Национальный Центр по Защите Персональных Данных \rПриказ N 25 от 10.07.2024 об утверждении Положения о проверке законности обработки персональных данных
НАЦИОНАЛЬНЫЙ ЦЕНТР ПО ЗАЩИТЕ
ПЕРСОНАЛЬНЫХ ДАННЫХ
ПРИКАЗ
об утверждении Положения о проверке законности
обработки персональных данных
№ 25 от 10.07.2024
(в силу 25.07.2024)
Мониторул Офичиал ал Р. Молдова № 318-320 ст. 594 от 25.07.2024
* * *
Утратил силу: 16.09.2026
Другие акты N 48 от 09.09.2026
В соответствии с положениями ст.26 п.(2) Закона № 133/2011 о защите персональных данных (Официальный монитор Республики Молдова № 170-175/492 от 14.10.2011)
ПРИКАЗЫВАЮ:
1. Утвердить Положение о проверке законности обработки персональных данных (прилагается).
2. Признать утратившим силу Приказ № 14/2014 об утверждении Положения о проверке законности обработки персональных данных (Официальный монитор Республики Молдова № 153-159/814 от 13.06.2014).
3. Настоящий приказ вступает в силу со дня его опубликования в Официальном мониторе Республики Молдова.
| ДИРЕКТОР | Виктория МУНТЯН |
| № 25. Кишинэу, 10 июля 2024 г. | |
УТВЕРЖДЕНО
Приказом директора Национального центра
по защите персональных данных
№ 25/2024 г.
ПОЛОЖЕНИЕ
о проверке законности обработки персональных данных
I. ОБЩИЕ ПОЛОЖЕНИЯ
1. Положение о проверке законности обработки персональных данных (далее - Положение) разработано в целях реализации положений ст.26 п.(2) Закона № 133/2011.
2. Положение устанавливает в институционных и юридических рамках деятельность по проверке, осуществленную Национальным центром по защите персональных данных (далее - НЦЗПД), и условия проведения исследования на месте.
3. В основе данного регламента лежат понятия, закрепленные в Законе № 133/2011.
II. ЦЕЛЬ И УСЛОВИЯ ПРОВЕДЕНИЯ ПРОВЕРКИ
4. Проверка законности обработки персональных данных (далее - проверка) проводится с целью контроля соблюдения обработки персональных данных, осуществленной контролером и обработчиком, с условиями, закрепленными в Законе № 133/2011.
5. Проверка осуществляется сотрудниками НЦЗПД, наделенными функциями контроля.
6. Проверка инициируется на основании жалобы субъекта персональных данных или по собственной инициативе НЦЗПД в порядке, установленном ст.27 Закона № 133/2011, при хранении информации/признаков, подтвержденных доказательствами существования случаев нарушений основных прав и свобод физического лица при обработке его персональных данных, в особенности права на неприкосновенность интимной, семейной и частной жизни.
7. Проверка начинается со дня регистрации полноценной жалобы, направленной в соответствии с положениями ст.60 п.(2) лит. c), ст.75 п.(1) Административного кодекса и ст.27 п.(1) Закона № 133/2011, с вынесением направления о начале проверки, о чем сообщается заявителю.
8. НЦЗПД ведет учет проверок в электронном виде путем внесения:
1) наименования (имя) лица и объекта, подлежащего проверке;
2) номера и даты направления, инициирующего проверку;
3) в случае исследования на месте - дата и номер направления для исследования на месте;
4) в конце проверки - номер и дата вынесенного решения по делу.
9. В рамках проверки НЦЗПД может принять решение о приостановлении или прекращении операций по обработке персональных данных в отношении лиц, занимающихся предпринимательской деятельностью, если выявленные нарушения являются тяжкими в смысле Закона о государственном контроле № 131/2012.
10. При проведении проверки НЦЗПД запрашивает в письменной форме необходимую информацию с указанием правового основания и цели запроса информации и устанавливает разумный срок, который составляет не менее 5 рабочих дней с момента получения запроса, в течение которого информация должна быть представлена, а также упоминает предусмотренные законом санкции за отказ представить информацию или документы, запрошенные НЦЗПД в процессе осуществления полномочий, за представление недостоверной или неполной информации, а также за непредставление запрошенной информации и документов в установленный законом срок. Запрос о представлении информации должен содержать как минимум данные, предусмотренные лит. 5) - 8) п.12.
11. Только в случае недостаточности имеющихся информации/признаков и информации для установления соблюдения законодательства лицом, подлежащим проверке, и исходя из вмешательств в права субъекта данных в связи с обработкой персональных данных, НЦЗПД осуществляет проверку на месте, путем издания направления. Исследование на месте может быть проведено только в том случае, если есть основания полагать, что могут быть найдены информации/признаки или получена информация о предполагаемом нарушении законодательства о защите персональных данных, которое не нужно доказывать лицу, подлежащему проверке.
12. Исследование на месте проводится не менее чем двумя инспекторами на основании направления, подписанного руководством НЦЗПД, которое должно содержать, как минимум:
1) номер и дата выдачи;
2) идентификационные данные НЦЗПД;
3) имя, фамилия, должность лиц, которые будут осуществлять проверку;
4) основания для начала исследования на месте;
5) ссылка на положения законодательства, на основании которых осуществляется проверка;
6) данные о лице, подлежащем проверке (при необходимости, фамилия и имя или наименование лица; юридический адрес/адрес проверяемого подразделения и его идентификационный код, другие контактные данные);
7) объект проверки;
8) цель и проблемы/вопросы, которые необходимо рассмотреть/прояснить;
9) период проведения исследования на месте.
13. Направление на проведение исследования на месте вручается лицу, в отношении которого проводится проверка, или его уполномоченному представителю под роспись, а его копия направляется ему. В случае отказа принять и подписать разрешение этот факт фиксируется в направлении на проведение проверки в присутствии свидетеля.
14. Любой факт, установленный в ходе исследования на месте, должен быть зафиксирован инспекторами в протоколе.
15. В ходе исследования на месте инспекторы должны определить и зафиксировать в протоколе адрес для корреспонденции (электронный/почтовый), по которому должны быть доставлены документы о проверке.
16. В случае возникновения обстоятельств, препятствующих проведению проверки на месте (отсутствие лица по указанному адресу, ограничение доступа, отказ в предоставлении запрашиваемых документов и т.д.), эти обстоятельства вносятся в протокол контроля, подписываемый инспектором (инспекторами) и представителем проверяемого лица или, в случае отказа или невозможности присутствия такового, по меньшей мере одним свидетелем, с указанием его личных данных. В качестве свидетеля может выступать любое третье лицо, отвечающее условиям, предусмотренным законом в этом отношении, в том числе государственный служащий с особым статусом в составе органов, подчиненных Министерству внутренних дел, за исключением НЦЗПД.
Если присутствие свидетеля не может быть обеспечено в вышеуказанных ситуациях, они будут зафиксированы с помощью видео- и/или аудиосредств.
17. Если объект исследования на месте касается средств обработки персональных данных, которые не находятся в помещении/ месте жительства лица, подлежащего проверке (например: система видеонаблюдения, информационный стенд и т.д.), аспекты, обнаруженные/выявленные инспектором в ходе исследования на месте, должны быть занесены в протокол, указанный в пункте 16.
18. Процедура исследования на месте завершается инспекторами составлением акта проверки не позднее 5 рабочих дней со дня ее завершения.
19. Акт проверки в обязательном порядке должен содержать:
1) наименование органа контроля, подразделение, полное наименование и функции инспекторов;
2) сведения о лице, подлежащем проверке (для юридических лиц - наименование и ИДНО; для физических лиц - фамилия, имя и ИДНП);
3) продолжительность проверки;
4) объект и основание проверки;
5) данные обо всех аспектах, документах, имуществе, помещениях, прочих объектах, прошедших проверку, имеющих значение для цели проверки;
6) констатации и результаты проверки;
7) меры, предложенные группой инспекторов.
20. К акту проверки будут приложены следующие документы:
1) копии документов/ исследованных материалов, относящихся к объекту проверки;
2) протокол, составленный в ходе исследования на месте;
3) письменные объяснения лица, подлежащего проверке (если применимо, ответственного за защиту данных или других лиц, действовавших от имени или по иному поручению лица, подлежащего проверке);
4) доказательства, собранные в ходе исследования на месте происшествия, включая фото/аудио/видеоматериалы.
21. Акт проверки составляется в двух экземплярах, нумеруется и подписывается на каждой странице всеми инспекторами, проводившими проверку.
22. Один акт проверки направляется лицу, в отношении которого проводилось исследование на месте, заказным письмом с уведомлением о вручении или по электронной почте, подписанный электронной подписью, в течение 5 рабочих дней со дня составления акта проверки, в том числе в случае проверки, проведенной по собственной инициативе НЦЗПД.
23. Лицо, в отношении которого проводится проверка, имеет право в течение 10 рабочих дней со дня получения акта проверки представить возражения по нему с дополнительными обоснованиями своей позиции.
24. Инспектор рассматривает представленные материалы и при необходимости оформляет дополнительный акт проверки, не внося исправлений в основной документ. В дополнительном акте проверки указывается основной документ проверки, а в констатирующей части отражаются измененные позиции с соблюдением процедуры составления акта проверки.
25. Лица, которые в силу своих прав и обязанностей, предусмотренных настоящим Положением, ознакомились с информацией об исследовании, а также другие лица, которым такая информация стала известна, обязаны обеспечить ее конфиденциальность в соответствии с законом.
26. Исследование на месте проводится в разрешенное рабочее время проверяемого лица или с 9:00 до 17:00 и осуществляется в присутствии проверяемого лица или его представителя. Проверка может продолжаться после окончания рабочего дня или после 17.00, в зависимости от обстоятельств, только с согласия проверяемого лица или его представителя. Если проверяемое лицо не может/не соглашается/не желает продолжать проверку после 17.00, по согласованию с уполномоченным инспектором, исследование на месте прерывается и назначается следующая дата/время для продолжения.
III. ПРАВА И ОБЯЗАННОСТИ СУБЪЕКТОВ ПРОВЕРКИ
27. При осуществлении проверки, в том числе при проведении исследования на месте, инспектор имеет следующие права:
1) запрашивать и бесплатно получать от лица, в отношении которого проводится проверка, а также от других физических или юридических лиц необходимую информацию/документы, относящиеся к предмету проверки;
2) заслушивать субъекта персональных данных, лицо (лица), в отношении которого (которых) осуществляется проверка, и при необходимости других лиц или свидетелей по любым вопросам, относящимся к предмету проверки;
3) иметь доступ в помещения и на территорию, где находятся системы учета персональных данных, относящиеся к объекту и цели проверки, при предъявлении удостоверения, направления на проведение проверки на месте в отношении организации/лица, подлежащего контролю, и/или его уполномоченного лица, с соблюдением конституционного права на неприкосновенность жилища;
4) иметь доступ к обрабатываемым персональным данным, к технологическому оборудованию, программному обеспечению и приложениям, к любому документу или записи, связанным с обработкой персональных данных, которые относятся к предмету и цели проверки, при соблюдении условий, установленных для доступа к определенной информации, составляющей охраняемую законом тайну;
5) проверять и делать копии любых документов, фото- или видеозаписей документов или иных предметов, содержащих информацию, относящуюся к обработке персональных данных, подлежащих проверке;
6) документировать действия в ходе исследования на месте с помощью фото-, видео-, аудио- и т. д.
7) следить за соблюдением мер, предписанных в результате проверки;
8) обратиться за поддержкой к уполномоченным подразделениям Министерства внутренних дел. При необходимости для проверки могут быть привлечены эксперты в определенных областях, уполномоченные НЦЗПД, которые обязаны обеспечить конфиденциальность информации, полученной ими в ходе исследования;
9) установление факта нарушения и составление протокола о нарушении на основании решения и собранных по делу доказательств и материалов, связанных с процедурой проверки, в соответствии с положениями Кодекса о правонарушениях.
28. Во время проверки инспекторы обязаны:
1) осуществлять проверку в соответствии с полномочиями, предоставленными законом и настоящим Положением, с учетом его предмета и цели;
2) оказывать необходимую поддержку лицу, в отношении которого проводится проверка, в целях полноценного понимания положений нормативных документов и нормативных актов, на основании которых проводится проверка;
3) объективно и справедливо оценивать все аспекты, подлежащие проверке;
4) обеспечить целостность активов и документации лица, подлежащего проверке;
5) предъявить служебное удостоверение лицу, в отношении которого проводится исследование на месте, и разрешить ему ознакомиться с ним;
6) не разглашать содержание документов и информации, ставших ему известными в процессе проведения проверки, а также не использовать такие документы и информацию в целях, не связанных с объектом и целью проверки, за исключением случаев, предусмотренных законом;
7) приобщать к акту проверки любые документы или их копии, а также объяснения в письменном виде от лица, в отношении которого проводится проверка, и/или его работников.
8) по запросу предоставлять лицу, в отношении которого проводится проверка, в электронной форме или на бумажном носителе, документы и перечень соответствующих нормативных правовых актов, которые используются при проведении проверки и на основании которых проводится проверка.
29. В процессе осуществления проверки инспектор не имеет права:
1) запрашивать и изучать документы и сведения, не относящиеся к его компетенции и не имеющие отношения к предмету проверки;
2) запрашивать и использовать ресурсы проверяемого лица (помещения, транспорт, компьютеры, копировальные машины, канцелярские предметы и т.п.) без его согласия;
3) требовать от проверяемого лица информацию, ранее представленную этим лицом контролирующему органу и не имеющую отношения к объекту и аспектам осуществляемого контроля.
4) проводить исследование на месте без представителей проверяемого лица, если имеются основания полагать, что они отсутствуют по обоснованным причинам;
30. Во время проверки лицо, в отношении которого осуществляется проверка, имеет следующие права:
1) представлять информацию и доказательства, относящиеся к объекту и цели проверки;
2) представлять в произвольной форме записанные объяснения, касающиеся объекта и цели проверки;
3) получить копию направления для исследования на месте;
4) принимать участие лично или через своего представителя в процессе исследования на месте;
5) пользоваться помощью адвокатов, других уполномоченных представителей в соответствии с законодательством;
6) требовать приобщения к акту проверки любых документов или их копий, на которых лицо, в отношении которого осуществляется проверка, вправе ставить свою подпись и давать письменные пояснения, а также требовать включения в акт проверки отметок о каких-либо фактах или правах/обязанностях.
7) проверить направление на проверку и ознакомиться с удостоверением инспектора;
8) указать свой электронный адрес, на который НЦЗПД должен направлять уведомления и информацию/признаки, связанные с проверкой;
9) документировать действия инспектора и сопровождающих лиц при исполнении ими своих обязанностей с помощью показаний свидетелей и/или с помощью других средств регистрации фото, видео, аудио и пр., обеспечивая обработку персональных данных, ставших известными в ходе таких действий, в соответствии с действующим законодательством;
10) быть проинформированным о своих правах и обязанностях;
11) оспаривать действия инспектора;
12) требовать в обоснованных случаях один раз приостановления или переноса проверки на другой срок, но не более 10 рабочих дней, в случае, когда осуществление контроля нарушит нормальное функционирование этого лица или приведет к приостановлению его деятельности, или в случае, когда в силу объективных причин оно не может быть подвергнуто;
13) запрашивать доступ к материалам проверки в соответствии с положениями ст.83 Административного кодекса.
31. Все юридические лица публичного или частного права и физические лица обязаны подчиняться проверке, осуществляемой НЦЗПД, в том числе путем обеспечения условий для надлежащего проведения проверки.
IV. СРОК ПРОВЕДЕНИЯ ПРОВЕРКИ И ОКОНЧАТЕЛЬНОЕ
ОФОРМЛЕНИЕ РЕЗУЛЬТАТОВ КОНТРОЛЯ
32. Срок проведения проверки составляет три месяца с возможностью его оправданного продления каждые 30 дней в зависимости от сложности дела, объема информации, которую необходимо получить и проанализировать, поведения соответствующих участников, поведения задействованных органов и значимости административной процедуры для заинтересованной стороны, но не более чем до шести месяцев.
33. НЦЗПД информирует субъекта персональных данных и лицо, в отношение которого осуществляется проверка, о ходе рассмотрения и разрешения жалобы в случае продления срока рассмотрения и разрешения жалобы или по запросу.
34. После получения всей информации и ее анализа НЦЗПД в течение 30 дней выносит мотивированное решение об отсутствии нарушения либо о нарушении законодательства о защите персональных данных и распоряжается в зависимости от обстоятельств о приостановлении, прекращении операций по обработке персональных данных, об исправлении, блокировании или уничтожении недостоверных или незаконно полученных персональных данных. В случае отсутствия или недостаточности доказательств нарушения НЦЗПД мотивированным решением констатирует отсутствие нарушения.
35. Решение НЦЗПД - документ, подтверждающий факт осуществления проверки и содержащий всю информацию о проведенной проверке, примененных процедурах и констатациях в результате проверки, предписаниях и рекомендациях, составленных на основе констатаций. Решение состоит из вводной части, констатирующей части и распорядительной части и является обязательным для исполнения:
1) полное название органа контроля;
2) данные о распоряжении, инициирующем проверку;
3) полное наименование/имя лица, в отношении которого осуществляется проверка, и объект проверки;
4) данные обо всех аспектах, документах, имуществе, помещениях, продукции, оборудовании и прочих объектах, прошедших проверку, имеющих значение для цели проверки;
5) в случае необходимости, подробную информацию о направлении на проведение проверки и основаниях для проведения исследования на месте;
6) при необходимости выводы, сделанные в акте проверки, в результате исследования на месте;
7) прямая отсылка на положения законодательных и нормативных актов, которые нарушило лицо, в отношении которого осуществляется проверка;
8) отсылка на изученные документы, подтверждающие нарушение закона, иные документы, составленные в ходе проверки;
9) в случае необходимости отсылка на объяснения лица, в отношении которого осуществляется проверка, и/или его сотрудников;
10) выводы и при необходимости указания по устранению нарушений, изложенные в части выводов;
11) в случае установления факта нарушения положений Закона № 133/2011 необходимо указать на признаки нарушения, выявленные в ходе проверки, и сделать прямую отсылку на соответствующие нормы Законодательства о правонарушениях;
12) полное имя и должность лиц, осуществлявших проверку.
36. Решение о констатации нарушения законодательства о защите персональных данных и собранные доказательства служат основанием для составления протокола о правонарушении в соответствии с Кодексом Республики Молдова о правонарушениях. При необходимости инструкции, содержащиеся в решении, включаются в план по устранению правонарушения.
37. Решение выносится директором Центра, его заместителем и наделенными контрольными функциями работниками Центра в соответствии с установленными приказом директора компетенциями. Решение сообщается заинтересованным лицам в течение 10 рабочих дней после вынесения любым способом, подтверждающим получение решения.
38. Контролер, обработчик или субъект персональных данных может оспорить действия, бездействие и решение Центра, в соответствии с положениями Административного кодекса, непосредственно в судебной инстанции, без соблюдения предварительного производства.