетенциями, предполагающими обработку персональных данных, эти операции являются обоснованными только в рамках проведения государственной проверки по соблюдению законодательных актов и других нормативных документов в области трудовых отношений, охраны здоровья и безопасности труда. Одновременно проверке подлежит только работодатель касательно его работников, это действие не предполагает и раскрытие информации ограниченного доступа (собранной в рамках проверки) не имеющим разрешения субъектам, в данном случае, страховой компании,,YYY” AО.

Более того, на дату обращения Инспекции страховая компания,,YYY” AО, благодаря услугам страхования, предоставляемым компании ”XXX” ООО, имело процессуальное качество истца в рассмотрении ряда гражданских дел против указанного общества с ограниченной ответственностью, уклонившись от законной процедуры получения доказательств (ст. 118 и 119 Гражданского процессуального кодекса), обратилась в Инспекцию для проверки предполагаемых отклонений, допущенных,,XXX” трудоустройстве персонала, которые впоследствии были представлены судебной инстанции в качестве доказательств.

Учитывая обстоятельства дела Центр квалифицировал своим решением действия Инспекции как не соответствующие принципам защиты персональных данных. Хотя действия представителей этого органа по обработке персональных данных в данном случае отмечены признаками правонарушений, предусмотренных ст. 741 частью (3) и (4) Кодекса о правонарушениях, в соответствии с положениями ст. 30 части (2) того же Кодекса, ожидаемые юридические последствия не наступили по причине истечения срока исковой давности (3 месяца с момента совершения правонарушения).

Пример № 4

Обработка персональных данных

прокурором Генеральной прокуратуры

На основании обращения гр. П. В., который запросил проверку законности обработки относящихся к нему персональных данных, хранящихся в Государственном регистре населения и Государственном регистре правовых единиц, Центр инициировал проверку, в ходе которой выявил факт доступа и извлечения информации, содержащей персональные данные истца, авторизованным пользователем Генеральной прокуратуры - Г. Б.

Будучи запрошена информация о цели и законном основании операций по доступу (консультированию), извлечению и раскрытию посредством передачи третьим лицам персональных данных, которые относятся к П. В. и хранятся в вышеуказанных главных государственных информационных ресурсах, прокурор Г. Б. указал на необходимость доступа к персональным данным лица в рамках рассматриваемого уголовного дела, установив, однако, что доступ к данным был осуществлен ошибочно, а просмотренные данные не были распечатаны.

Учитывая, что поступивший ответ содержал противоречивую информацию в части, касающейся распечатки персональной карточки заявителя и ее раскрытия посредством передачи неавторизованным лицам - участникам рассмотрения гражданского дела, Центр запросил повторное изложение цели и законного обоснования операций по извлечению и раскрытию посредством передачи в адрес третьих неавторизованных лиц упомянутой информации ограниченного доступа.

Впоследствии был представлен ответ, аналогичный вышеуказанному, который содержал утверждения, не способные оправдать вмешательство в частную жизнь субъекта персональных данных, а Центр потребовал вмешательства Генеральной прокуратуры, для сопоставления цели и законного основания, заявленного прокурором Г. Б., с обстоятельствами указанного уголовного дела.

Впоследствии Генеральная прокуратура сообщила о констатации неавторизованного доступа Г. Б. к информации ограниченного доступа, относящейся к истцу, в связи с чем была возбуждена дисциплинарная процедура.

В данных обстоятельствах было установлено, что прокурор Г. Б. нарушил положения ст. 4 части (1) лит. a), b), c) и e), ст. 5 части (1), ст. 11 части (3), ст. 20 части (3), ст. 29 части (1) и ст. 30 части (1) Закона о защите персональных данных, в связи с чем, в его отношении было возбуждено производство о правонарушении на основании:

- ст. 74№ части (4) Кодекса о правонарушениях: нарушение условий хранения и использования персональных данных;

- ст. 74І части (1) Кодекса о правонарушениях: представление недостоверной или неполной информации Центру в процессе осуществления им контрольных функций.

Пример №5

Незаконная обработка персональных

данных экономическим агентом

На основании обращения руководителя СП,,XXX” АО– С. П., который сообщил о якобы имевшем место факте раскрытия информации через обнародование определенного объема персональных данных, относящихся к сотрудникам указанной компании, в части финансового положения этих налогоплательщиков Центр предпринял проверку законности данных операций по обработке персональных данных.

В ходе проверки установлено, что структурированная в бухгалтерском учете информация извлечена несанкционированно, а впоследствии обнародована (путем размещения в общественных местах) неизвестными лицами, что дает основание предполагать наличие инцидента безопасности системы учета данных СП,,XXX” АО.

Таким образом, Центр провел внеплановую проверку СП,,XXX” АО, в ходе которой установлено, что вышеуказанный экономический агент в силу специфики осуществляемой деятельности обрабатывает персональные данные, относящиеся к сотрудникам, посетителям и возможным клиентам, и администрирует как минимум следующие системы учета персональных данных: трудовых ресурсов, бухгалтерии, контроль доступа/входа, видеонаблюдения, журнал записи клиентов, о чем Центр не был уведомлен.

Более того, на СП,,XXX” АО установлен факт инцидента безопасности, что выразилось в утечке информации ограниченного доступа, содержащей данные о финансовом положении работников из администрируемой системы бухгалтерского учета, по отношению к которой предприятие является контролером персональных данных.

В результате был составлен акт проверки, в котором констатируется несоблюдение СП,,XXX” АО положений ст. 4, 5 части (1), ст. 11, 12, 23, 28, 29, 30, 32, 34 части (4) Закона о защите персональных данных, Требований по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, утвержденных Постановлением Правительства № 000 от 01.01.01 г., с предоставлением срока для приведения операций по обработке персональных данных в соответствие с вышеупомянутыми законными положениями.

Учитывая, что констатированные несоответствия не были устранены по истечении предоставленного срока, Центр возбудил в отношении указанного предприятия производство о правонарушении по признакам, предусмотренным:

ст. 741 частью (1) Кодекса о правонарушениях: несоблюдение требований по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных;

- ст.741 частью (2) Кодекса о правонарушениях - обработка персональных данных без уведомления органа контроля в области обработки персональных данных, а также обработка персональных данных контролером, не зарегистрированным в установленном порядке;

- ст. 741 частью (3) Кодекса о правонарушениях: нарушение прав субъекта персональных данных на информирование;

- ст. 74№ части (4) Кодекса о правонарушениях: нарушение условий хранения и использования персональных данных;

- ст. 74І частью (1) Кодекса о правонарушениях: отказ в предоставлении сведений или документов, запрошенных Национальным центром по защите персональных данных в процессе осуществления контрольных функций, а также непредставление запрашиваемых сведений и документов в установленный законом срок.

Пример № 6

Незаконная обработка персональных данных

представителями Министерства внутренних дел

обратился в Центр с жалобой, сославшись на незаконную обработку персональных данных, относящихся к нему и хранящихся в некоторых государственных информационных ресурсах. В ходе проверки был установлен факт обработки персональных данных заявителя, хранящихся в Государственном регистре населения, посредством автоматизированной информационной системы «Регистр криминалистической и криминологический информации» авторизованными пользователями Министерства внутренних дел.

На запрос Центра Служба информационных технологий Министерства внутренних дел представила цель и законное основание некоторых проведенных операций, однако, не была указана обосновывающая информация в части других 7 операций по обработке персональных данных. Впоследствии Центр запросил повторно представление целей и законных оснований операций по обработке персональных данных, не указанных в предыдущем ответе.

Поскольку и на этот раз была представлена недостоверная и неполная информация, Центр провел внеплановую проверку в Службе информационных технологий Министерства внутренних дел, совместно с представителями Отдела защиты персональных данных и Управления внутренней безопасности и борьбы с коррупцией Министерства внутренних дел.

На основании установленных в ходе проверки обстоятельств Центр предпринял следующие действия в отношении контролера персональных данных - Министерства внутренних дел:

было вынесено Решение о прекращении операций по обработке персональных данных, в отношении субъектов персональных данных, которые не определены положениями п. 8 подпункта 1) Положения об организации и функционировании автоматизированной информационной системы «Регистр криминалистической и криминологической информации», утвержденного Постановлением Правительства № 000 от 01.01.01 г. (к примеру: свидетели, третьи лица и пр.), осуществляемых авторизованными пользователями Регистра криминалистической и криминологической информации;

- было возбуждено производство о правонарушении за деяние, предусмотренное ст. 74І частью (1) Кодекса о правонарушениях, в отношении ответственных лиц Службы информационных технологий Министерства внутренних дел, виновных в промедлении при рассмотрении запросов Центра, а также в представлении недостоверной информации.