Гражданский кодекс часть 1

рассмотрев в г. Сыктывкаре 3 августа 2018 года жалобу АО "СОГАЗ" на постановление мирового судьи Лесозаводского судебного участка г. Сыктывкара от 30 мая 2018 года о привлечении к административной ответственности по части 6 статьи 13.11 Кодекса Российской Федерации об административных правонарушениях,

УСТАНОВИЛ:

Постановлением мирового судьи Лесозаводского судебного участка г. Сыктывкара от 30 мая 2018 года АО "СОГАЗ" признано виновным в совершении административного правонарушения, предусмотренного частью 6 статьи 13.11 КоАП РФ с назначением наказания в виде административного штрафа в размере 25000 руб.

Не согласившись с указанным постановлением, АО "СОГАЗ" обратилось в суд с жалобой, в котором просит постановление мирового судьи отменить.

Заслушав участников процесса, исследовав материалы дела, суд приходит к следующему.

Согласно части 6 статьи 13.11 КоАП РФ невыполнение оператором при обработке персональных данных без использования средств автоматизации обязанности по соблюдению условий, обеспечивающих в соответствии с законодательством Российской Федерации в области персональных данных сохранность персональных данных при хранении материальных носителей персональных данных и исключающих несанкционированный к ним доступ, если это повлекло неправомерный или случайный доступ к персональным данным, их уничтожение, изменение, блокирование, копирование, предоставление, распространение либо иные неправомерные действия в отношении персональных данных, при отсутствии признаков уголовно наказуемого деяния - влечет наложение административного штрафа на граждан в размере от семисот до двух тысяч рублей; на должностных лиц - от четырех тысяч до десяти тысяч рублей; на индивидуальных предпринимателей - от десяти тысяч до двадцати тысяч рублей; на юридических лиц - от двадцати пяти тысяч до пятидесяти тысяч рублей.

В соответствии со статьями 3, 6 Федерального закона "О персональных данных" персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);

оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;

обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

Оператор вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора. Лицо, осуществляющее обработку персональных данных по поручению оператора, обязано соблюдать принципы и правила обработки персональных данных, предусмотренные настоящим Федеральным законом. В поручении оператора должны быть определены перечень действий (операций) с персональными данными, которые будут совершаться лицом, осуществляющим обработку персональных данных, и цели обработки, должна быть установлена обязанность такого лица соблюдать конфиденциальность персональных данных и обеспечивать безопасность персональных данных при их обработке, а также должны быть указаны требования к защите обрабатываемых персональных данных в соответствии со статьей 19 настоящего Федерального закона.

Согласно пункту 15 Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации, утвержденного Постановлением Правительства РФ от 15 сентября 2008 года № 687 при хранении материальных носителей должны соблюдаться условия, обеспечивающие сохранность персональных данных и исключающие несанкционированный к ним доступ. Перечень мер, необходимых для обеспечения таких условий, порядок их принятия, а также перечень лиц, ответственных за реализацию указанных мер, устанавливаются оператором.

По смыслу приведенных норм права при поручении оператором персональных данных третьему лицу обработки персональных данных (в частности в случае хранения материальных носителей персональных данных третьим лицом) оператор обязан заключить с ним соответствующий договор, в котором он должен определить меры по обеспечению сохранности персональных данных. Такой договор может быть заключен как в форме отдельного документа, так и в составе иного договора (в частности, договора аренды).

Как следует из материалов дела, 2 марта 2018 года АО "СОГАЗ", являясь оператором персональных данных, при хранении материальных носителей персональных данных в не принадлежащем ему нежилом помещении (подвале) № ..., расположенном по адресу ... не предприняло необходимых и достаточных мер для исключения несанкционированного доступа к ним иных лиц, то есть невыполнило обязанности по соблюдению условий, обеспечивающих в соответствии с законодательством Российской Федерации в области персональных данных сохранность персональных данных при хранении материальных носителей персональных данных и исключающих несанкционированный к ним доступ, что повлекло доступ к персональным данным третьих лиц, в том числе ... В.В., ... В.И., ... Э.А., ... И.В.

При этом хранение материальных носителей персональных данных осуществлялось АО "СОГАЗ" в помещении (подвале) № ..., расположенном по адресу ..., на основании договора аренды с ООО "..." от ** ** **, и в помещении (подвале) № ... расположенном по тому же адресу, по устной договоренности с руководителем ООО ......

Договор аренды не содержит положений, определяющих взаимоотношения сторон по поводу сохранности персональных данных, какого-либо отдельного договора по данному вопросу стороны также не заключали.

Кроме того, согласно пунктам 6.5, 10.2.6 Положения об организации и обеспечению защиты персональных данных в АО "СОГАЗ", утвержденного приказом АО "СОГАЗ" от 1 октября 20012 года № 491, хранение материальных носителей персональных данных должно осуществляться в запираемых металлических ящиках. В случае, если работник сторонней организации имеет доступ к персональным данным Общества, необходимо, чтобы в договоре со сторонней организацией были прописаны условия конфиденциальности персональных данных и обязанность сторонней организации и ее работников по соблюдению требований текущего законодательства в области защиты персональных данных.

В рамках конкурсного производства ООО "..." продало по договору купли-продажи от ** ** ** помещение (подвал), расположенное по адресу ...... В.В. (о чем конкурсный управляющий уведомил АО "СОГАЗ"), в связи с чем новый собственник, а равно иные лица получили возможность доступа к персональным данных третьих лиц оператора АО "СОГАЗ".

Административным правонарушением признается противоправное, виновное действие (бездействие) физического или юридического лица, за которое КоАП РФ или законами субъектов Российской Федерации об административных правонарушениях установлена административная ответственность (п. 1 ст. 2.1 КоАП РФ).

На основании ч. 1 ст. 1.5 КоАП РФ лицо подлежит административной ответственности только за те административные правонарушения, в отношении которых установлена его вина.

В рассматриваемом случае наличие в действиях привлеченного лица состава вмененного административного правонарушения с необходимой степенью подтверждается материалами дела, и сомнений не вызывает.

Спорные вопросы, возникшие между АО "СОГАЗ" и новым собственником нежилого помещения по вопросу аренды помещений подвала, а равно судьбы персональных данных (архива АО "СОГАЗ") не свидетельствуют об отсутствии состава административного правонарушения и не могут служит поводом для иной оценки правильных выводов мирового судьи о виновности АО "СОГАЗ" в непринятии достаточных мер по исключению возможности несанкционированного доступа к хранимым в помещении № ... подвала персональным данным.

В соответствии со ст. 2.9 КоАП РФ, при малозначительности совершенного административного правонарушения судья, орган, должностное лицо, уполномоченные решить дело об административном правонарушении, могут освободить лицо, совершившее административное правонарушение, от административной ответственности и ограничиться устным замечанием.

Как разъяснено в Постановлении Пленума Верховного Суда РФ от 24.03.2005 N 5 "О некоторых вопросах, возникающих у судов при применении Кодекса Российской Федерации об административных правонарушениях", малозначительным административным правонарушением является действие или бездействие, хотя формально и содержащее признаки состава административного правонарушения, но с учетом характера совершенного правонарушения и роли правонарушителя, размера вреда и тяжести наступивших последствий не представляющее существенного нарушения охраняемых общественных правоотношений.

Совершенное правонарушение не может быть признано малозначительным, так как допущенное нарушение правил по обеспечению сохранности персональных данных значительного количества лиц привело к несанкционированному доступу к ним.

Наказание назначено в пределах санкции вмененной статьи, является обоснованным и пропорциональным.

Постановление является законным и обоснованным, оснований для его отмены не имеется.

Руководствуясь ст. 30.7 КоАП РФ, судья

РЕШИЛ:

Постановление мирового судьи Лесозаводского судебного участка г. Сыктывкара от 30 мая 2018 года по делу об административном правонарушении, предусмотренном частью 6 статьи 13.11 КоАП РФ в отношении АО "СОГАЗ" оставить без изменения, жалобу АО "СОГАЗ" – без удовлетворения.

Судья