Дело № 12-376/2018, апелляция

Дело № 12-376/18

РЕШЕНИЕ

25 июля 2018 года г.Владивосток,

ул. Адмирала Фокина 23А

Судья Фрунзенского районного суда г.Владивостока Приморского края Н.А. Буланова, рассмотрев в открытом судебном заседании жалобу защитника Комовой Софьи Александровны – адвоката [СКРЫТО] В.А. на постановление начальника подразделения УФСБ России по Приморскому краю № от дата по делу об административном правонарушении,

УСТАНОВИЛ:

Постановлением начальника подразделения УФСБ России по Приморскому краю № от 10.04. должностное лицо – главный специалист сектора информационной безопасности центра информационной безопасности и технических средств охраны департамента комплексной безопасности ФГАОУ ВО «Дальневосточный федеральный университет» Комова С.А. привлечена к административной ответственности по ч.6 ст. 13.12 КоАП РФ с назначением административного наказания в виде штрафа в размере 1000 рублей.

Не согласившись с данным постановлением, защитник Комовой С.А. – адвокат [СКРЫТО] В.А. обратился в суд с жалобой, указав, что приказ «О назначении ответственного за организацию обработки персональных данных в ДВФУ» от дата № доводился ФИО2 для ее ознакомления посредством системы электронного документооборота СЭД «DIRECTUM» не может иметь юридического значения, поскольку до издания приказа «Об утверждении Положения о системе электронного документооборота в ДВФУ» от дата № СЭД «DIRECTUM» не являлся системой официального централизованного доведения документов до сотрудников университета. Сведения о том, что ФИО2 ознакомилась с приказом «О назначении ответственного за организацию обработки персональных данных в ДВФУ» от дата № посредством системы электронного документооборота СЭД «DIRECTUM» дата в 12:22:37, дата в 12:31:27, дата в 12:32:36, дата в 15:02:57, дата в 08:42:51 (время местное) являются недопустимыми доказательствами. Иным предусмотренным законом способом приказ «О назначении ответственного за организацию обработки персональных данных в ДВФУ» от дата № до сведения ФИО2 не доводился, доказательств обратного в материалах дела об административном правонарушении не представлено. Кроме того, ФИО2 не могла являться работником ДВФУ непосредственно подчиняющимся ректору, поскольку занимала должность главного специалиста сектора информационной безопасности центра информационной безопасности и технических средств охраны департамента комплексной безопасности. Отсутствие непосредственной подчиненности ФИО2 ректору ДВФУ подтверждается действовавшим в тот момент в университете штатным расписанием. На основании изложенного, просил постановление отменить, производство по делу прекратить.

В судебном заседании Комова С.А. и её защитник – адвокат [СКРЫТО] В.А. на доводах жалобы настаивали в полном объеме.

Представитель УФСБ России по Приморскому краю ФИО8 возражал против доводов жалобы.

Выслушав пояснения участвующих лиц, изучив доводы жалобы, документы, приложенные к жалобе, административный материал, истребованный судом, суд пришел к следующему.

В соответствии с положениями ст. ст. 24.1, 26.11 КоАП РФ задачами производства по делам об административных правонарушениях являются всестороннее, полное, объективное и своевременное выяснение обстоятельств каждого дела, разрешение его в соответствии с законом, а судья (должностное лицо) устанавливает наличие или отсутствие события административного правонарушения, виновность лица в его совершении на основании доказательств, оценка которых производится на основании всестороннего, полного и объективного исследования всех обстоятельств дела в совокупности. Никакие доказательства не могут иметь заранее установленную силу, а использование доказательств, полученных с нарушением требований закона, не допускается.

В соответствии с ч.6 ст. 13.12 КоАП РФ, нарушение требований о защите информации (<...> установленных федеральными законами и принятыми в соответствии с ними иными нормативными правовыми актами Российской Федерации, за исключением случаев, предусмотренных частями 1, 2 и 5 настоящей статьи, влечет наложение административного штрафа на граждан в размере от пятисот до одной тысячи рублей; на должностных лиц - от одной тысячи до двух тысяч рублей; на юридических лиц - от десяти тысяч до пятнадцати тысяч рублей.

Как следует из материалов дела, приказом Федеральной службы по надзору в сфере связи, информационных технологий и массовых телекоммуникаций от дата № ФГАОУ ВО «Дальневосточный федеральный университет» (далее -ДВФУ, Университет) внесен в реестр операторов персональных данных под №.

В настоящее время в ДВФУ функционирует 19 информационных систем, в которых осуществляется обработка персональных данных (далее -ИСПДн). Перечень ИСПДн и схема их взаимодействия утверждены приказом ДВФУ от дата № «Об утверждении перечня информационных систем персональных данных». Состав и содержание организационных мер защиты в информационных системах персональных данных представлен ДВФУ в списке внутренних нормативных документов (исх. № от дата).

В соответствии с требованиями п.п. 1, 2 и 9 ч. 2 ст. 19 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее - ФЗ «О персональных данных») обеспечение безопасности персональных данных достигается, в частности: определением угроз безопасности персональных данных при их обработке в ИСПДн; применением организационных и технических мер по обеспечению безопасности персональных данных при их обработке в ИСПДн, необходимых для выполнения требований к защите персональных данных, исполнение которых обеспечивает установленные Правительством РФ уровни защищенности персональных данных; а так же контролем за принимаемыми мерами по обеспечению безопасности персональных данных и уровня защищенности ИСПДн. В силу ч. 1 ст. 22.1 ФЗ «О персональных данных» оператор, являющийся юридическим лицом, назначает лицо, ответственное за организацию обработки персональных данных, а в п. 1 ч. 4 ст. 22.1 указано, что лицо, ответственное за организацию обработки персональных данных, в частности, обязано осуществлять внутренний контроль за соблюдением оператором и его работниками законодательства РФ о персональных данных, в том числе требований к защите персональных данных.

Согласно п. 2 «Требований к защите персональных данных при их обработке в информационных системах персональных данных», утвержденных постановлением Правительства РФ от 01.11.2012 № 1119 (далее - Требования № 1119), безопасность персональных данных при их обработке в информационной системе обеспечивается с помощью системы защиты персональных данных, нейтрализующей актуальные угрозы, определенные в соответствии с ч. 5 ст. 19 ФЗ «О персональных данных». Система защиты персональных данных включает в себя организационные и (или) технические меры, определенные с учетом актуальных угроз безопасности персональных данных и информационных технологий, используемых в информационных системах.

Приказом ДВФУ от дата № утвержден «Регламент осуществления внутреннего контроля соответствия обработки персональных данных требованиям к защите персональных данных ДВФУ» (далее -Регламент). Регламентом установлено, что в Университете проводятся контрольные мероприятия за соответствием обработки персональных данных требованиям к защите персональных данных в различных целях, одной из которых согласно п. 4.2.4 Регламента является оценка обоснованности и эффективности мер и средств защиты, применяемых для защиты персональных данных. В силу п. 5.2, п. 5.4 и 8.1 плановые и внеплановые контрольные мероприятия проводятся сотрудниками отдела защиты информации ДВФУ (приказом ДВФУ от дата № «О внесении изменений в структуру и штатную численность ДВФУ» отдел защиты информации ДВФУ реорганизован в сектор информационной безопасности ЦИБиТСО ДКБ ДВФУ), при обязательном участии лица, ответственного за организацию обработку персональных данных.

Основанием привлечения ФИО2 к административной ответственности, за совершение административного правонарушения, предусмотренного ч. 6 ст. 13.12 КоАП РФ, послужило то обстоятельство, что главный специалист ФИО2 согласно приказу «О назначении ответственного за организацию обработки персональных данных в ДВФУ» от дата № была назначена ответственным за организацию обработки персональных данных. В результате анализа полученных внутренних нормативных документов ДВФУ, а также опроса директора Центра информационной безопасности и технических средств охраны департамента комплексной безопасности ДВФУ ФИО6 установлено, что мероприятия по определению угроз безопасности персональных данных и уровней защищенности персональных данных в ДВФУ не проведены. Документальные материалы, подтверждающие факт определения угроз безопасности и уровней защищенности персональных данных, обрабатываемых в ИСПДн ДВФУ, не готовились и на текущий момент отсутствуют. В ходе опроса дата ФИО2 сообщила, что с приказом «О назначении ответственного за организацию обработки персональных данных в ДВФУ» от дата № о назначении ее ответственным лицом за организацию обработки персональных данных в ДВФУ она не ознакомлена, содержание данного приказа ей неизвестно. Вместе с тем установлено, что приказ «О назначении ответственного за организацию обработки персональных данных в ДВФУ» от дата № доводился ФИО2 для ее ознакомления посредством системы электронного документооборота СЭД «DIRECTUM» дата в 12:22:37 (время местное). В соответствии с историей ознакомления с электронными документами СЭД «DIRECTUM» зафиксировано, что ФИО2 знакомилась с указанным документом дата в 12:31:27, дата в 12:32:36, дата в 15:02:57, дата в 08:42:51.В качестве доказательств совершения административного правонарушения, предусмотренного ч.6 ст. 13.12 КоАП РФ, и вины должностного лица – главного специалиста сектора информационной безопасности центра информационной безопасности и технических средств охраны департамента комплексной безопасности ФГАОУ ВО «Дальневосточный федеральный университет» ФИО2 приведено: запрос в ФГАОУ ВО «Дальневосточный федеральный университет» от дата № экз. № на 2 листах; ответ из ФГАОУ ВО «Дальневосточный федеральный университет» на запрос от дата № на 4 листах и 1 оптическом диске; протокол опроса ФИО6 от дата на 24 листах; протокол опроса ФИО2 от дата на 3 листах; приказ от дата № «О назначении ответственного за организацию обработки персональных данных в ДВФУ» на 2 листах; протокол опроса ФИО7 от дата на 46 листах.

Вместе с тем, исходя из составленных в рамках настоящего дела процессуальных документов, вывод о виновности главного специалиста сектора информационной безопасности центра информационной безопасности и технических средств охраны департамента комплексной безопасности ФГАОУ ВО «Дальневосточный федеральный университет» ФИО2 нельзя признать соответствующим требованиям закона в силу следующего.

Исходя из положений части 1 статьи 1.6 КоАП РФ обеспечение законности при применении мер административного принуждения предполагает не только наличие законных оснований для применения административного взыскания, но и соблюдение установленного законом порядка привлечения лица к административной ответственности.

Задачами производства по делам об административных правонарушениях являются всестороннее, полное, объективное и своевременное выяснение обстоятельств каждого дела, разрешение его в соответствии с законом, обеспечение исполнения вынесенного постановления, а также выявление причин и условий, способствовавших совершению административных правонарушений (статья 24.1 КоАП РФ).

Согласно статье 26.1 КоАП РФ в числе иных обстоятельств по делу об административном правонарушении выяснению подлежат наличие события административного правонарушения, виновность лица в совершении административного правонарушения и иные обстоятельства, имеющие значение для правильного разрешения дела.

Вместе с тем, при оценке доводов жалобы установлено следующее.

СЭД «DIRECTUM» как система единого порядка электронного документооборота в ДВФУ была официально введена приказом «Об утверждении Положения о системе электронного документооборота в ДВФУ» от дата №.

Пункт 5.8. указанного Положения подробно описывает процедуру ознакомления сотрудников ДВФУ, имеющих доступ к СЭД «DIRECTUM», с электронным документооборотом. Важными аспектами использования системы электронного документооборота является ее обязательность при регистрации входящих документов; вынесении резолюций и контроля исполнения по входящим документам; подготовки и согласования исходящих документов; регистрации исходящих документов; подготовки и согласования внутренних документов; рассылки и ознакомления с документами, что предусмотрено разделом 4 Положения.

Таким образом, утверждение о том, что приказ «О назначении ответственного за организацию обработки персональных данных в ДВФУ» от дата № доводился ФИО2 для ее ознакомления посредством системы электронного документооборота СЭД «DIRECTUM» не может иметь юридического значения, поскольку до издания приказа «Об утверждении Положения о системе электронного документооборота в ДВФУ» от дата № СЭД «DIRECTUM» не являлся системой официального централизованного доведения документов до сотрудников университета. До официального введения в действие СЭД «DIRECTUM» мог являться лишь базой данных, но не средством официального централизованного доведения документов.

Сведения о том, что ФИО2 ознакомилась с приказом «О назначении ответственного за организацию обработки персональных данных в ДВФУ» от дата № посредством системы электронного документооборота СЭД «DIRECTUM» дата в 12:22:37, дата в 12:31:27, дата в 12:32:36, дата в 15:02:57, дата в 08:42:51 (время местное) являются недопустимыми доказательствами. Иным предусмотренным законом способом приказ «О назначении ответственного за организацию обработки персональных данных в ДВФУ» от дата № до сведения ФИО2 не доводился, доказательств обратного в материалах дела об административном правонарушении не представлено.

Согласно приказу «Об утверждении Правил обработки ПДн, устанавливающих процедуры, направленные на выявление и предотвращение нарушений законодательства РФ в сфере ПДн» от дата № такие Правила вводились для реализации целей единой политики ДВФУ в отношении обработки и защиты персональных данных.

В п. 8.1. указанных Правил прямо прописано, что лицо, ответственное за организацию обработки ПДн в ДВФУ, назначается ректором ДВФУ из числа работников ДВФУ, непосредственно подчиняющихся ректору.

В этой связи ФИО2 не могла являться работником ДВФУ, непосредственно подчиняющимся ректору, поскольку занимала должность главного специалиста сектора информационной безопасности центра информационной безопасности и технических средств охраны департамента комплексной безопасности.

Отсутствие непосредственной подчиненности ФИО2 ректору ДВФУ подтверждается действовавшим в тот момент в университете штатным расписанием.

Таким образом, можно утверждать, что приказ «О назначении ответственного за организацию обработки персональных данных в ДВФУ» от дата № был издан в нарушение п. 8.1. Правил обработки персональных данных, устанавливающих процедуры, направленные на выявление и предотвращение нарушений законодательства Российской Федерации в сфере персональных данных.

Таким образом, материалами административного дела не установлен и не подтвержден факт нарушения ФИО2 требований о защите информации (за исключением информации, составляющей государственную <...>), установленных федеральными законами и принятыми в соответствии с ними иными нормативными правовыми актами Российской Федерации.

Согласно статье 1.5 КоАП РФ лицо подлежит административной ответственности только за те административные правонарушения, в отношении которых установлена его вина, и считается невиновным, пока его вина не будет доказана в порядке, предусмотренном Кодексом Российской Федерации об административных правонарушениях, и установлена вступившим в законную силу постановлением судьи, органа, должностного лица, рассмотревших дело.

Лицо, привлекаемое к административной ответственности, не обязано доказывать свою невиновность, за исключением случаев, предусмотренных примечанием к названной статье. Неустранимые сомнения в виновности лица, привлекаемого к административной ответственности, толкуются в пользу этого лица.

В соответствии с пунктом 4 части 2 статьи 30.17 КоАП РФ по результатам рассмотрения жалобы, протеста на вступившие в законную силу постановление по делу об административном правонарушении, решения по результатам рассмотрения жалоб, протестов выносится решение об отмене постановления по делу об административном правонарушении, решения по результатам рассмотрения жалобы, протеста и о прекращении производства по делу при наличии хотя бы одного из обстоятельств, предусмотренных статьями 2.9, 24.5 названного Кодекса, а также при недоказанности обстоятельств, на основании которых были вынесены указанные постановление, решение.

При указанных обстоятельствах вывод о доказанности вины должностного лица – главного специалиста сектора информационной безопасности центра информационной безопасности и технических средств охраны департамента комплексной безопасности ФГАОУ ВО «Дальневосточный федеральный университет» ФИО2 в совершении правонарушения, предусмотренного ч.6 ст. 13.12 Кодекса Российской Федерации об административных правонарушениях, нельзя признать основанным на всестороннем, полном и объективном исследовании всех обстоятельств дела в их совокупности.

В соответствии с пунктом 3 части 1 статьи 30.7 Кодекса РФ об административных правонарушениях при недоказанности обстоятельств, на основании которых было вынесено постановление, оно подлежит отмене.

Принимая во внимание, что вина должностного лица в ходе производства по делу не доказана, постановление начальника подразделения УФСБ России по Приморскому краю № от дата, подлежит отмене в связи с недоказанностью обстоятельств, на основании которых должностное лицо – главный специалист сектора информационной безопасности центра информационной безопасности и технических средств охраны департамента комплексной безопасности ФГАОУ ВО «Дальневосточный федеральный университет» ФИО2 привлечена к административной ответственности.

На основании изложенного, руководствуясь ст.ст.30.6-30.9 КоАП РФ, судья,

РЕШИЛ:

Жалобу защитника Комовой С.А. – адвоката [СКРЫТО] В.А. -удовлетворить.

Постановление начальника подразделения УФСБ России по Приморскому краю № от дата, которым должностное лицо – главный специалист сектора информационной безопасности центра информационной безопасности и технических средств охраны департамента комплексной безопасности ФГАОУ ВО «Дальневосточный федеральный университет» ФИО2 привлечена к административной ответственности по ч.6 ст. 13.12 КоАП РФ с назначением административного наказания в виде штрафа в размере 1000 рублей - отменить.

Производство по делу прекратить на основании пункта 3 части 1 статьи 30.7 Кодекса Российской Федерации об административных правонарушениях в связи с недоказанностью обстоятельств, на основании которых вынесено постановление.

Решение может быть обжаловано в Приморский краевой суд через Фрунзенский районный суд г.Владивостока в течение десяти дней с момента получения.

Судья Н.А.Буланова