Деятельность по проведению проверок (стр. 5 )

Следует отметить, что в отчетном периоде времени был отмечен количественный рост уведомлений, поданных контролерами в публичном секторе - органами центральной публичной власти (министерствами и подведомственными учреждениями), что является следствием направления Центром обращения Правительству Республики Молдова о некоторых аспектах, относящихся к несоблюдению центральными органами публичной власти положений Закона о защите персональных данных, на основании которого было издано указание премьер-министра Республики Молдова № 000-230 от 9 сентября 2014 г., которое предусматривало принятие мер, вытекающих из законных положений в сфере защиты персональных данных. В то время как большинство органов центральной публичной власти последовали данному указанию и, по меньшей мере, инициировали процедуры уведомления, некоторые государственные органы, например, Министерство финансов, по-прежнему не уделяют должного внимания данной сфере, а их руководители могут быть привлечены к ответственности за правонарушения.

Также в результате учебных мероприятий, организованных Центром, в которых участвовали представинациональных судебных инстанций, которые были нацелены на шаги, для приведения в соответствие деятельности по обработке персональных данных с законными положениями в данной области, большинство судебных инстанций приступили к процедуре уведомления управляемых систем учета персональных данных и регистрации в Регистре учета контролеров персональных данных. В этом смысле следует отметить, что до того, как Центр предпринял указанные действия, некоторые инстанции яростно противились законному обязательству привести свою деятельность в соответствие с принципами защиты персональных данных.

Вместе с тем в течение 2014 года Центр подготовил для всех политических образований в Республике Молдова инструкции по приведению в соответствие деятельности по обработке персональных данных с положениями Закона о защите персональных данных. Таким образом, следует отметить факт соблюдения указанных законных положений некоторыми политическими партиями, которые зарегистрировались в качестве контролеров в Регистре учета контролеров персональных данных.

Среди субъектов, которые уведомили системы учета персональных данных и зарегистрировались в качестве контролеров, числились организации из финансово-банковской сферы, торговли и предоставления услуг, полиции, здравоохранения, образования и пр.

В основном были уведомлены обработки персональных данных в целях: учета сотрудников, клиентов, пациентов, бухгалтерского учета, мониторинга/безопасности лиц, пространств и/или государственного/частного имущества посредством систем видеонаблюдения, мониторинга доступа лиц и пр.

В процессе консультаций/инструкций, предоставленных контролерам данных и обработчикам, сотрудники Центра рекомендовали/разъяснили в частности требование сбора у лиц только персональных данных, строго необходимых для реализации четко определенной цели, ясной и законной, получения согласия субъекта на обработку персональных данных, имеющих к нему отношение, если нет законных положений, прямо регулирующих операцию обработки, информирование субъекта о правах, гарантированных Законом о защите персональных данных и пр.

В дальнейшем в процессе рассмотрения уведомлений, поданных в «единое окно» Регистра учета контролеров персональных данных, сотрудники управления учета и контроля Центра обязали контролеров персональных данных максимально сократить категории персональных данных, подлежащих обработке.

В зависимости от специфики проводимых действий, ставших предметом обработки, подлежащей уведомлению, сотрудники Центра указали контролерам персональных данных на необходимость внедрения положений Закона о защите персональных данных в соотнесении с законодательной базой, регулирующей области деятельности каждого контролера в отдельности. Это обстоятельство в совокупности с процедурами, подлежащих выполнению для регистрации контролеров персональных данных и управляемых ими систем учета, свидетельствует об острой необходимости увеличения численного состава Центра, в частности в рамках управления учета и контроля.

Для справки положение дел в части регистрации контролеров и информационных систем, в рамках которых обрабатываются персональные данные в Регистре учета контролеров персональных данных, представлено в нижеприведенной таблице:

Таблица № 3

Отчет-ный период	Количест-во зарегистри-рованных контроле-ров	Количество зарегистрированных баз данных, информационных систем, в которых хранятся и обрабатываются персональные данные	Количество решений об отклонении заявок на регистрацию	Количество решений об отклонении заявки на регистрацию, оспоренных в порядке административного производства
2012	17	31	1	0
2013	83	201	19	0
2014	107	274	27	0
Всего	207	506	47	0

В данном контексте напомним, что процедуры уведомления и регистрации должны осуществляться контролерами персональных данных или обработчиками отдельно по каждой системе учета персональных данных, посредством приложения, доступного на интернет-сайте www. registru. datepersonale. md, в соответствии с положениями ст. 23-28 Закона о защите персональных данных и Положения о Регистре учета контролеров персональных данных, утвержденного Постановлением Правительства № 000 от 01.01.01 года.

Следует отметить низкий уровень осознания организациями, которые владеют системами учета персональных данных, законных обязательств по их уведомлению, были отмечены и случаи явного пренебрежения соблюдением соответствия деятельности по обработке персональных данных с положениями Закона о защите персональных данных. В подобных случаях в течение 2014 года Центр возбудил 16 дел о правонарушениях на основании ст.741 части (2) Кодекса о правонарушениях: обработка персональных данных без уведомления органа контроля в области обработки персональных данных, а также обработка персональных данных контролером, не зарегистрированным в установленном порядке. В этом смысле уместно привести пример нарушения положений ст.23 Закона о защите персональных данных:

Пример № 10

Незаконная обработка персональных

данных рядом экономических агентов

В ходе проверки по жалобе гр. M. T., который запросил проверку законности обработки относящихся к нему персональных данных, хранящихся в различных государственных информационных ресурсах, установлено, что сотрудник компании «XXX» доступ к персональным данным истца, хранящимся в Регистре недвижимого имущества. Учитывая, что данное предприятие обрабатывало персональные данные, не будучи зарегистрированным в Регистре учета контролеров персональных данных, Центр проинформировал компанию «XXX» обязанности привести свою деятельность в части обработки персональных данных в соответствие с законными положениями в данной области. Вместе с тем у данного предприятия была затребована информация о наличии документа, регулирующего политику безопасности обрабатываемых персональных данных, сведений о причинах несоблюдения положений ст. 23 и ст. 34 части (4) Закона о защите персональных данных, степени внедрения положений Закона о защите персональных данных и Требований по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, утвержденных Постановлением Правительства № 000 от 01.01.01 г., при обработке этих персональных данных в управляемых системах.

Учитывая то обстоятельство, что в ответ на ходатайство Центра со стороны,,XXX” ответа не поступило, было повторно затребовано представление вышеуказанной информации, а компании указано, что в случае непредставления требуемой информации, будет возбуждено производство о правонарушении на основании ст. 74І части (1) Кодекса о правонарушениях. И на этот раз компания проигнорировала обязанность представить требуемую информацию, направив Центру невнятный ответ и сославшись на то, что ее деятельность не подпадает под действие Закона о защите персональных данных.

Таким образом, вопреки предпринятым действиям, ,,XXX” представила конкретного ответа на ходатайства Центра, не зарегистрировалась в Регистре учета контролеров персональных данных и вообще не проявила никаких намерений соблюсти процедуру уведомления, вопреки положениям ст. 20 части (3), 23 и 34 части (4) Закона о защите персональных данных.

Таким образом, Центром было возбуждено производство о правонарушении в отношении компании,,XXX” деяниям, предусмотренным:

- ст.741 частью (2) Кодекса о правонарушениях - обработка персональных данных без уведомления органа контроля в области обработки персональных данных, а также обработка персональных данных контролером, не зарегистрированным в установленном порядке; - ст. 74І частью (1) Кодекса о правонарушениях: отказ в предоставлении сведений или документов, запрошенных Национальным центром по защите персональных данных в процессе осуществления контрольных функций, предоставление недостоверной или неполной информации, а равно непредоставление запрашиваемых сведений и документов в установленный законом срок.

2.2        Авторизация операций по трансграничной передаче персональных данных

В соответствии с положениями ст. 32 Закона о защите персональных данных Центр уполномочен определять уровень защиты прав субъектов персональных данных и данных, предназначенных для трансграничной передачи, в частности с учетом условий, в которых выполняется передача данных, природы этих данных, цели и длительности предложенной обработки или обработок, страны назначения, ее законодательства, а также с учетом профессиональных норм и мер безопасности, соблюдаемых в государстве назначения. В случае если обеспечиваемый страной назначения уровень защиты является неудовлетворительным, Центр вправе принять решение о запрете трансграничной передачи данных.