Решение по административному делу

П О С Т А Н О В Л Е Н И Е

о назначении административного наказания

город Шадринск                                                 18 мая 2017 года

Мировой судья судебного участка №32 Шадринского судебного района Курганской области Балин Дмитрий Александрович (г. Шадринск, ул. Комсомольская, 16, строение 2), рассмотрев дело об административном правонарушении в отношении ФГБОУ ВО «Наименование» (ФГБОУ ВО «Наименование»), находящегося по адресу<АДРЕС> <ОБЕЗЛИЧИНО> в течение предшествующего года к административной ответственности за однородные правонарушения,

у с т а н о в и л :

В ходе проведения проверки <ДАТА2> установлено, что ФГБОУ ВО «Наименование» нарушило установленный законом порядок сбора, хранения, использование и распространение информации о гражданах (персональных данных). Таким образом, ФГБОУ ВО «Наименование» совершено административное правонарушение, предусмотренное ст. 13.11 КоАП РФ.

В судебном заседании представитель привлекаемого лица ФИО  вину не признал, пояснил, что, учитывая, что в зданиях ФГБОУ ВО «Наименование» возможно единовременное пребывание значительного количества людей, наиболее эффективным средством является выбор технических средств охраны вахт, позволяющих большей частью исключить человеческий фактор и экономно использовать силы и средства вуза при выполнении требований законодательства в сфере противодействию терроризма.

В ФГБОУ ВО «Наименование» сложилась давняя практика ведения кадровой документации и мы, в основном, придерживаемся ею по настоящее время. На всех сотрудников университета ведутся личные дела и личные карточки по форме Т-2. Состав личного дела не регламентирован законом и его перечень в университете определяется Инструкцией по кадровому делопроизводству, которая утверждена приказом ректора <Наименование> от 12.01.2017г. № 4. В перечне документов личного дела сотрудников значатся, в том числе, личный листок по учету кадров и автобиография (п. 7.1.3.8. Инструкции). Эти документы отражают основные персональные и биографические сведения о работнике, которые используются для ведения первичного учета кадрового состава учреждения и дают представление о том, что представляет собой тот или иной специалист. Согласно ТК РФ, ст. 86 и ФЗ «О персональных данных» запрещается включать и подвергать обработке данные о политических и религиозных взглядах работника, а также информацию о частной жизни работника без его письменного согласия. В соответствии со ст. 86 ТК РФ все персональные данные следует получать у работника лично, потому личный листок по учету кадров и биографию заполняет сам работник, вносит свои персональные данные, заверяет их своей личной подписью. У него есть право предоставлять ту информацию, касающуюся его личной жизни, которую он считает нужной указать. На это они и ориентируем работников при заполнении данных документов - заполнять их без излишних подробностей, только «сухие» данные и только те, что считает нужным указать. И уже на основании этих заполненных документов, работник управления кадров вносит сведения в личную карточку работника по форме Т-2, которую они продолжают применять, несмотря на необязательность их применения. Различные нормативные документы требуют все же заполнения данного учетного документа: в соответствии с и.27 Постановления Правительства РФ от 27.11.2006г. № 719 «Об утверждении Положения о воинском учете» воинский учет граждан осуществляется по личным карточкам (форма Т-2); в соответствии с п. 12 Постановления Правительства РФ от 16.04.2003г. № 225 «О трудовых книжках» работодатель обязан ознакомить работника с записями в трудовой книжке под роспись в его личной карточке, в которой повторяется запись трудовой книжки; кроме того в «Перечне типовых управленческих архивных документов, образующихся в процессе деятельности государственных органов, органов местного самоуправления и организаций, с указанием сроков храпения» указана также личная карточка работника. Форма Т-2 и заполнение данной формы утверждены Постановлением Госкомстата РФ от 05.01.2004г. Все сведения, которые работник добровольно указал в личном листке по учету кадров, заносятся в учетную карточку работника по форме Т-2. Если работник не указывает какие-либо сведения, в таком случае некоторые разделы нормы останутся незаполненными по объективным причинам. Что касается необходимости сведений о ближайших родственниках, следует отметить, что эти сведения могут пригодиться в случаях получения алиментов, оформления соц. выплат, при сокращении - сведения о наличии иждивенцев. Кроме того, согласно ст. 228 ТК РФ при наступлении тяжелых несчастных случаев, связанных со смертельным исходом (смертельные факты на рабочем месте у нас были), работодатель обязан наряду с другими органами, указанными в ТК РФ проинформировать и родственников пострадавшего. Считает, что ФГБОУ ВО «Обезличено» выполнило все зависящие меры для соблюдения требований законодательства о персональных данных. Шадринской межрайонной прокуратурой по информации, поступившей из Управления Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Курганской области, 25.04.2017 года в период времени с 15 часов 00 минул до 16 часов 00 минут проведена проверка исполнения законодательства Российской Федерации о персональных данных ФГБОУ ВО «Обезличено», в ходе которой выявлены нарушения. ФГБОУ ВО «Обезличено» действует на основании устава, утвержденного приказом Министерства образования и науки Российской Федерации от 26.02.2016 года № 159. Сведения об ФГБОУ ВО «Обезличено» внесены в Единый государственный реестр юридических лип, присвоен ОРГН 1024501204034, присвоен ИНН/КПП 4502000900/450201001. ФГБОУ ВО «Обезличено» создан для осуществления образовательных, научных, социальных и культурных функций.

 В ходе проверки было установлено, что Управлением Роскомнадзора по Курганской области на основании приказа Управления Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Курганской области от <ДАТА8> <НОМЕР> в период времени с <ДАТА9> по <ДАТА10> проведена проверка ФГБОУ ВО «Обезличено» (далее Оператор»), в ходе который были установлены нарушения.

 Оператором обрабатываются специальные категории ПД: состояние здоровья, сведения о судимости и сведения о национальности субъекта, а также биометрические категории ПД - видеосъемка субъектов и обработка отпечатков пальцев с целью установления личности субъекта и допуска его в помещение общежития по адресу: г. Шадринск, ул<АДРЕС>.

 Так, установлено, что Оператор обрабатывает у своих работников такую специальную категорию ПД как национальность субъекта (Приложение <НОМЕР> к Акту проверки).

 В ходе проверки. И.о. ректора ФГБОУ ВО «Обезличено» представил в адрес Управления Роскомнадзора по Курганской области пояснения от <ДАТА11> <НОМЕР> (Приложение <НОМЕР> к Акту проверки) об обработке сведений о национальности субъекта - о том, что субъект собственноручно (по своей воле) даёт Оператору сведения о своей национальности, в соответствии со ст. 26 Конституции РФ, а также о том, что перечень собираемых с работника сведений (персональных данных) определяется «Инструкцией по кадровому делопроизводству», утверждённой приказом ректора ПИПУ от <ДАТА12> <НОМЕР>.

 В соответствии с требованием ч. 1 ст. 10 Федерального закона от <ДАТА13> <НОМЕР> «О персональных данных» «Обработка специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, не допускается, за исключением случаев, предусмотренных частью 2 настоящей статьи».

 В представленном Согласии на обработку ПД, подписанном конкретным работником (<ФИО1>), отсутствует категория ПД - национальность (Приложение <НОМЕР> к Акту проверки).

 Обработка сведений о национальности субъекта осуществляется Оператором в нарушение требований ч.1 ст. 10 Федерального закона от <ДАТА13> <НОМЕР> «О персональных данных».

 В ходе проведения проверки было выявлено, что Оператор обрабатывает без получения письменного Согласия своих работников такую категорию ПД, как сведения о пребывания за границей, не соответствующую целям и задачам обработки (Приложение <НОМЕР> к Акту проверки).

 Какие либо законные основания обработки таких сведений Оператор в ходе проверки не представил.

 Этим самым Оператором нарушались требования ч.5 ст. 5 Федерального закона от <ДАТА13> <НОМЕР> «О персональных данных» - «содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки».

 Кроме того в здании общежития ФГБОУ ВО «Обезличено», расположенного по адресу:    г. Шадринск, ул. <АДРЕС>, 8, для целей пропуска в здание осуществляется обработка биометрической категории персональных данных отпечатков пальцев.

 В соответствии с п. 2.2. «Положения об организации пропускного режима в зданиях Наименование», утверждённого <ДАТА14> И.о. ректора ФГБОУ ВО «Название» - «основными документами, дающими право прохода на территорию Университета, являются:

 для студентов студенческий билет или зачётная книжка; пропуск в общежитие..., а также идентификаторы (отпечаток пальца руки) личности (для электронных проходных) установленного образца;

для работников - служебное удостоверение сотрудника Университета..., а также идентификаторы (отпечаток пальца руки) личности (для электронных проходных) установленного образца;

для посетителей разовый пропуск, оформленный АХО на вахте Университета...».

 В соответствии с требованием ч.1 ст. 11 Федерального закона от <ДАТА13> <НОМЕР> «О персональных данных» «сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность (биометрические персональные данные) и которые используются оператором для установления личности субъекта персональных данных, могут обрабатываться только при наличии согласия в письменной форме субъекта персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи».

 В ходе проведения проверки Оператором было представлено «Согласие на обработку ПД (биометрические данные)», которое заполняют и подписывают совершеннолетние субъекты для целей организации контрольно-пропускного режима в ФГБОУ ВО «Название».

 Данное Согласие соответствует требованиям ч. 4 ст. 9 Федерального закона от <ДАТА13> <НОМЕР> «О персональных данных».

 В данном общежитии проживают несовершеннолетние субъекты ПД ((Приложение <НОМЕР> к Акту проверки).

 Требованием ч.1 ст. 11 Федерального закона от <ДАТА13> <НОМЕР> «О персональных данных» трактуется однозначно - «биометрические персональные данные, которые используются оператором для установления личности субъекта персональных данных, могут обрабатываться только при наличии согласия в письменной форме субъекта персональных данных», т.е. дача Согласия законным представителем субъекта ПД не допускается.

Несовершеннолетние субъекты ПД являются недееспособными лицами и не могут самостоятельно дать Согласие на обработку отпечатков пальцев, которые используются оператором для установления личности субъекта ПД.

 Следовательно, обработка ФГБОУ ВО «Наименование» отпечатков пальцев несовершеннолетних субъектов ПД, которые используются для установления личности субъекта ПД целью его пропуска в общежитие является незаконной и не соответствует требованию ч.1 ст. 11 Федерального закона от <ДАТА13> <НОМЕР> «О персональных данных».

 В соответствии с требованиями ч.1 ст. 18.1 Федерального закона от <ДАТА13> <НОМЕР> «О персональных данных» в ФГБОУ ВО «НАИМЕНОВАНИЕ»:

приказом от <ДАТА15> <НОМЕР> назначено лицо, ответственное за организацию обработки ПД (ведущий юристконсульт ФИО);

введены в действие Приказом от <ДАТА15> <НОМЕР> «Правила оценки вреда, который может быть причинён субъектам ПД в случае нарушения требований по обработке и обеспечению безопасности ПД в ФГБОУ ВО «Обезличено»;

 Учёным советом <Наименование> принято <ДАТА16> (Протокол <НОМЕР>) «Положение об обработке и защите ПД работников, обучающихся и абитуриентов Шадринского университета» (в данном Положении не отражена обработка ПД следующих категорий субъектов, ПД которых обрабатываются: близких родственников работников Оператора, физических лиц, участвующих в проводимых оператором конкурсах, олимпиадах, спартакиадах, законных представителей несовершеннолетних обучающихся и посетителей _____) (Приложение <НОМЕР> к Акту проверки).

 В нарушение требований п. 2 и 4 ч. 1 ст. 18.1 Федерального чакона от <ДАТА13> <НОМЕР> «О персональных данных» у Оператора отсутствуют:

документы, определяющие политику Оператора в отношении обработки следующих субъектов, ПД которых обрабатываются: близких родственников работников Оператора, физических лип, участвующих в проводимых оператором конкурсах, олимпиадах, спартакиадах, законных представителей несовершеннолетних обучающихся и посетителей <Наименование>;

документы, подтверждающие осуществление внутреннего контроля и (или) аудита соответствия обработки персональных данных Федеральному закону «О персональных данных» и принятым в соответствии с ним нормативным правовым актам, требованиям к защите персональных данных, политике оператора в отношении обработки персональных данных, локальным актам оператора.

 В соответствии с требованием ч.2 ст. 18.1 Федерального закона от <ДАТА13> <НОМЕР> «О персональных данных» Оператором обеспечен неограниченный доступ субъектов, ПД которых обрабатываются, к утверждённому «Положению об обработке и защите ПД», (размещено в здании ФГБОУ ВО «Обезличено»), а также на официальном сайте.

 В соответствии с требованием ч. 1 ст. 6 Федерального закона от <ДАТА13> <НОМЕР> «О персональных данных» Оператор, путём заполнения разработанной типовой формы, взял со своих работников «Согласия на обработку ПД работника ФГБОУ ВО «Обезличено» (Приложение <НОМЕР> к Акту проверки).

 Данная форма Согласия не соответствуют требованиям ч. 4 ст. 9 Федерального закона от <ДАТА13> <НОМЕР> «О персональных данных». А именно:

не указано наименование и адрес Оператора, получающего согласие субъекта ПД;

не указан не весь перечень ПД, на обработку которых дается согласие субъекта персональных данных (не указаны: пол, национальность, гражданство, личная подпись, <НОМЕР> лицевого счёта в банке и т.д.);

не указано наименование и адрес лица, осуществляющего обработку персональных данных по поручению оператора;

не указан перечень действий с персональными данными, на совершение которых дается согласие;

 не указан способ его отзыва Согласия.

 Оператор берёт, на основании заполнения разработанной типовой формы, «Согласие на обработку ПД обучающегося в ____» (Приложение <НОМЕР> к Акту проверки).

 Данная форма Согласия не соответствуют требованиям ч. 4 ст. 9 Федерального закона от <ДАТА13> <НОМЕР> «О персональных данных». А именно:

не указано наименование и адрес Оператора, получающего согласие субъекта ПД;

указаны не все обрабатываемые данного субъекта ПД (не указаны: регистрационный <НОМЕР> студента, <НОМЕР> читательского билета, личная подпись; <НОМЕР> пропуска в общежитие и т.д.);

не указан перечет, действии с персональными данными, на совершение которых дастся согласие;

 не указан способ его отзыва Согласия.

 Оператор берёт, па основании заполнения разработанной типовой формы, «Согласие па обработку ПД абитуриента в ФГБОУ ВО «Обезличено» (Приложение <НОМЕР> к Акту проверки).

 Данная норма Согласия не соответствуют требованиям ч. 4 ст. 9 Федерального закона от <ДАТА13> <НОМЕР> «О персональных данных». А именно:

не указано наименование и адрес Оператора, получающего согласие субъекта ПД;

не указан перечень действий с персональными данными, на совершение которых дается согласие;

не указан конкретный срок действия Согласия (некорректно указано - «до добровольного отзыва моего согласия»;

не указан способ его отзыва Согласия.

 Оператор передает обрабатываемые им ПД своих работников в организации, предусмотренные действующим законодательством РФ (УФНС РФ, ПФ РФ, ФСС РФ), а также в ПАО «Сбербанк России» для зачисления заработной платы на их электронные счета (электронные карты), в ГБУ «Наименование» (прохождение предрейсовых осмотров водителей) и в НУЗ «Наименование <АДРЕС> ОАО «РЖД» (прохождение периодического медицинского осмотра работников Оператора).

 В соответствии с требованием ч. 3 ст. 6 Федерального закона от <ДАТА13> <НОМЕР> «О персональных данных» - «Оператор вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора (далее поручение оператора). В поручении оператора должны быть определены перечень действий (операций) с персональными данными, которые будут совершаться лицом, осуществляющим обработку персональных данных, и цели обработки, должна быть установлена обязанность такого лица соблюдать конфиденциальность персональных данных и обеспечивать безопасность персональных данных при их обработке, а также должны быть указаны требования к защите обрабатываемых персональных данных в соответствии со статьей 19 настоящего Федерального закона».

 Согласия от работников Оператора на передачу их ПД в вышеуказанные организации (кроме Сбербанка России) в ходе проведения проверки не представлены отсутствуют (в чиповой форме Согласия на обработку ПД работников (Приложение <НОМЕР> к Акту проверки) также отсутствуют сведения (наименование и адрес) о третьем лице, которому передаются (поручается обработка) ПД работников).

 Субъекты самостоятельно пишут заявление в финансово-экономическое управление ____ с просьбой перечислять их заработную плату на определённый счёт в Сбербанке России.

    В ходе проверки представлены Договоры:

 От <ДАТА17> <НОМЕР>/НП/223 возмездного оказания медицинских услуг, заключенный Оператором с НУЗ «Отделенческая больница на станции <АДРЕС> ОАО «РЖД».

 От <ДАТА18> №125-12/1:11/223 на оказание медицинских услуг, заключенный Оператором с ГБУ «Обезличено» (Приложение <НОМЕР> к Акту проверки).

 От <ДАТА19> N232181083 о порядке выпуска и обслуживания международных карт для сотрудников организации, заключенный Оператором с АК «Сбербанк России».

 В нарушение требований ч. 3 ст. 6 Федерального закона от <ДАТА13> <НОМЕР> «О персональных данных» в Договоре от <ДАТА20> 7 №125-12/Г11/223 на оказание медицинских услуг, заключенный Оператором с ГБУ «Обезличено», отсутствует раздел о соблюдении конфиденциальности.

 В ходе проверки выявлен факт передачи ФГБОУ ВО «Обезличено» персональных данных субъектов в Главное управление МЧС России по Курганской области без получения от них соответствующего Согласия на передачу ПД (в ходе проведения проверки не представлено).

 А именно, Оператору из Главного управления МЧС России по Курганской области поступило письмо от <ДАТА21> <НОМЕР> (Приложение <НОМЕР> к Акту проверки)о проведении соревнований «Человеческий фактор».

 В ответ на данное письмо ФГБОУ ВО «Обезличено» сопроводительным письмом от <ДАТА22> №025 передал ПД субъектов, которые он обрабатывает (ФИО, ксерокопии паспортов, медицинских полисов и студенческих билетов), в МЧС России (Приложсние <НОМЕР> к Акту проверки).

 Этим действием ФГБОУ ВО «Обезличено» нарушил требование ч. 3 ст. 6 Федерального закона от <ДАТА13> <НОМЕР> «О персональных данных» («Оператор вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом...») и ст. 7 Федерального закона от <ДАТА13> <НОМЕР> «О персональных данных» («Операторы, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом»).

 В ходе проведения проверки выявлены Справки, оформленные Оператором от <ДАТА23> <НОМЕР> (Приложение <НОМЕР> к Акту проверки) и от <ДАТА24> <НОМЕР> (Приложение <НОМЕР> к Акту проверки), в которых содержатся персональные данные субъектов (ФИО, дата,   месяц, год рождения, должность, место работы, <НОМЕР> приказа, направление подготовки, форма обучения).

 Данные справки оформлены без наименования адресата, которому они вправлены. Пояснения от ФГБОУ ВО «Обезличено» о том, кто и когда получил данные Справки, в ходе проведения проверки не представлены.

 Этим Оператор нарушил требование 7 Федерального закона от <ДАТА13> <НОМЕР> «О персональных данных».

 Также установлено, что Оператор осуществляет ведение журналов, в которые вносятся ПД субъектов:

«Книга учёта посетителей ____» (Приложение <НОМЕР> к Акту проверки);

«Журнал записи гостей общежития №1 ____» (1Приложение <НОМЕР> к Акту проверки).

 В ходе проверки представлен Приказ от <ДАТА25> <НОМЕР>, утверждающий норму журнала регистрации посетителей ______.

 Фактическая форма ведения «Книги учёта посетителей ____» соответствует утверждённой.

 Приказ, утверждающий форму ведения «Журнала записи гостей общежития №1 __», в ходе проведения проверки не представлен. Этим нарушается требование п. 8 а) «Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации», утверждённого постановлением Правительства РФ от <ДАТА26> <НОМЕР>.

 В нарушение требований п. 7 а) «Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации», утверждённого постановлением Правительства РФ от <ДАТА26> <НОМЕР>, все вышеуказанные Журналы (Книги) не оформлены: отсутствуют наименование и адрес оператора и сроки их обработки).

 Данные Журналы (Книги) не прошиты, страницы не пронумерованы и не скреплены печатью.

 В силу статьи 2.1 КоАП РФ административным правонарушением признается противоправное, виновное действие (бездействие) физического или юридического лица, за которое настоящим Кодексом или законами субъектов Российской Федерации об административных правонарушениях установлена административная ответственность.

 Юридическое лицо признается виновным в совершении административного правонарушения, если будет установлено, что у него имелась возможность для соблюдения правил и норм, за нарушение которых Кодексом или законами субъекта Российской Федерации предусмотрена административная ответственность, но данным лицом не были приняты все зависящие от него меры по их соблюдению.

 Сведений о принятии ФГБОУ ВО «Обезличено» всех необходимых мер для соблюдения требований законодательства в рамках проверки не установлено.

 Доводы представителя привлекаемого лица о том, что в действиях учреждения отсутствует событие административного правонарушения, предусмотренного ст. 13.11 КоАП РФ, основаны на неверном толковании закона.

 Вина ФГБОУ ВО «Обезличено» подтверждается актом проверки, иными материалами дела.

 Прокурор <ФИО2> просил признать ФГБОУ ВО «Обезличено» виновным по ст.13.11 КоАП РФ, поскольку его вина установлена.

 При назначении наказания мировой судья учитывает характер правонарушения, личность виновного, смягчающие и отягчающие обстоятельства.

Смягчающих и отягчающих обстоятельств суд не усматривает.

На основании изложенного, руководствуясь ст. 13.11, 29.7, 29.9-29.11 КоАП РФ,

п о с т а н о в и л :

 ФГБОУ ВО «Обезличено» (дата регистрации 25.03.2016 г., ИНН 4502000900, адрес: г. Шадринск, ул. Карла Либкнехта, 3) признать виновным в совершении административного правонарушения, предусмотренного ст. 13.11 КоАП РФ, и назначить ему административное наказание в виде административного штрафа в размере 5000 рублей, которые следует уплатить по реквизитам: получатель УФК по Курганской области (Прокуратура Курганской области) ИНН 4501031303 КПП 450101001 ОКТМО №37226501000 расчетный счет №40101810000000010002 в ГРКЦ ГУ Банка России по Курганской области г. Курган БИК 043735001 КБК 415 1 16 9000 0 000000 140, адрес: 640000, г. Курган, ул. Красина, дом 57, дата регистрации 04.01.2003 год. На основании ст.32.2 КоАП РФ административный штраф должен быть уплачен не позднее 60 дней со дня вступления постановления в законную силу. Квитанция об уплате штрафа в указанный срок должна быть представлена в суд. Постановление может быть обжаловано в течение 10 суток в Шадринский районный суд Курганской области с подачей жалобы через мирового судью.

Мировой судья                                                               Балин Д.А.

Источник: http://32.krg.msudrf.ru/modules.php?name=sud_delo&op=sd&number=12450428&delo_id=1500001