Дело №2-231/2025
УИД № 65RS0016-01-2025-000325-93
РЕШЕНИЕ
Именем Российской Федерации
22 июля 2025 года гор. Углегорск
Углегорский городской суд Сахалинской области в составе:
председательствующего судьи – Калашниковой Ю.С.,
при секретаре – Ивановой А.С.,
с участием прокурора Попова А.Е., представителя ответчика ФИО1, действующего на основании доверенности от 25.03.2025,
рассмотрев в открытом судебном заседании в помещении Углегорского городского суда гражданское дело по исковому заявлению Углегорского городского прокурора, действующего в интересах неопределённого круга лиц, к муниципальному казенному учреждению «Централизованная бухгалтерия» Углегорского муниципального округа Сахалинской области, о возложении обязанности,
установил:
28.02.2025 Углегорский городской прокурор, действуя в интересах неопределенного круга лиц, обратился в Углегорский городской суд с административным исковым заявлением к муниципальному казенному учреждению «Централизованная бухгалтерия» Углегорского муниципального округа Сахалинской области (далее МКУ «Централизованная бухгалтерия»), о признании незаконным бездействия в связи с непринятием мер по обеспечению безопасности персональных данных, необходимых для обеспечения защиты персональных данных, предусмотренных Составом и содержанием организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, утвержденных приказом ФСТЭК России от 18.02.2013 №21; возложении обязанности в течение трех месяцев со дня вступления решения суда в законную силу принять меры по обеспечению безопасности персональных данных путем: определения лиц, которым разрешены действия по внесению изменений в конфигурацию информационной системы и системы защиты персональных данных, определения событий безопасности, подлежащих регистрации и сроков их хранения; определения состава и содержания информации о событиях безопасности; осуществления сбора, записи и хранения информации о событиях безопасности в течение установленного времени хранения, их защите, в вышеуказанном порядке.
В обоснование заявленных требований указано, что Углегорской городской прокуратурой проведена проверка в сфере исполнения организациями, осуществляющими деятельность в сфере информационной безопасности, в ходе которой установлено, что МКУ «Централизованная бухгалтерия» использует программные комплексы 1-С, Свод-Смарт и Смета-Смарт, расположенные на серверах администрации Углегорского муниципального округа, в том числе в целях обработки персональных данных. Несмотря на то, что в МКУ «Централизованная бухгалтерия» определен 3 уровень защищенности персональных данных, мероприятия согласно требованиям пункта 8 приказа ФСТЭК России от 18.02.2013 №21, в том числе: по определению событий безопасности, подлежащих регистрации и сроков их хранения; состава и содержания информации о событиях безопасности; сбору, записи и хранению информации о событиях безопасности в течение установленного времени хранения; защите информации о событиях безопасности, не проведены; не реализуются мероприятия по определению лиц, которым разрешены действия по внесению изменений в конфигурацию информационной системы и системы защиты персональных данных. Указанные обстоятельства влекут нарушение требований федерального законодательства в указанной сфере, создают угрозу возможного неправомерного использования сведений, в том числе в неправомерных целях. На основании выявленных нарушений главе Углегорского муниципального округа 26.09.2024 внесено представление, однако, по настоящее время вышеуказанные мероприятия не реализовываются. В нарушение части 1 статьи 24 Федерального закона «О прокуратуре Российской Федерации» требования прокурора не исполнены. Принимая во внимание, что обработка персональных данных осуществляется в отношении неопределенного круга лиц, у прокурора имеются полномочия по инициированию их судебной защиты.
Определением Углегорского городского суда от 10.04.2025 суд перешел к рассмотрению дела по правилам гражданского судопроизводства.
04.06.2025 Углегорский городской прокурор представил заявление об изменении предмета иска, просит суд возложить на МКУ «Централизованная бухгалтерия» обязанность в течении 12 месяцев со дня вступления решения суда в законную силу принять меры по обеспечению безопасности персональных данных путем определения уровня защищенности персональных данных. Одновременно заявлено об отказе от остальной части требований, представлено соответствующее заявление.
Определением Углегорского городского суда от 04 июня 2025 года производство по делу в части признания незаконным бездействия, в связи с непринятием мер по обеспечению безопасности персональных данных, предусмотренных приказом ФСТЭК России от 18.02.2013 №21, возложении обязанности в течение 3 месяцев со дня вступления решения суда в законную силу принять вышеуказанные меры путем: определения лиц, которым разрешены действия по внесению изменений в конфигурацию информационной системы и системы защиты персональных данных; определения событий безопасности, подлежащих регистрации и сроков их хранения; определения состава и содержания информации о событиях безопасности; осуществления сбора, записи и хранения информации о событиях безопасности в течение установленного времени хранения, их защите, в порядке, предусмотренном вышеуказанным приказом, - прекращено, в связи с отказом от заявленных требований.
В судебном заседании прокурор Попов А.Е. исковое заявление с учётом заявления об изменении предмета иска, поддержал, привёл доводы, аналогичные доводам заявления.
Представитель ответчика ФИО1, действующий на основании доверенности, исковые требования признал, не оспаривал факт отсутствия надлежащим образом установленного уровня защищенности персональных данных.
Выслушав стороны, рассмотрев гражданское дело по принципу законности и справедливости, исследовав представленные доказательства с точки зрения их относимости и допустимости, суд пришёл к следующему.
В силу ч.1 ст.45 ГПК РФ прокурор вправе обратиться в суд с заявлением в защиту прав, свобод и законных интересов граждан, неопределенного круга лиц или интересов Российской Федерации, субъектов Российской Федерации, муниципальных образований.
Судом установлено, что Углегорской городской прокуратурой проведена проверка исполнения законодательства в сфере информационных технологий и защиты информации в МКУ «Централизованная бухгалтерия», в ходе которой установлено использование программных комплексов 1-С, Свод-Смарт и Смета-Смарт для управления финансово-экономической деятельностью, материально-техническим обеспечением, требования к защите персональных данных при обработке в указанных программах недостаточны, не обеспечивают в полной мере защиты неопределенного круга лиц при обработке их персональных данных, поскольку установленные законодательством мероприятия не выполняются, ввиду неопределения уровня защищенности персональных данных.
В соответствии со ст.1 Федерального закона от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации» (далее Федеральный закон 149-ФЗ) настоящий закон регулирует отношения, возникающие при осуществлении права на поиск, получение, передачу, производство и распространение информации; применении информационных технологий; обеспечении защиты информации.
В силу ст.2 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее Федеральный закон 152-ФЗ) целью настоящего Федерального закона является обеспечение защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.
Положения п.2 ст.3 вышеуказанного закона предусматривают, что оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.
Статья 16 Федерального закона № 149-ФЗ предусматривает, что защита информации представляет собой принятие правовых, организационных и технических мер, направленных на обеспечение защиты информации от неправомерного доступа, уничтожения, модифицирования, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении такой информации; соблюдение конфиденциальности информации ограниченного доступа; реализацию права на доступ к информации.
Обладатель информации, оператор информационной системы в случаях, установленных законодательством Российской Федерации, обязаны обеспечить: предотвращение несанкционированного доступа к информации и (или) передачи ее лицам, не имеющим права на доступ к информации; своевременное обнаружение фактов несанкционированного доступа к информации; предупреждение возможности неблагоприятных последствий нарушения порядка доступа к информации; недопущение воздействия на технические средства обработки информации, в результате которого нарушается их функционирование; возможность незамедлительного восстановления информации, модифицированной или уничтоженной вследствие несанкционированного доступа к ней; постоянный контроль за обеспечением уровня защищенности информации; нахождение на территории Российской Федерации баз данных информации, с использованием которых осуществляются сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации.
Часть 1 статьи 19 Федерального закона № 152-ФЗ предусматривает, что оператор при обработке персональных данных обязан принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.
Правительство Российской Федерации с учетом возможного вреда субъекту персональных данных, объема и содержания обрабатываемых персональных данных, вида деятельности, при осуществлении которого обрабатываются персональные данные, актуальности угроз безопасности персональных данных устанавливает: 1) уровни защищенности персональных данных при их обработке в информационных системах персональных данных в зависимости от угроз безопасности этих данных; 2) требования к защите персональных данных при их обработке в информационных системах персональных данных, исполнение которых обеспечивает установленные уровни защищенности персональных данных; 3) требования к материальным носителям биометрических персональных данных и технологиям хранения таких данных вне информационных систем персональных данных (часть 3).
Состав и содержание необходимых для выполнения установленных Правительством Российской Федерации в соответствии с частью 3 настоящей статьи требований к защите персональных данных для каждого из уровней защищенности, организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных устанавливаются федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности, и федеральным органом исполнительной власти, уполномоченным в области противодействия техническим разведкам и технической защиты информации, в пределах их полномочий (часть 4).
Приказом ФСТЭК России от 18.02.2013 № 21 утверждены состав и содержание организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных.
Указанным приказом состав и содержание таких мер обозначен в зависимости от уровня защищенности персональных данных.
Безопасность персональных данных при их обработке в информационной системе персональных данных обеспечивает оператор или лицо, осуществляющее обработку персональных данных по поручению оператора в соответствии с законодательством Российской Федерации.
Для выполнения работ по обеспечению безопасности персональных данных при их обработке в информационной системе в соответствии с законодательством Российской Федерации могут привлекаться на договорной основе юридическое лицо или индивидуальный предприниматель, имеющие лицензию на деятельность по технической защите конфиденциальной информации (ч.2).
Постановлением Правительства РФ от 01.11.2012 N 1119 утверждены Требования к защите персональных данных при их обработке в информационных системах.
В соответствии с п.6 указанных Требований под актуальными угрозами безопасности персональных данных понимается совокупность условий и факторов, создающих актуальную опасность несанкционированного, в том числе случайного, доступа к персональным данным при их обработке в информационной системе, результатом которого могут стать уничтожение, изменение, блокирование, копирование, предоставление, распространение персональных данных, а также иные неправомерные действия.
Определение типа угроз безопасности персональных данных, актуальных для информационной системы, производится оператором с учетом оценки возможного вреда, проведенной во исполнение пункта 5 части 1 статьи 18.1 Федерального закона "О персональных данных", и в соответствии с нормативными правовыми актами, принятыми во исполнение части 5 статьи 19 Федерального закона "О персональных данных" (п. 7 Требований).
Кроме того, при обработке персональных данных в информационных системах устанавливаются 4 уровня защищенности персональных данных (п. 8 Требований).
В соответствии с договором на информационное абонентское обслуживание от 28.05.2024, заключенному между ООО «Апогей ВЛД» и МКУ «Централизованная бухгалтерия», исполнитель оказывает услуги по информационному обслуживанию программных продуктов 1С Бухгалтерия государственного учреждения 8, 1С Зарплата и кадры государственного учреждения 8.
В ходе судебного заседания представитель ответчика не отрицал, что уровень защищенности персональных данных в процессе использования программных продуктов и исполнения требований Федерального закона «О персональных данных» до настоящего времени не определен. Доказательств иного в материалы дела не представлено.
Поскольку учредителем МКУ «Централизованная бухгалтерия» является администрация Углегорского муниципального округа, 26.09.2024 мэру Углегорского городского округа внесено представление прокурора об устранении нарушений федерального законодательства.
Из информации администрации Углегорского городского округа от 12.11.2024 следует, что выполнение мероприятий планируется на 2025 год в случае выделения на это бюджетных средств, заявка на выделение средств местного бюджета направлена в финансовое управление Углегорского городского округа.
Таким образом, ответчиком ненадлежащим образом выполняются требования Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных", чем нарушаются права работников на защиту персональных данных.
Согласно ч.2 ст.206 ГПК РФ суд устанавливает в решении срок, в течение которого решение суда должно быть исполнено. Решение суда, обязывающее организацию или коллегиальный орган совершить определенные действия (исполнить решение суда), не связанные с передачей имущества или денежных сумм, исполняется их руководителем в установленный срок.
Учитывая объем и механизм выполнения заявленной прокурором обязанности, в отсутствие возражений ответчика, суд возлагает исполнение заявленной прокурором обязанности в течение 12 месяцев со дня вступления решения суда в законную силу.
На основании вышеизложенного, руководствуясь статьями 194-199 Гражданского процессуального кодекса Российской Федерации, суд
решил:
Исковое заявление Углегорского городского прокурора, действующего в интересах неопределённого круга лиц, к муниципальному казенному учреждению «Централизованная бухгалтерия» Углегорского муниципального округа Сахалинской области, о возложении обязанности,- удовлетворить.
Возложить на муниципальное казенное учреждение «Централизованная бухгалтерия» Углегорского муниципального округа обязанность в течение 12 месяцев со дня вступления решения суда в законную силу принять меры по обеспечению безопасности персональных данных путем определения уровня защищенности персональных данных.
На решение может быть подана апелляционная жалоба в Сахалинский областной суд через Углегорский городской суд в течение месяца со дня принятия решения суда в окончательной форме.
Мотивированное решение изготовлено 05 августа 2025 года.
Председательствующий судья Ю.С. Калашникова