Гражданский кодекс часть 1

рассмотрела в открытом судебном заседании 24 октября 2018 года в городе Архангельске административное дело по апелляционной жалобе Управления Федеральной службы государственной регистрации, кадастра и картографии по Архангельской области и Ненецкому автономному округу на решение Октябрьского районного суда города Архангельска от 3 августа 2018 года, которым постановлено:

«отказать в удовлетворении административного иска Управления Федеральной службы государственной регистрации, кадастра и картографии по Архангельской области и Ненецкому автономному округу к Региональному управлению Федеральной службы безопасности Российской Федерации по Архангельской области о признании незаконным предписания об устранении выявленных нарушений законодательства Российской Федерации в области персональных данных от 21.03.2018 в части пункта 1».

Заслушав доклад судьи Рудь Т.Н., судебная коллегия

установила:

Управление Федеральной службы государственной регистрации, кадастра и картографии по Архангельской области и Ненецкому автономному округу (далее – Управление) обратилось в суд с административным иском к Региональному управлению ФСБ России по Архангельской области (далее – Региональное управление) о признании незаконным предписания об устранении выявленных нарушений законодательства Российской Федерации в области персональных данных от 21.03.2018 № в части пункта 1.

Требования мотивирует тем, что административным ответчиком была проведена проверка соблюдения Управлением требований к обеспечению безопасности использования шифровальных средств персональных данных при их обработке, по результатам которой выдано предписание об устранении выявленных нарушений.

По мнению административного истца, п. 1 предписания является незаконным, вменяемое нарушение в рассматриваемом случае Управление не допускало. Безопасность персональных данных при их обработке в информационной системе обеспечивает оператор этой системы, функции оператора единой системы исполняет Министерство связи и массовых коммуникаций Российской Федерации. Управление не осуществляло обработку персональных данных в единой системе, а лишь размещало сведения о вакантных должностях, которые не являются персональными данными. Работу в закрытом контуре, в котором размещаются персональные данные, Управление не осуществляло.

Представитель административного истца Б. в судебном заседании заявленные требования поддержала. Пояснила, что указанное в п. 1 предписания нарушение не было допущено Управлением, средство криптографической защиты информации (далее – СКЗИ) уничтожено в ходе проведения проверки и в период с 01.12.2017 по март 2018 года не использовалось Управлением при размещении сведений о вакансиях.

Представитель административного ответчика Д. требования не признал. Указал, что основанием для вынесения предписания явилось применение Управлением СКЗИ с истекшим сроком действия сертификата, что не обеспечило защиту персональных данных.

Суд принял решение, с которым не согласился административный истец и в поданной апелляционной жалобе его представитель Б. просит об отмене судебного решения ввиду неправильного определения и недоказанности обстоятельств, имеющих значение для дела, несоответствия выводов суда, изложенных в решении суда, обстоятельствам дела.

В обоснование указывает, что в соответствии с Временным порядком работы пилотной версии Единой информационной системы управления кадровым составом государственной гражданской службы РФ на период ее опытной эксплуатации, утвержденным приказом Министерства связи и массовых коммуникаций РФ от 24.12.2015 №, для работы в Единой системе у ее пользователя должно быть сертифицированное средство авторизованного доступа, предназначенное для защиты информации. При этом иных требований к указанному средству доступа в приведенном выше Порядке не содержится.

Для соответствующего доступа к Единой системе Управлением было получено от Минкомсвязи России СКЗИ – Программный комплекс <данные изъяты> (далее – ПК <данные изъяты>). Этот комплекс предназначен для обеспечения безопасной передачи данных между сегментами виртуальной сети <данные изъяты> с использованием произвольной телекоммуникационной инфраструктуры IP-сетей, включая сети общего пользования, а также для использования в составе защищенных виртуальных сетей <данные изъяты>, обрабатывающих информацию, не содержащую сведений, составляющих государственную тайну (Правила пользования ПК <данные изъяты>).

Действительно, 30.11.2017 в отношении вышеуказанного ПК истек сертификат соответствия ФСБ России №. Однако продолжал действовать (действует до 31.10.2018) сертификат соответствия ФСБ России №, согласно которому названный продукт отвечает требованиям, предъявляемым к средствам электронной подписи (далее – ЭП), утвержденным приказом ФСБ России от 27.12.2011 № «Об утверждении Требований к средствам электронной подписи и Требований к средствам удостоверяющего центра».

В силу п. 6 приказа № к средствам ЭП в части их разработки, производства, реализации и эксплуатации предъявляются требования, закрепленные Положением о разработке, производстве, реализации и эксплуатации шифровальных (криптографических) средств защиты информации (Положение ПКЗ-2005), утвержденным приказом ФСБ России от 09.02.2005 №.

На основании изложенного ПК, применяемый Управлением для работы в Единой системе, мог эксплуатироваться до 31.10.2018, поскольку не утрачивал своего функционала (предназначения), связанного с обеспечением защиты передаваемой (обрабатываемой) информации. При этом ни одним из действующих на территории Российской Федерации нормативных правовых актов не установлено, что истечение срока действия сертификата соответствия СКЗИ требованиям ФСБ России к шифровальным (криптографическим) средствам свидетельствует об утрате до течения срока службы соответствующего программного продукта обозначенного функционала.

Таким образом, СКЗИ, которое использовалось Управлением, в полном объеме обеспечивало защиту информации от несанкционированного доступа, в том числе персональных данных третьих лиц при их обработке в Единой системе.

Считает, что утверждение ответчика о том, что Управление в нарушение п. 2 ст. 19 Закона №152-ФЗ, пп.г п.5 приказа № не обеспечило защиту персональных данных третьих лиц при работе в Единой системе не соответствует действительности.

Согласно вышеуказанным нормам обеспечение безопасности персональных данных достигается, в частности применением организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, необходимых для выполнения требований к защите персональных данных, исполнение которых обеспечивает установленные Правительством РФ уровни защищенности персональных данных; использование средств защиты информации, прошедших процедуру оценки соответствия требованиям законодательства РФ в области обеспечения безопасности информации, в случае, когда применение таких средств необходимо для нейтрализации актуальных угроз.

Между тем используемый Управлением программный продукт в 2016 году признан ФСБ России соответствующим требованиям, предъявляемым к шифровальным (криптографическим) средствам и мог использоваться для криптографической защиты. При этом, как следует из содержания сертификата соответствия ФСБ России №, ПК <данные изъяты>, отвечающий Положению ПКЗ-2005 в части требований к эксплуатации шифровальных (криптографических) средств защиты информации, по меньшей мере, может эксплуатироваться до 31.10.2018.

Не согласна с выводом суда о том, что работа в закрытом контуре Единой системы при размещении информации о вакансиях возможна исключительно при наличии СКЗИ.

В силу п. 3 Постановления Правительства РФ от 03.03.2017 №256 «О федеральной государственной информационной системе «Единая информационная система управления кадровым составом государственной гражданской службы Российской Федерации» оператором Единой системы является Министерство связи и массовых коммуникаций РФ.

Как установлено судом, и подтверждается материалами дела, для работы в названной системе в целях размещения информации о вакансиях Управлением используются разовые пароли для входа в закрытый контур Единой системы, предоставленные оператором. При этом оператор ставится апеллянтом в известность о том, что у него отсутствует СКЗИ, доступ необходим для размещения указанной информации о вакансиях.

Указывая на возможное нарушение Управлением прав потенциальных соискателей на вакантные должности, Региональное управление не представило доказательств тому, что, начиная с 01.12.2017 по 15.03.2018 посредством Единой системы, апеллянтом были получены анкеты третьих лиц.

Более того, в силу действующего законодательства, возможное наступление негативных последствий от действий субъекта не является нарушением.

Согласно Федеральному закону от 26.12.2008 №294-ФЗ «О защите прав юридических лиц и индивидуальных предпринимателей при осуществлении государственного контроля (надзора) и муниципального контроля» предписание является актом реагирования, который выдается в случае выявления контролирующим органом факта нарушения, а не актом предупреждения нарушений, которые возможно произойдут в будущем.

Таким образом, размещение информации о вакансиях в Единой системе при истекшем сертификате соответствия требованиям ФСБ России шифровальным (криптографическим) средствам не требовало со стороны Регионального управления принятия превентивных мер в виде выдачи предписания в оспариваемой части, поскольку действия Управления не нарушали права третьих лиц.

В возражениях относительно доводов апелляционной жалобы и дополнении к ним Региональное управление просит решение суда оставить без изменения.

Изучив материалы дела, обсудив доводы апелляционной жалобы, возражений на нее, заслушав представителя Управления Федеральной службы государственной регистрации, кадастра и картографии по Архангельской области и НАО Б., представителя Регионального управления ФСБ России по Архангельской области Д., судебная коллегия приходит к следующему.

Согласно ст. 218 КАС РФ гражданин, организация, иные лица могут обратиться в суд с требованиями об оспаривании решений, действий (бездействия) органа государственной власти, органа местного самоуправления, иного органа, организации, наделенных отдельными государственными или иными публичными полномочиями, должностного лица, государственного или муниципального служащего, если полагают, что нарушены или оспорены их права, свободы и законные интересы, созданы препятствия к осуществлению их прав, свобод и реализации законных интересов или на них незаконно возложены какие-либо обязанности.

Судом установлено, что Региональным управлением ФСБ России по Архангельской области проведена плановая выездная проверка выполнения требований по обеспечению безопасности с использованием шифровальных (криптографических) средств персональных данных в информационных системах персональных данных в отношении Управления Росреестра по Архангельской области и НАО.

По результатам проверки составлен акт от 21.03.2018 №, а также выдано предписание об устранении выявленных нарушений законодательства Российской Федерации в области персональных данных от 21.03.2018 №, согласно п. 1 которого применяется средство криптографической защиты информации, не имеющее действующего сертификата соответствия требованиям ФСБ России к шифровальным (криптографическим) средствам. Данное нарушение подлежит устранению в срок до 20.04.2018.

Отказывая в удовлетворении требований о признании незаконным п. 1 предписания, суд первой инстанции исходил из того, что предписание вынесено уполномоченным органом, в пределах его компетенции, само по себе прав административного истца не нарушает, последствий в виде привлечения к ответственности не повлекло.

Судебная коллегия с выводом суда первой инстанции согласна поскольку он основан на исследованных в судебном заседании доказательствах, и соответствующих нормах материального права.

При рассмотрении дела суд первой инстанции правильно руководствовался нормами Федерального закона от 03.04.1995 №40-ФЗ «О федеральной службе безопасности», Положением о Федеральной службе безопасности Российской Федерации, утвержденным Указом Президента РФ от 11.08.2003 №960 «Вопросы Федеральной службы безопасности Российской Федерации», Постановлением Правительства РФ от 03.03.2017 №256 «О федеральной государственной информационной системе «Единая информационная система управления кадровым составом государственной гражданской службы Российской Федерации» федеральная государственная информационная система «Единая информационная система управления кадровым составом государственной гражданской службы Российской Федерации», Регламентом работы федеральной государственной информационной системы «Федеральный портал государственной службы и управленческих кадров», утвержденным Приказом Министерства труда и социальной защиты РФ и Министерства связи и массовых коммуникаций РФ от 05.11.2015 №848н/442.

Судом учтено, что в соответствии с п. 2 Указа Президента РФ от 03.04.1995 №334 «О мерах по соблюдению законности в области разработки производства, реализации и эксплуатации шифровальных средств, а также предоставления услуг в области шифрования информации» в целях повышения защищенности информационно-телекоммуникационных систем органов государственной власти, российских кредитно-финансовых структур, предприятий и организаций запрещено использование государственными организациями и предприятиями в информационно-телекоммуникационных системах шифровальных средств, включая криптографические средства обеспечения подлинности информации (электронная подпись), и защищенных технических средств хранения, обработки и передачи информации, не имеющих сертификата Федерального агентства правительственной связи и информации при Президенте Российской Федерации, а также размещение государственных заказов на предприятиях, в организациях, использующих указанные технические и шифровальные средства, не имеющие сертификата Федерального агентства правительственной связи и информации при Президенте Российской Федерации.

Проанализировав вышеуказанные нормы, суд пришел к обоснованному выводу о том, что органам государственной власти при работе в информационно-телекоммуникационных системах, информационных системах персональных данных запрещено использование несертифицированных средств криптографической защиты информации, в том числе используемых в качестве средств авторизованного доступа, предназначенных для защиты информации, не содержащей сведений, составляющих государственную тайну.

Факт того, что срок действия сертификата соответствия ФСБ России № СКЗИ «Программный комплекс <данные изъяты>» закончился 30.11.2017 подтверждается представленным в материалы дела сертификатом. Также установлено, что в период с 01.12.2017 по 15.03.2018 Управление осуществляло работу в закрытой части Единой системы с использованием СКЗИ «Программный комплекс <данные изъяты>», не имеющего действующего сертификата соответствия требованиям ФСБ России к шифровальным (криптографическим) средствам.

Поскольку на момент проведения проверки Управлением не была предоставлена информация о прекращении работы в Единой информационной системе управления кадровым составом государственной гражданской службы Российской Федерации с 16.03.2018 и уничтожении средств СКЗИ, предписание было выдано обосновано.

В связи с тем, что обстоятельства, имеющие значение для дела, суд установил правильно, представленные доказательства оценил в соответствии со ст. 84 КАС РФ, нормы материального права применил верно, нарушений норм процессуального права, влекущих отмену решения, не допустил, предусмотренных ст. 310 КАС РФ, оснований для отмены решения суда не имеется.

Руководствуясь ст. 309 КАС РФ, судебная коллегия

определила:

решение Октябрьского районного суда города Архангельска от 3 августа 2018 года оставить без изменения, апелляционную жалобу Управления Федеральной службы государственной регистрации, кадастра и картографии по Архангельской области и Ненецкому автономному округу – без удовлетворения.

Председательствующий	Ю.И. Кузнецов

Судьи	А.В. Витязев

	Т.Н. Рудь