Решение по делу № 2-822/2019 от 01.07.2019

РЕШЕНИЕ

Именем Российской Федерации

17 июля 2019 года <адрес>, ЧР

Заводской районный суд <адрес> Республики в составе:

председательствующего судьи Мормыло О.В.,

при секретаре ФИО2,

рассмотрев в открытом судебном заседании гражданское дело № по заявлению прокурора <адрес> в интересах неопределенного круга лиц в порядке ст.45 ГПК РФ к МБОУ ДО «Детская школа искусств № <адрес>» о понуждении к устранению нарушения законодательства о персональных данных,

УСТАНОВИЛ:

<адрес> обратился в суд с заявлением в интересах неопределенного круга лиц, в порядке ст.45 ГПК РФ, в котором просит обязать МБОУ ДО «Детская школа искусств № <адрес>» принять организационные и технические меры по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данны, необходимых для выполнения требований к защите персональных данных; создать системы защиты персональных данных для информационных систем персональных данных, нейтрализующую угрозы; разработать и утвердить документацию, регламентирующую процессы подготовки, ввода, обработки, хранения защищаемой с использованием СКЗИ конфиденциальной информации; утвердить перечень пользователей СКЗИ; завести журналы поэкземплярного учета СКЗИ, эксплуатационной и технической документации к ним.

В судебном заседании помощник прокурора <адрес> ФИО3 на заявленных требованиях настаивал по изложенным в заявлении основаниям, в качестве которых было указано, что несмотря на положения части 1 статьи 24 Конституции РФ, п.1 ст.3, ст.7, ч.1, п.2,5 ч.2 ст.19 Федерального закона от ДД.ММ.ГГГГ №152-ФЗ «О персональных данных» (далее Закон №152-ФЗ), ст.ст.2, 16 Федерального закона от ДД.ММ.ГГГГ №149-ФЗ «Об информации, информационных технологиях и о защите информации» (далее – Закон №149-ФЗ), постановление Правительства РФ № от ДД.ММ.ГГГГ, п.п.10,21,26 Инструкции об организации и обеспечении безопасности хранения, обработки и передачи по каналам связи с использованием средств криптографической защиты информации с ограниченным доступом, не содержащей сведений, составляющих государственную тайну, утвержденной приказом ФАПСИ от ДД.ММ.ГГГГ №, в деятельности ответчика выявлены нарушения указанных требований, в том числе: не приняты организационные и технические меры по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, необходимых для выполнения требований к защите порсональных данных, не учтены машинные носители персональных данных в журналах регистрации их выдачи, не создана система защиты персональных данных для информационных систем персональных данных, нейтрализующая угрозы, не разработана документация, регламентирующая процессы подготовки, ввода, обработки, хранения защищаемой с использованием СКЗИ конфиденциальной информации, отсутствует перечень пользователей СКЗИ, не проведено обучение пользователей СКЗИ, отсутствуют журналы поэкземплярного учета СКЗИ, эксплуатационной и технической документации к ним. Указанные нарушения послужили основанием для возбуждения прокуратурой района в отношении руководителя учреждения ФИО4 дела об административном правонарушении, предусмотренном ч.6 ст.13.12 КоАП РФ, которое направлено для рассмотрения по существу в УФСБ России по ЧР. При этом опрошенный руководитель ответчика не соглашался с выявленными нарушениями и пояснял, что обязанность принятия организационных и технических мер обеспечения безопасности персональных данных на ответчика не распространяется.

Ответчик, в лице директора ГБУ ДО «Детская школа искусств № <адрес>» ФИО4 в судебном заседании предъявила в адрес суда заявление, в котором требования прокурора признала и просила их удовлетворить, подтвердив осведомленность с порядком и последствием признания иска по ст.173 ГПК РФ.

Участвующий в суде помощник прокурора <адрес> ФИО3 просил принять признание заявления ответчиком и вынести решение об удовлетворении заявления прокурора в связи с признанием ответчиком заявленных требований без исследования иных обстоятельств дела.

Выслушав участников процесса, исследовав материалы дела, находит заявленные требования обоснованными и подлежащими удовлетворению по следующим основаниям.

В силу части первой ст.45 Гражданского процессуального кодекса Российской Федерации прокурор вправе обратиться в суд с заявлением в защиту прав, свобод и законных интересов граждан, неопределенного круга лиц или интересов Российской Федерации, субъектов Российской Федерации, муниципальных образований.

Согласно Уставу ответчик является учреждением дополнительного образования детей, в своей деятельности учреждение руководствуется Конституцией РФ, Федеральным законом «Об образовании в Российской Федерации», другими федеральными законами, иными нормативно-правовыми актами, Уставом.

В силу ч. 1 ст. 24 Конституции Российской Федерации сбор, хранение, использование и распространение информации о частной жизни лица без его со­гласия не допускаются.

Согласно п. 2 ст. 3 Закона № 152-ФЗ) персональными данными является любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных ); оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными ; обработка персональных данных - это любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

В силу ч. 1 ст. 18.1 Закона № 152-ФЗ оператор обязан принимать меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных настоящим Федеральным законом и принятыми в соответствии с ним нормативными правовыми актами.

На основании ч. 5 ст. 16 Федерального закона № 149-ФЗ требования о защите информации, содержащейся в государственных информационных системах, устанав­ливаются федеральным органом исполнительной власти в области обеспечения безо­пасности и федеральным органом исполнительной власти, уполномоченным в облас­ти противодействия техническим разведкам и технической защиты информации, в пределах их полномочий. При создании и эксплуатации государственных информа­ционных систем используемые в целях защиты информации методы и способы ее защиты должны соответствовать указанным требованиям.

Постановлением Правительства Российской Федерации от ДД.ММ.ГГГГ № утверждены требования к защите персональных данных при их обработке в информационных системах персональных данных (далее- Требования), согласно ко­торым безопасность персональных данных при их обработке в информационной сис­теме обеспечивается с помощью системы защиты персональных данных, нейтрали­зующей актуальные угрозы.

Между тем, проведенной прокуратурой района проверкой деятельности ответчика установлено, что в нарушение п. 2 ч. 2 ст. 19 Федерального закона № 152-ФЗ ответчиком не приняты организационные и технические меры по обеспечению безопасности персональных данных при их обра­ботке в информационных системах персональных данных, необходимых для выпол­нения требований к защите персональных данных; в нарушение п. 5 ч. 2 ст. 19 Федерального закона № 152-ФЗ не учтены машин­ных носителей персональных данных в журналах регистрации их выдачи; в нарушение ч. 1 ст. 19 Федерального закона № 152-ФЗ и п. 2 Требований не создана система защиты персональных данных для информационных систем персо­нальных данных, нейтрализующая угрозы; в нарушение п. 10 Инструкции об организации и обеспечении безопасности хранения, обработки и передачи по каналам связи с использованием средств крипто­графической защиты информации с ограниченным доступом, не содержащей сведе­ний, составляющих государственную тайну, утвержденной приказом ФАПСИ от ДД.ММ.ГГГГ № (далее - Инструкция), документация, регламентирующая процессы подготовки, ввода, обработки, хранения защищаемой с использованием СКЗИ кон­фиденциальной информации, не разработана. Отсутствует перечень пользователей СКЗИ; в нарушение п. 21 Инструкции не проведено обучение пользователей СКЗИ; в нарушение п. 26 Инструкции отсутствуют журналы поэкземплярного учета СКЗИ, эксплуатационной и технической документации к ним.

Данным бездействием нарушаются требования законодательства и права неопределенного круга лиц на обеспечение безопасности их персональных данных.

При таких обстоятельствах, признание руководителем ответчика заявленных прокурором требований не противоречит закону, не нарушает права и законные интересы других лиц, поэтому принимается судом и является основанием для удовлетворения заявления прокурора.

Согласно ст.206 ГПК РФ в случае, если при принятии решения суда, обязывающего ответчика совершить определенные действия, указанные действия могут быть совершены только ответчиком, суд устанавливает в решении срок, в течение которого решение суда должно быть исполнено.

На основании изложенного, руководствуясь ст.ст.173,194-198 ГПК РФ, суд

РЕШИЛ:

Обязать МБОУ ДО «Детская школа искусств № <адрес>» принять организационные и технические меры по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данны, необходимых для выполнения требований к защите персональных данных; создать системы защиты персональных данных для информационных систем персональных данных, нейтрализующую угрозы; разработать и утвердить документацию, регламентирующую процессы подготовки, ввода, обработки, хранения защищаемой с использованием СКЗИ конфиденциальной информации; утвердить перечень пользователей СКЗИ; завести журналы поэкземплярного учета СКЗИ, эксплуатационной и технической документации к ним в течение трех месяцев с момента вступления решения суда в законную силу.

Решение может быть обжаловано в апелляционном порядке в Верховный Суд Чеченской Республики через Заводской районный суд <адрес> Республики в течение одного месяца со дня его вынесения.

Председательствующий: О.В.Мормыло