Гражданский кодекс часть 1

рассмотрев в открытом судебном заседании административное дело по административному иску Управления Федеральной службы государственной регистрации, кадастра и картографии по Архангельской области и Ненецкому автономному округу к Региональному управлению Федеральной службы безопасности Российской Федерации по Архангельской области о признании незаконным предписания об устранении выявленных нарушений законодательства Российской Федерации в области персональных данных от ДД.ММ.ГГГГ в части,

установил:

Управление Росреестра по Архангельской области и Ненецкому автономному округу обратилось в суд с административным иском к Региональному управлению ФСБ России о признании незаконным предписания об устранении выявленных нарушений законодательства Российской Федерации в области персональных данных от ДД.ММ.ГГГГ№ в части пункта 1.

В обоснование требований указано, что административным ответчиком была проведена проверка соблюдения Управлением требований к обеспечению безопасности использования шифровальных средств персональных данных при их обработке, по результатам которой выдано предписание об устранении выявленных нарушений. По мнению административного истца, п. 1 предписания является незаконным, вменяемое нарушение в рассматриваемом случае Управление не допускало. Безопасность персональных данных при их обработке в информационной системе обеспечивает оператор этой системы, функции оператора единой системы исполняет Министерство связи и массовых коммуникаций Российской Федерации. Управление не осуществляло обработку персональных данных в единой системе, а лишь размещало сведения о вакантных должностях, которые не являются персональными данными. Работу в закрытом контуре. В котором размещаются персональные данные, Управление не осуществляло.

В судебном заседании представитель административного истца Белякова Е.С. заявленные требования поддержала. Указала, что указанное в п. 1 предписания нарушение не было допущено Управлением, СКЗИ уничтожено в ходе проведения проверки, и в период с 01.12.2017 по март 2018 не использовалось Управлением при размещении сведений о вакансиях.

В судебном заседании представитель административного ответчика Дмитриев А.В. с требованиями не согласился. Указал, что основанием для вынесения предписания явилось применение Управлением СКЗИ с истекшим сроком действия сертификата, что не обеспечило защиту персональных данных. Представил в материалы дела письменные возражения, пояснения, дополнения.

Заслушав пояснения лиц, участвующих в деле, свидетеля, исследовав материалы административного дела, суд установил следующее.

Согласно ст. 218 КАС РФ гражданин, организация, иные лица могут обратиться в суд с требованиями об оспаривании решений, действий (бездействия) органа государственной власти, органа местного самоуправления, иного органа, организации, наделенных отдельными государственными или иными публичными полномочиями, должностного лица, государственного или муниципального служащего, если полагают, что нарушены или оспорены их права, свободы и законные интересы, созданы препятствия к осуществлению их прав, свобод и реализации законных интересов или на них незаконно возложены какие-либо обязанности.

Согласно ст. 226 КАС РФ, если иное не предусмотрено настоящим Кодексом, при рассмотрении административного дела об оспаривании решения, действия (бездействия) органа, организации, лица, наделенных государственными или иными публичными полномочиями, суд выясняет:

1) нарушены ли права, свободы и законные интересы административного истца или лиц, в защиту прав, свобод и законных интересов которых подано соответствующее административное исковое заявление;

2) соблюдены ли сроки обращения в суд;

3) соблюдены ли требования нормативных правовых актов, устанавливающих:

а) полномочия органа, организации, лица, наделенных государственными или иными публичными полномочиями, на принятие оспариваемого решения, совершение оспариваемого действия (бездействия);

б) порядок принятия оспариваемого решения, совершения оспариваемого действия (бездействия) в случае, если такой порядок установлен;

в) основания для принятия оспариваемого решения, совершения оспариваемого действия (бездействия), если такие основания предусмотрены нормативными правовыми актами;

4) соответствует ли содержание оспариваемого решения, совершенного оспариваемого действия (бездействия) нормативным правовым актам, регулирующим спорные отношения.

Основанием к удовлетворению заявления может служить нарушение требований законодательства хотя бы по одному из оснований, свидетельствующих о незаконности принятых решений, совершенных действий (бездействия).

Согласно ст. 13 Федерального закона от 03.04.1995 № 40-ФЗ «О федеральной службе безопасности» регулирование в области разработки, производства, реализации, эксплуатации шифровальных (криптографических) средств и защищенных с использованием шифровальных средств систем и комплексов телекоммуникаций, расположенных на территории Российской Федерации, а также в области предоставления услуг по шифрованию информации в Российской Федерации, выявления электронных устройств, предназначенных для негласного получения информации, в помещениях и технических средствах возложено на органы федеральной службы безопасности.

В соответствии с подп. 21 п. 9 Положения о Федеральной службе безопасности Российской Федерации, утвержденного Указом Президента РФ от 11.08.2003 № 960 «Вопросы Федеральной службы безопасности Российской Федерации», для решения основных задач ФСБ России, в том числе, осуществляет и организует в соответствии с федеральным законодательством сертификацию средств защиты информации, систем и комплексов телекоммуникаций, технических средств, используемых для выявления электронных устройств, предназначенных для негласного получения информации, в помещениях и технических средствах, специальных технических средств, предназначенных для негласного получения информации, технических средств обеспечения безопасности и (или) защиты информации; определяет основные направления деятельности органов безопасности в этих областях.

В соответствии с Постановлением Правительства РФ от 03.03.2017 № 256 «О федеральной государственной информационной системе «Единая информационная система управления кадровым составом государственной гражданской службы Российской Федерации» федеральная государственная информационная система «Единая информационная система управления кадровым составом государственной гражданской службы Российской Федерации» создана на базе инфраструктуры федеральной государственной информационной системы «Федеральный портал государственной службы и управленческих кадров» (с сохранением функциональности официального сайта в информационно-телекоммуникационной сети «Интернет»).

Согласно п. 2 Регламента работы федеральной государственной информационной системы «Федеральный портал государственной службы и управленческих кадров», утвержденного Приказом Министерства труда и социальной защиты РФ и Министерства связи и массовых коммуникаций РФ от 05.11.2015 № 848н/442, обмен информацией между участниками информационного взаимодействия при работе с порталом осуществляется в информационно-телекоммуникационной сети «Интернет» по электронному адресу: <данные изъяты> посредством подсистемы «личный кабинет» в закрытой части портала, авторизованный доступ к которой обеспечивается в соответствии с законодательством Российской Федерации.

В соответствии с п. 3 Регламента авторизованный доступ к закрытой части портала осуществляется посредством применения организационных и технических мер по идентификации и авторизации - сертифицированных в установленном порядке средств авторизованного доступа к закрытой части портала.

Приказ действовал до ДД.ММ.ГГГГ.

В соответствии с подпунктом «д» пункта 10 Временного порядка работы пилотной версии Единой информационной системы управления кадровым составом государственной гражданской службы Российской Федерации на период ее опытной эксплуатации, утвержденного приказом Министерства связи и массовых коммуникаций РФ от 24.12.2015 № 584, Минкомсвязь России обеспечивает наличие сертифицированных средств авторизованного доступа, предназначенных для защиты информации, не содержащей сведений, составляющих государственную тайну.

Применительно к федеральной государственной информационной системе «Единая информационная система управления кадровым составом государственной гражданской службы Российской Федерации средством авторизованного доступа, предназначенным для защиты информации, не содержащей сведений, составляющих государственную тайну, является средство криптографической защиты информации.

Согласно Правил пользования Программного комплекса ViPNet Client 3.2 Программный комплекс ViPNet Client 3.2 предназначен для обеспечения безопасной передачи данных между сегментами виртуальной сети ViPNet с использованием произвольной телекоммуникационной инфраструктуры IP-сетей, включая сети общего пользования. ПК ViPNet Client 3.2 предназначается для использования в составе защищенных виртуальных сетей ViPNet, обрабатывающих информацию, не содержащую сведений, составляющих государственную тайну.

В соответствии с пунктом 2 Указа Президента Российской Федерации от 03.04.1995 № 334 «О мерах по соблюдению законности в области разработки производства, реализации и эксплуатации шифровальных средств, а также предоставления услуг в области шифрования информации» в целях повышения защищенности информационно-телекоммуникационных систем органов государственной власти, российских кредитно-финансовых структур, предприятий и организаций запрещено использование государственными организациями и предприятиями в информационно-телекоммуникационных системах шифровальных средств, включая криптографические средства обеспечения подлинности информации (электронная подпись), и защищенных технических средств хранения, обработки и передачи информации, не имеющих сертификата Федерального агентства правительственной связи и информации при Президенте Российской Федерации, а также размещение государственных заказов на предприятиях, в организациях, использующих указанные технические и шифровальные средства, не имеющие сертификата Федерального агентства правительственной связи и информации при Президенте Российской Федерации.

В соответствии с пунктом 3 части 2 статьи 19 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» обеспечение безопасности персональных данных достигается, в том числе, применением прошедших в установленном порядке процедуру оценки соответствия средств защиты информации.

Таким образом, органам государственной власти при работе в информационно-телекоммуникационных системах, информационных системах персональных данных запрещено использование несертифицированных средств криптографической защиты информации, в том числе используемых в качестве средств авторизованного доступа, предназначенных для защиты информации, не содержащей сведений, составляющих государственную тайну.

Срок действия сертификата соответствия ФСБ России СФ/124-2796 СКЗИ «Программный комплекс ViPNet Client 3.2» закончился 30.11.2017, что подтверждается представленным в материалы дела сертификатом.

Судом установлено, что Региональным управлением ФСБ России по Архангельской области проведена плановая выездная проверка выполнения требований по обеспечению безопасности с использованием шифровальных (криптографических) средств персональных данных в информационных системах персональных данных в отношении Управления Росреестра по Архангельской области и Ненецкому автономному округу.

По результатам проверки выявлены нарушения, которые отражены в акте проверки от ДД.ММ.ГГГГ№, а также выдано предписание об устранении выявленных нарушений законодательства Российской Федерации в области персональных данных от ДД.ММ.ГГГГ№.

В п. 1 указанного предписания в числе выявленного нарушения, подлежащего устранению в срок до 20.04.2018, отражено: применяется средство криптографической защиты информации, не имеющее действующего сертификата соответствия требованиям ФСБ России к шифровальным (криптографическим) средствам.

Также установлено, что 24.05.2018 руководителем Управления в адрес Регионального управления ФСБ России по Архангельской области направлено письмо, в котором указано, что Управление прекратило работу в Единой информационной системе управления кадровым составом государственной гражданской службы Российской Федерации 16.03.2018 и уничтожило средства СКЗИ, что подтверждается актом от 16.03.2018.

Факт уничтожения СКЗИ в период проведения проверки не был доведен до Регионального управления ФСБ России по Архангельской области, в связи с чем не нашел своего отражения в акте проверки. Предписание выдано в отсутствие у проверяющего указанной информации.

Каких-либо последствий неисполнения предписания не последовало, поскольку в настоящее время подтвержден факт неприменения Управлением СКЗИ без действующего сертификата, что подтверждается административным истцом, а также административным ответчиком, проверившим данный факт 02.08.2018.

Предписание фактически исполнено административным истцом.

Доводы административного истца не могут служить основанием для признания незаконным предписания в оспариваемой части, поскольку с учетом представленных в материалы дела доказательств в период с 01.12.2017 по 15.03.2018 Управление осуществляло работу в закрытой части Единой системы с использованием СКЗИ «Программный комплекс ViPNet Client 3.2», не имеющего действующего сертификата соответствия требованиям ФСБ России к шифровальным (криптографическим) средствам. Именно данное обстоятельство послужило основанием для вынесения предписания. Факт уничтожения СКЗИ в период проведения проверки не влияет на законность предписания, поскольку, как установлено в ходе судебного разбирательства, применение СКЗИ имело место в период уже с 01.12.2017, об обстоятельствах его уничтожения проверяющий в известность поставлен не был.

Из представленных в материалы дела документов следует, что работу в подсистеме «Организационно-штатная структура» необходимо осуществлять в закрытой части Единой системы, доступ к которой производится с использованием средства авторизованного доступа - СКЗИ. В данной подсистеме Управлением размещались сведения о вакансиях, на которые в ответ поступали отклики в виде документов, в том числе, анкет, содержащих персональные данные, что не гарантирует сохранность персональных данных и их надлежащую защиту.

Данные обстоятельства подтверждаются и перепиской работников Управления с администратором Единой системы. Так, в настоящее время ввиду необходимости продолжения работы по размещению сведений о вакансиях в Единой системе, но в связи с уничтожением СКЗИ в марте 2018 года, которое позволяло бы осуществлять работу в необходимой подсистеме, Управление посредством электронной почты обращается к администратору с просьбой опубликовать вакансии, а также просьбой предоставить пароль временного доступа в личный кабинет на Портале без использования ViPNet монитор.

Доказательств использования такой схемы размещения информации о вакансиях Управлением в период с 01.12.2017 по 15.03.2018 в материалах дела нет, что свидетельствует о том, что доступ осуществлялся с использованием СКЗИ, срок действия сертификата которого истек.

Поскольку предписание вынесено уполномоченным органом, в пределах его компетенции, в предписании указано на необходимость устранения нарушений на будущее время, а факт неприменения в настоящее время СКЗИ без действующего сертификата в настоящее время по делу установлен, т.е. фактически Управлением предписание исполнено, его законных прав и интересов не нарушает, последствий в виде привлечения к ответственности не несет, оснований для признания незаконным п. 1 предписания у суда не имеется.

Предписание имеет своей целью защиту неопределенного круга лиц от нарушений в сфере персональных данных, выдано с целью предотвращения нарушений и последствий, которые могло бы вызвать нарушение.

Доводы административного истца не являются основанием для отмены принятого предписания, поскольку само по себе предписание прав административного истца не нарушает, последствий в виде привлечения к ответственности не повлекло.

Руководствуясь статьями 175-180, 227 КАС РФ, суд

решил:

отказать в удовлетворении административного иска Управления Федеральной службы государственной регистрации, кадастра и картографии по Архангельской области и Ненецкому автономному округу к Региональному управлению Федеральной службы безопасности Российской Федерации по Архангельской области о признании незаконным предписания об устранении выявленных нарушений законодательства Российской Федерации в области персональных данных от ДД.ММ.ГГГГ в части пункта 1.

Решение может быть обжаловано в Архангельский областной суд в течение месяца со дня его принятия в окончательной форме путем подачи апелляционной жалобы через Октябрьский районный суд г. Архангельска.

Мотивированное решение изготовлено 03 августа 2018 года

Председательствующий А.В. Калашникова