Деятельность по проведению проверок (стр. 1 )

ГЛАВА I

ДЕЯТЕЛЬНОСТЬ ПО ПРОВЕДЕНИЮ ПРОВЕРОК

1.1 Проведение проверок

По сравнению с предыдущими периодами отмечается стабильный рост количества проведенных Национальным центром по защите персональных данных (далее – Центр)  проверок обработки персональных данных на соответствие требованиям Закона о защите персональных данных. Так, на протяжении 2014 года зарегистрированы 174 проверки, из которых 81 предпринята самостоятельно в инициативном порядке и 93 проверки - по принятым к рассмотрению жалобам и обращениям.

  Сравнительная статистика количества проверок, проведенных Центром в период 2009-2014 гг.

На проверочную деятельность Центра в 2014 году повлияли нехватка персонала и бюджетные ограничения, что не позволило осуществить плановые проверки, вследствие чего на основании положений ст.27 Закона о защите персональных данных проводились лишь внеплановые проверки. Именно поэтому предпринимались большей частью проверки по разрешению жалоб и обращений с соблюдением письменной процедуры получения необходимой информации для их объективного рассмотрения и по итогам проверок вынесения санкций в отношении контролеров персональных данных или предоставления им необходимых инструкций с целью приведения операций по обработке данных в соответствие с положениями закона.

В результате проведенных проверок, установлено 55 административных правонарушений, предусмотренных ст. 74№ - 74І Кодекса о правонарушениях, составлены 34 протокола о правонарушениях, которые были направлены на рассмотрение по существу компетентной судебной инстанции. Вместе с тем в соответствии с положениями ст.20 частью (1) лит. e) Закона о защите персональных данных и главы II, п.2 и 3 лит. d) Положения о Национальном центре по защите персональных данных, утвержденного Законом от 01.01.01 г., в случаях установления нарушений законных положений в сфере защиты персональных данных с учетом обстоятельств и тяжести нарушений дополнительно к возбуждению дел о правонарушениях посредством решений директора Центра были установлены специфические принудительные меры. Таким образом, были приняты 3 решения о прекращении операций по обработке персональных данных и одно решение о приостановлении этих операций. Сравнительная ситуация  представлена в таблице №1:                                                        

                       Таблица №1

период для сравнения	иниции-рованные проверки	в том числе самостоя-тельно/при обращении субъектов персональ-ных данных	акты реагирования, принятые по результатам проведенных проверок
решения о приостановлении операций по обработке персональных данных	решения о прекращении операций по обработке персональ-ных данных	решения об удалении данных, обработан-ных с нарушением закона	составленные протоколы о правонаруше-ниях
2009 год	8	4/4	3	4	2	-
2010 год	20	12/8	7	-	2	-
2011 год	46	17/29	3	-	7	-
2012 год	82	6/76	6	1	-	4
2013 год	151	19/132	5	1	4	26
2014 год	174	81/93	1	3	1	34

Как уже отмечалось, по сравнению с предыдущими годами отмечается стабильный рост количества проведенных проверок. Вместе с тем налицо легкое снижение количества жалоб со стороны субъектов персональных данных относительно нарушения их прав, гарантированных законодательством о защите персональных данных, с другой стороны, проверочные мероприятия, проводимые на основании этих обращений, стали куда более комплексными и объемными. Если ранее по одному проверочному материалу проводилось в среднем 5 процедурных действий, то в 2014 году средний показатель выполняемых в рамках одного материала действий равнялся 25.

Анализ специфики поданных жалоб позволил установить, что заявители требуют вмешательства Центра и проведения проверки законности операций по обработке относящихся к ним персональных данных в связи с: созданием контролерами персональных данных в публичной и частной сфере систем автоматизированного учета, в которых обрабатываются персональные данные; проверкой законности установки систем видеонаблюдения в определенных пространствах; проверкой соблюдения технических и организационных мер, внедренных для обеспечения адекватного режима безопасности при обработке персональных данных; проверкой причин нерегистрации систем учета и баз данных в Регистре учета контролеров персональных данных; проверкой легальности операций по консультированию и извлечению персональных данных, хранящихся в различных информационных государственных ресурсах, а также по незаконному сбору относящихся к ним персональных данных, без соблюдения прав на информирование, на доступ и на возражение.

1.2 Примеры нарушений, констатированных Центром в рамках проведенных проверок

В результате проверок, предпринятых в ответ на поступившие жалобы или в самостоятельном порядке, Центр вправе в качестве констатирующего агента составлять протоколы о правонарушениях, предусмотренных статьями 741-743 Кодекса о правонарушениях, которые  впоследствии согласно положениям ст.4234 того же Кодекса передает для рассмотрения по существу в компетентную судебную инстанцию.

В большинстве случаев судебные инстанции признали лиц, в отношении которых Центр возбудил производство о правонарушении, виновными в совершении вмененных правонарушений, определив наказания в виде штрафов в размере от 100 до 500 условных единиц. В некоторых случаях виновность лиц была подтверждена, однако производство о правонарушении было прекращено по причине истечения 3-месячного срока давности привлечения к ответственности за правонарушения.

Далее, приводим некоторые характерные примеры нарушений законодательства по защите персональных данных:

Пример № 1

Незаконная обработка персональных

данных судебными исполнителями

обратился с жалобой, в которой указал на предполагаемый факт незаконной обработки относящихся к нему персональных данных, хранящихся в Реестре недвижимого имущества.

В результате проверочных действий установлено, что судебный исполнитель Н. М. произвел операцию доступа к персональным данным (консультирования персональных данных), относящимся к гр. A. T., в том числе согласно критерию поиска ”по владельцу”, в отсутствие законной цели и основания. Одновременно установлено, что этот судебный исполнитель не обеспечил гр. A. T., в качестве субъекта персональных данных, право быть информированным.

Более того, операция доступа (консультирования) к персональным данным, относящимся к истцу, была осуществлена с нарушением положений п.45 Требований по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, утвержденных Постановлением Правительства № 000 от 01.01.01 г. (Требования).

В подобных обстоятельствах судебный исполнитель Н. М. нарушил положения ст.4 части (1) лит. a), b), ст. 5 части (1), ст. 12 Закона о защите персональных данных и п. 45 Требований, в связи с чем Центр возбудил против него дело о правонарушении на основании:

ст. 741 части (1) Кодекса о правонарушениях: несоблюдение требований по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных; ст. 741 части (3) Кодекса о правонарушениях: Нарушение прав субъекта персональных данных на информирование; ст. 741 части (4) Кодекса о правонарушениях: Нарушение условий хранения и использования персональных данных.

Пример №2

Незаконная обработка персональных

данных примарами

Гражданин T. Б. обратился с жалобой, в которой указал, что примар коммуны XXXX р-на YYYY, П. К., произвел доступ (консультацию) и извлек (распечатал) относящиеся к нему персональные данные из Реестра недвижимого имущества, а также собрал, сохранил, использовал и раскрыл посредством передачи неавторизованным третьим лицам, персональные данные заявителя, содержащиеся в ряде писем, а именно: фамилию, имя и отчество, дату и год рождения, IDNP и домашний адрес.

Будучи запрошена информация о цели и законных основаниях операций по обработке персональных данных, примар П. К. указал в качестве цели намерение доказать несовместимость личности истца и занимаемой им публичной должности.

Таким образом, в действиях примара П. К. прослеживается отсутствие законных оснований для осуществления обработки персональных данных, относящихся к истцу, обстоятельство, противоречащее положениям ст.4 части (1) лит. a), b), c), ст. 5 части (1) и ст. 9 Закона о защите персональных данных, в связи с чем Центр возбудил производство о правонарушении по признакам деяния, предусмотренного ст. 741 частью (4) Кодекса о правонарушениях: нарушение условий использования персональных данных.

Пример №3

Незаконная обработка персональных данных

сотрудником Государственной инспекции труда

На основании жалобы гр. A. С., который сообщил о якобы имевшем место факте раскрытия информации посредством передачи персональных данных, относящихся к сотрудникам компании ”XXX” ООО, Государственной инспекцией труда (Инспекцией) в адрес неавторизированного третьего лица - страховой компании,,YYY” АО, Центр предпринял проверку законности этих операций по обработке персональных данных.