Постановление № А44-6764/19 от 12.10.2020 АС Новгородской области

Резолютивная часть постановления объявлена октября 2020 года .

В полном объёме постановление изготовлено октября 2020 года .

Четырнадцатый арбитражный апелляционный суд в составе председательствующего Романовой А.В., судей Черединой Н.В. и                   Шадриной А.Н.

при ведении протокола секретарем судебного заседания                      Шуиной Е.И.,

при участии от общества с ограниченной ответственностью по защите информации «Интерес» директора Богданова Р.Р., от администрации Валдайского муниципального района Москальковой Л.А. по доверенности от 05.10.2020, Никулиной И.В. по доверенности от 09.01.2020,

рассмотрев в открытом судебном заседании с использованием видео-конференц-связи при содействии Одиннадцатого арбитражного апелляционного суда и Арбитражного суда Новгородской области апелляционную жалобу общества с ограниченной ответственностью по защите информации «Интерес» на решение Арбитражного суда Новгородской области от 23 марта 2020 года по делу № А44-6764/2019,

у с т а н о в и л:

общество с ограниченной ответственностью по защите информации «Интерес» (адрес: 445013, Самарская область, город Тольятти, улица Куйбышева, дом 16, квартира 67; ОГРН 1096324003412, ИНН 6324003740; далее – ООО «Интерес», Общество) обратилось в Арбитражный суд Новгородской области с исковым заявлением к администрации Валдайского муниципального района (адрес: 175400, Новгородская область, район Валдайский, город Валдай, проспект Комсомольский, дом 19/21;                            ОГРН 1025300516636, ИНН 5302001218; далее – Администрация) о взыскании 410 000 руб. задолженности по оплате работ, выполненных на основании муниципального контракта от 11.01.2019 № 0150300011618000127-0231035-02, 20 500 руб. в счет возврата суммы обеспечительного платежа, а также                      249 000 руб. судебных издержек на оплату услуг представителя и 1 919 руб. 24 коп. почтовых расходов (с учетом уточнений, принятых в порядке статьи 49 Арбитражного процессуального кодекса Российской Федерации (далее –              АПК РФ)).

Определением суда от 28.08.2019 к производству принято встречное исковое заявление Администрации о расторжении муниципального контракта от 11.01.2019 № 0150300011618000127-0231035-02 (с учетом уточнения требований и частичного отказа от иска).

К участию в деле в качестве третьих лиц, не заявляющих самостоятельных требований относительно предмета спора, привлечены Управление Федеральной антимонопольной службы по Новгородской области, федеральное государственное унитарное предприятие «ЗащитаИнфо Транс» Министерства транспорта Российской Федерации.

Решением Арбитражного суда Новгородской области от 23.03.2020 с Администрации в пользу ООО «Интерес» взыскано 304 500 руб., в том числе                       284 000 руб. основного долга, 20 500 руб. в счет возврата обеспечительного платежа, а также 75 977 руб. 59 коп. в счет возмещения судебных издержек и 8 211 руб. 95 коп. в возмещение расходов по уплате государственной пошлины, муниципальный контракт, заключенный Администрацией и Обществом 11.01.2019, суд признал расторгнутым. В удовлетворении остальной части первоначального иска отказано, в остальной части производство по встречному иску прекращено.

ООО «Интерес» с решением в части отказа истцу во взыскании с ответчика 126 000 руб. в счет основного долга и соответственного частичного возмещения судебных издержек и частичного возмещения расходов по уплате государственной пошлины, а также в части удовлетворения встречного иска Администрации и взыскания с Общества в доход федерального бюджета                  6000 руб. государственной пошлины не согласилось, обратилось с апелляционной жалобой, в которой (с учетом принятых дополнений) просит решение в указанной части отменить.

В обоснование жалобы ООО «Интерес» приводит следующие доводы:

- суд сделал ошибочный вывод, что приложение к приказу ФСТЭК от 18.02.2013 № 21 устанавливает перечень мер по обеспечению безопасности персональных данных для каждого уровня защищенности. Такой перечень мер в вышеуказанном приложении отсутствует и формируется исполнителем в соответствии с пунктом 9 вышеуказанного приказа;

- суд в обжалуемом решении сослался на письмо от 22.01.2020 Управления Федеральной службы по техническому и экспортному контролю по Северо-Западному федеральному округу (далее – Управление ФСТЭК), в котором сделан вывод, что Обществом необоснованно завышены требования к системе защиты информации при модернизации информационной системы  Администрации и при проведении ее аттестационных испытаний. Вместе с тем Общество как исполнитель по контракту не было привлечено Управлением ФСТЭК  к процессу апелляции по результатам аттестационных испытаний, в связи с чем исполнитель  был лишен возможности представить свои обоснования и доводы;

- суд проигнорировал ходатайство истца о привлечении к судебному разбирательству в качестве третьего лица Управления ФСТЭК, которое не ответило на запрос Общества от 18.04.2019;

- суд необоснованно принял в качестве допустимого доказательства заключение экспертизы федерального государственного унитарного предприятия  «ЗащитаИнфо Транс» (далее – ФГУП «ЗащитаИнфо Транс»), в то время как в соответствии с пунктом 7.2 контракта и Федеральным законом «О контрактной системе в сфере закупок товаров, работ, услуг для обеспечения государственных и муниципальных нужд» от 05.04.2013 № 44-ФЗ заказчик вправе выполнить экспертизу своими силами или поручить проведение экспертизы экспертной организации на основании контракта. Вместе с тем Администрация и ФГУП «ЗащитаИнфо Транс» заключили прямой договор, а не муниципальный контракт;

- отказ ответчика от приемки работ не мотивирован и направлен истцу в  нарушение 5 дневного  срока, установленного пунктом 7.3 контракта;

- судом применен приказ ФСТЭК России от 11.02.2013 № 17, подлежащий применению к государственным информационным системам, к которым информационная система Администрации не относится;

- вывод суда о том, что заказчик заинтересован в получении именно положительного заключения по результатам аттестационных испытаний, не соответствует пункту 7 приложения 1 к контракту;

- суд не рассмотрел досудебную переписку сторон и сделал необоснованный  вывод о том, что Общество выдало Администрации отрицательное заключение  до согласования с ней  программы и методики проведения аттестации, чем лишило ответчика времени для анализа соответствующих документов на предмет их соответствия закону и  контракту;    

- суд сделал противоречащий обстоятельствам дела вывод, что Общество не представило Администрации мотивированные пояснения относительно необходимости использования мер защиты информации, не соответствующих определенному для Администрации уровню защищенности;

- суд не дал оценки представленным в досудебной переписке сторон пояснениям Общества, что меры защиты информации, не соответствующие определенному для Администрации уровню защищенности, не рассматривались Обществом в техническом задании, не оценивались в документах аттестационных испытаний;

- суд сделал ошибочный вывод, что Администрация обратилась в Управление ФСТЭК в установленном порядке. Напротив, в нарушение установленного пунктом 7.2 контракта 5 дневного срока рассмотрения результатов работ Администрация, получив их 31.01.2019, только 14.10.2019  направила запрос в Управление ФСТЭК и получила ответ 22.01.2020;

- Управление ФСТЭК рассмотрело обращение Администрации с нарушением порядка, установленного ГОСТ РО 0043-003-2012 (ДСП), без привлечения Общества;

- не соответствует обстоятельствам дела вывод суда об отсутствии у сторон намерений продолжить договорные отношения;

- бездоказательным и не соответствующим обстоятельствам дела является вывод суда о том, что обоснованные изменения технического задания могут быть произведены на основании нового муниципального контракта и приведут к дополнительным затратам муниципального бюджета;

- судом сделан необоснованный вывод, что Общество рассматривало меры защиты, не соответствующие 4-му уровню защищенности персональных данных;

- не соответствует действительности вывод суда об утверждении истцом  того, что положительное заключение не будет выдано, так как имеются иные критичные недочеты. Общество утверждало о том, что Администрацией не выполняются прямые требования к защите персональных данных, установленные Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных»;

- взысканная в возмещение расходов истца на оплату услуг представителя сумма не соответствует уровню сложности дела, суд первой инстанции не возместил расходы истца на направление претензии,  на оплату услуг представителя для защиты интересов истца по встречному иску.

Определением от 22.05.2020 жалоба принята к производству, судебное заседание назначено на 14.07.2020. Определением от 14.07.2020 судебное заседание отложено на 11.08.2020 в 15 час 20 мин.

Определением от 11.08.2020 суд отложил рассмотрение жалобы на 06.10.2020, истребовал в Управлении ФСТЭК сведения об обращении главы или самой Администрации с апелляционной жалобой на полученные                          ООО «Интерес» при аттестационных испытаниях результаты на основании контракта от 11.01.2019 № 0150300011618000127-0231035-02; доказательства привлечения ООО «Интерес» к рассмотрению соответствующего обращения и документ, принятый Управлением ФСТЭК по результатам рассмотрения; доказательства направления документа ООО «Интерес» и Администрации; копию ответа Управления Федеральной службы по техническому и экспортному контролю по Приволжскому федеральному округу на обращение Управления ФСТЭК от 29.11.2019 № 3/1579; перечень необоснованно завышенных требований к системе защиты информации Администрации со стороны исполнителя – ООО «Интерес», о которых идет речь в ответе Управления от 22.01.2020 № 3/49 на запросы Администрации от 08.11.2019              № 5003 и от 14.12.2019 № 4486.

На запрос суда Управление ФСТЭК представило:

копию запроса заместителя главы Администрации от 14.10.2019 № 4486;

копию обращения главы Валдайского муниципального района Новгородской области от 08.11.2019 № 5003;

копию ответа на обращение главы Валдайского муниципального района Новгородской области от 22.01.2020 № 3/49;

копию ответа Управления ФСТЭК по Приволжскому федеральному округу с приложением рабочих материалов анализа от 17.09.2020 № 5/633.

В судебном заседании представитель ООО «Интерес» доводы жалобы поддержал, также представил заявление о возмещении судебных расходов, понесенных в связи с рассмотрением дела в апелляционной инстанции.

Администрация в отзыве на апелляционную жалобу и ее представитель в судебном заседании против  доводов жалобы возражали.

Третьи лица надлежащим образом извещены о времени и месте рассмотрения апелляционной жалобы, представителей не направили. Дело рассмотрено в отсутствие представителей указанных лиц в соответствии со статьями 123, 156, 266 АПК РФ.

Заслушав представителей ООО «Интерес» и Администрации, исследовав доказательства по делу, проверив законность и обоснованность решения суда в обжалуемой части, апелляционная инстанция находит жалобу не подлежащей удовлетворению.

Как следует из материалов дела, истец (исполнитель) и ответчик (заказчик) заключили муниципальный контракт от 11.01.2019                                    № 0150300011618000127-0231035-02 (далее – контракт), предметом которого является выполнение работ по проведению оценки эффективности системы защиты персональных данных (аттестационных испытаний системы защиты персональных данных) согласно техническому заданию (приложение 1) (пункт 1.2).

В силу пункта 9 технического задания в состав подлежащих выполнению работ включены:

1) установка и настройка средств защиты информации от несанкционированного доступа,

2) разработка модели угроз для соответствующих информационных систем персональных данных,

3) разработка актов присвоения уровней защищенности для информационных систем персональных данных,

4) разработка технического задания на модернизацию системы защиты персональных данных Администрации,

5) аттестационные испытания информационной системы персональных данных «Государственные (муниципальные) услуги»,

6) оказание консультационной и информационной поддержки сотрудникам заказчика при эксплуатации программ сбора и анализа событий информационной безопасности.

Срок оказания услуг – с момента заключения контракта и до 10 февраля 2019 года включительно (пункт 4.2).

Цена контракта составляет 410 000 руб. (пункт 5.1).

В соответствии с пунктом 7.1 контракта и пунктом 7 технического задания по окончании работ исполнитель предоставляет заказчику следующие документы: акт передачи прав на использование лицензионного программного обеспечения, акт ввода в эксплуатацию системы защиты информации, акт установки и настройки средств защиты информации, товарную накладную на передачу установочных комплектов, программу и методику проведения аттестационных испытаний, заключение по результатам аттестационных испытаний, аттестат соответствия информационной системы персональных данных «Государственные (муниципальные) услуги» требованиям безопасности информации (в случае наличия положительного заключения по результатам аттестационных испытаний), акт о приемке выполненных работ и счет.

Согласно пункту 7.3 контракта заказчик в течение 5 рабочих дней рассматривает выполненные работы на предмет их соответствия требованиям и условиям контракта и направляет исполнителю подписанный экземпляр акта о приемке выполненных работ, запрос о предоставлении разъяснений касательно результатов выполненных работ либо мотивированный отказ от принятия результатов работ.

В соответствии с пунктом 9.1 контракта его исполнение обеспечено внесением Обществом на счет Администрации 20 500 руб.

Названные денежные средства возвращаются заказчиком в течение 10 рабочих дней после исполнения (прекращения) обязательств по контракту по заявлению исполнителя (пункт 9.5).

Факт перечисления истцом названной суммы обеспечения исполнения контракта на счет ответчика подтверждается копией платежного поручения                    от 09.01.2019 № 1 и Администрацией не оспаривается.

Исполнитель 31.01.2019 передал заказчику подтверждающие выполнение контракта документы, акт о приемке выполненных работ, в котором указал раздельную стоимость оказанных Администрации услуг, а также заявление о возврате денежных средств, внесенных в качестве обеспечения исполнения контракта.

Согласно утвержденному заказчиком 25.01.2019 акту определения уровня защищенности для Администрации установлена необходимость  обеспечения  4-го уровня защищенности персональных данных при их обработке в информационной системе.

Кроме того, в материалы дела представлены разработанные истцом во исполнение контракта частная модель угроз, частное техническое задание на создание (модернизацию) системы защиты информации, программа и методики аттестационных испытаний, заключение по результатам аттестационных испытаний с соответствующим протоколом.

Указанные документы содержат отметку об их утверждении исполнителем. Со стороны заказчика штамп о согласовании не проставлен.

Из содержания акта о приемке выполненных работ от 31.01.2019 следует, что истец выполнил следующие предусмотренные контрактом работы:

пункт 1.1 – поставил установочный программный комплект (275 руб.),

пункт 1.2 – передал право на использование модуля защиты от несанкционированного доступа и контроля устройств (118 500 руб.),

пункт 1.3 – предоставил право на использование сертифицированной ФСТЭК версии программного обеспечения (89 960 руб.),

пункт 1.4 – выполнил установку и настройку средств защиты информации (23 700 руб.),

пункт 1.5 – разработал частные модели угроз безопасности персональных данных, а также акты классификации по уровню защищенности (27 565 руб.),

пункт 1.6 – разработал техническое задание на модернизацию системы защиты персональных данных (36 000 руб.),

пункт 1.7 – провел оценку эффективности системы защиты персональных данных (аттестацию) (90 000 руб.),

пункт 1.8 – оказал информационно-консультационные услуги.

Указанная в акте о приемке выполненных работ цена каждой оказанной услуги ответчиком не оспаривается.

С начала февраля 2019 года между сторонами велась длительная переписка относительно качества выполненных истцом работ. В частности, заказчик, ссылаясь на несогласие с выданным исполнителем отрицательным заключением по результатам проведенных аттестационных испытаний, отказался от приемки выполненных Обществом работ. Исполнитель, в свою очередь, настаивал на том, что оказанные им услуги полностью соответствуют условиям контракта и действующему законодательству, указывал на обоснованность вывода о несоответствии состояния организации работ и выполнения заказчиком требований безопасности информации положениям соответствующих нормативных актов.

Поскольку Администрация выполненные работы не оплатила,                       ООО «Интерес» направило ответчику претензионное письмо, а затем обратилось в суд с настоящим иском.

Суд первой инстанции признал требования законными и обоснованными частично.

Апелляционная инстанция не находит оснований не согласиться с обжалуемым судебным актом.

Согласно статье 307 Гражданского кодекса Российской Федерации (далее – ГК РФ) в силу обязательства одно лицо (должник) обязано совершить в пользу другого лица (кредитора) определенное действие, как то: передать имущество, выполнить работу, уплатить деньги и т.п., либо воздержаться от определенного действия, а кредитор имеет право требовать от должника исполнения его обязанности. Обязательства возникают из договора.

Обязательства должны исполняться надлежащим образом в соответствии с условиями обязательства и требованиями закона (статья 309 ГК РФ).

Односторонний отказ от исполнения обязательства и одностороннее изменение его условий не допускаются (статья 310 настоящего Кодекса).

В соответствии с пунктом 1 статьи 779 ГК РФ по договору возмездного оказания услуг исполнитель обязуется по заданию заказчика оказать услуги (совершить определенные действия или осуществить определенную деятельность), а заказчик обязуется оплатить эти услуги.

Заказчик обязан оплатить оказанные ему услуги в сроки и в порядке, которые указаны в договоре возмездного оказания услуг (пункт 1 статьи 781 названного Кодекса).

Отказывая в удовлетворении иска Общества в части взыскания стоимости услуг по разработке технического задания на модернизацию системы защиты персональных данных (36 000 руб.) и  оценке эффективности системы защиты персональных данных (аттестацию) (90 000 руб.), суд первой инстанции правомерно исходил из того обстоятельства, что разработка технического задания предшествует работам по проведению аттестации.

Однако, передав Администрации предусмотренные контрактом документы единым пакетом 31.01.2019, выдав отрицательное заключение по результатам проведенной аттестации до согласования с заказчиком программы и методики проведения такой аттестации, исполнитель лишил ответчика времени для анализа соответствующих документов на предмет их соответствия положениям закона и заключенного сторонами контракта, а также для исправления предварительно выявленных исполнителем замечаний. В последующей переписке Общество также не предоставило Администрации мотивированные пояснения относительно необходимости использования мер защиты информации, не соответствующих определенному для ответчика уровню защищенности.

При изложенных обстоятельствах суд пришел к обоснованному выводу о том, что услуги по составлению технического задания на создание (модернизацию) системы защиты информации и проведению аттестационных испытаний оказаны Обществом с ненадлежащим качеством.

Утверждение истца о том, что даже в случае устранения замечаний, касающихся мер, не соответствующих установленному для Администрации уровню защищенности персональных данных, при проведении аттестации им были выявлены иные критические недостатки, при наличии которых по результатам проведения аттестации также было бы выдано отрицательное заключение, судом отклонено правомерно, так как носит предположительный характер и, с учетом изложенных выше выводов, касающихся передачи заказчику единого пакета документов, не свидетельствует о надлежащем качестве оказанных Обществом услуг.

Иные приведенные Обществом в судах первой и апелляционной инстанции доводы правового значения для дела не имеют.

Ответ Центрального управления ФСТЭК от 20.04.2020 на запрос Общества от 30.03.2020 не содержит информации, которая опровергала бы выводы суда первой инстанции в обжалуемом судебном акте, исходя из фактических обстоятельств дела.

Представленное Обществом в апелляционную инстанцию заключение от 08.06.2020 общества с ограниченной ответственностью «Центр Защиты Информации» не может быть признано бесспорным, достоверным доказательством  соответствия оказанных услуг требованиям контракта, так как не является заключением судебной экспертизы, квалификация лица, его давшего, судом не проверялась, об уголовной ответственности за дачу заведомо ложного заключения данное лицо не предупреждалось. Данное заключение  противоречит иным доказательствам по делу. 

С учетом положений пункта 3 статьи 723 ГК РФ Администрацией правомерно заявлено, а судом удовлетворено требование о расторжении контракта по требованию заказчика при наличии в результатах работ существенных и неустранимых недостатков.

Судебные расходы распределены решением суда правильно в соответствии со статьей 110 АПК РФ.

Доводы, изложенные в апелляционной жалобе, не опровергают выводов суда первой инстанции, а лишь выражают несогласие с ними, в связи с чем не могут служить основанием для отмены состоявшегося судебного акта.

Суд апелляционной инстанции считает, что судом первой инстанции правильно установлены обстоятельства дела, выводы суда им соответствуют. Нормы материального и процессуального права применены правильно. Оснований для отмены решения суда не имеется.

В связи с отказом в удовлетворении апелляционной жалобы расходы истца по уплате государственной пошлины и иные расходы в связи с рассмотрением дела в суде апелляционной инстанции возмещению не подлежат.

Руководствуясь статьями 268, 269, 271 Арбитражного процессуального кодекса Российской Федерации, Четырнадцатый арбитражный апелляционный суд

п о с т а н о в и л :

решение Арбитражного суда Новгородкой области от 23 марта
2020 года по делу № А44-6764/2019 оставить без изменения, апелляционную жалобу общества с ограниченной ответственностью по защите информации «Интерес» – без удовлетворения.

В удовлетворении заявления о взыскании судебных расходов за рассмотрение дела в суде апелляционной инстанции отказать.

Постановление может быть обжаловано в Арбитражный суд Северо-Западного округа в срок, не превышающий двух месяцев со дня его принятия.