Постановление Восьмого кассационного суда общей юрисдикции от 21 декабря 2023 г. по делу N 16-7266/2023

Судья Восьмого кассационного суда общей юрисдикции Безденежных Д.А., рассмотрев жалобу защитника Степанова Е.В., действующего в интересах акционерного общества "Авиакомпания "Сибирь", на вступившие в законную силу постановление мирового судьи 1-го судебного участка судебного района г. Оби Новосибирской области от 28 апреля 2023г., решение судьи Обского городского суда Новосибирской области от 26 сентября 2023г. вынесенные в отношении акционерного общества "Авиакомпания "Сибирь" (далее - АО "Авиакомпания "Сибирь", Общество) по делу об административном правонарушении, предусмотренном ч.1 ст.13.11 КоАП РФ,

УСТАНОВИЛ:

постановлением мирового судьи 1-го судебного участка судебного района г. Оби Новосибирской области от 28 апреля 2023г, оставленным без изменения решением судьи Обского городского суда Новосибирской области от 26 сентября 2023г, АО "Авиакомпания "Сибирь" признано виновным в совершении административного правонарушения, предусмотренного ч. 1 ст.13.11 КоАП РФ, с назначением административного наказания с применением ч.1 ст.4.1.1 КоАП РФ в виде предупреждения.

В жалобе защитник Степанов Е.В. просит постановление и решение отменить, производство по делу прекратить, приводя доводы о незаконности обжалуемых актов.

Проверив материалы дела, доводы жалобы, прихожу к следующему выводу.

В соответствии с ч.1 ст.13.11 КоАП РФ обработка персональных данных в случаях, не предусмотренных законодательством Российской Федерации в области персональных данных, либо обработка персональных данных, несовместимая с целями сбора персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи и статьей 17.13 настоящего Кодекса, если эти действия не содержат уголовно наказуемого деяния, - влечет наложение административного штрафа на граждан в размере от двух тысяч до шести тысяч рублей; на должностных лиц - от десяти тысяч до двадцати тысяч рублей; на юридических лиц - от шестидесяти тысяч до ста тысяч рублей.

В силу ст.7 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных" (далее - Федеральный закон "О персональных данных") операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.

Согласно ст.3 названного Федерального закона персональными данными признается любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных). Оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными. Обработкой персональных данных является любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

Из материалов дела следует, в период с 17 января 2023 г. по 30 января 2023 г. Управлением Роскомнадзора по Сибирскому федеральному округу проведена внеплановая выездная проверка в отношении АО "Авиакомпания "Сибирь" с целью исполнения поручения заместителя Председателя Правительства Российской Федерации от 30 декабря 2022 г. NДЧ-П10-2293 8, на основании Постановления Правительства Российской Федерации от 29 июня 2021 г. N1046 "О федеральном государственном контроле (надзоре) за обработкой персональных данных".

В соответствии с уведомлением от 14 декабря 2022 г. АО "Авиакомпания "Сибирь" 8 декабря 2022 г. в 04:45 был установлен факт неправомерного доступа к персональным данным клиентов в объеме 50000 субъектов персональных данных в объеме: фамилия, имя, пол, дата рождения, паспорт РФ, данные заграничного паспорта, адрес электронной почты, номер мобильного телефона, адрес места жительства, данные визы. Предполагаемые причины, повлекшие нарушение прав субъектов персональных данных - попытка получения несанкционированного доступа к личным кабинетам субъектов персональных данных на ресурсе httрs:// "данные изъяты" с использованием пары "логин-пароль" из доступных (скомпрометированных) в сети Интернет баз данных с утечками. Предположительно, утечка произошла вследствие использования субъектами персональных данных одинаковых паролей и логинов на различных интернет- ресурсах.

15 декабря 2022 г. в 16:33 по результатам внутреннего расследования АО "Авиакомпания "Сибирь" в Роскомнадзор поступило новое Уведомление оператора о факте неправомерной или случайной передачи (предоставлении, распространении, доступе), повлекшей нарушение прав субъектов персональных данных (номер N).

В ходе проверки Оператором также представлена пояснительная записка по инциденту несанкционированного доступа от 18 января 2023 г. (исх. от 18.01.2023 N) и акт по результатам служебного расследования по факту инцидента информационной безопасности, связанного с получением неправомерного доступа ПДН клиентов (субъектов ПДН) АО "Авиакомпания "Сибирь" от 15 декабря 2022 г, из которых следует, что 08.12.2022 инженер отдела сетевой безопасности при ежедневном анализе трафика "данные изъяты" обнаружил зловредную активность на сайте компании httрs:// "данные изъяты" Период атаки с 04:45 до 8:00 МСК. Всего запросов в атаке 2 162 202. По 47621 учетным записям был зафиксирован успешный вход. Геораспределенная атака осуществлялась с IP адресов множества стран. Факт допущенного неправомерного доступа к персональным данным клиентов, зарегистрированных на сайте "данные изъяты" оператором в лице АО "Авиакомпания "Сибирь" подтвержден.

В соответствии с ч.1 ст.18.1 Федерального закона "О персональных данных" оператор обязан принимать меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных настоящим Федеральным законом и принятыми в соответствии с ним нормативными правовыми актами.

В соответствии с п.1 ст. 3 Федерального закона "О персональных данных" под персональными данными понимается информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных). В связи с чем, содержание скомпрометированной базы данных относиться к персональным данным пользователей и клиентов АО "Авиакомпания "Сибирь".

В силу положений п.1 ст.3 Федерального закона "О персональных данных" АО "Авиакомпания "Сибирь" является Оператором, осуществляющим обработку персональных данных, на деятельность которого распространяются требования Закона о персональных данных в полном объеме.

По результатам внеплановой проверки в действиях АО "Авиакомпания "Сибирь" выявлено нарушение требований ч.1 ст. 6 и ст. 7 Федерального закона "О персональных данных".

Указанные обстоятельства подтверждаются протоколами об административном правонарушении, решением и уведомлением о проведении внеплановой выездной проверки в отношении АО "Авиакомпания "Сибирь", актом внеплановой выездной проверки, справкой о результатах внеплановой выездной проверки, уведомлениями о факте неправомерной или случайной передачи персональных данных, выпиской из ЕГРЮЛ.

Перечисленным доказательствам, в совокупности с другими материалами дела, мировой судья дал правильную оценку и обоснованно признал АО "Авиакомпания "Сибирь" виновным в совершении административного правонарушения, предусмотренного ч.1 ст.13.11 КоАП РФ.

Доводы жалобы являются несостоятельными. В ходе рассмотрения данного дела об административном правонарушении в соответствии с требованиями ст. 24.1 КоАП РФ были всесторонне, полно, объективно и своевременно выяснены обстоятельства данного дела; в соответствии со ст. 26.1 КоАП РФ установлены наличие события административного правонарушения, лицо, его совершившее, виновность указанного лица в совершении административного правонарушения, иные обстоятельства, имеющие значение для правильного разрешения дела.

Факт нарушения АО "Авиакомпания "Сибирь", являющегося оператором персональных данных, требований ч.1 ст. 6 и ст. 7 Федерального закона "О персональных данных", нарушение порядка и условий обработки персональных данных, повлекшее неправомерный доступу неустановленных лиц к персональным данным клиентов Общества, подтверждается материалами дела, поэтому выводы о наличии в его действиях состава административного правонарушения, предусмотренного ч.1 ст.13.11 КоАП РФ, являются верными.

Вопреки доводов жалобы, протокол об административном правонарушении содержит все необходимые сведения, предусмотренные ч.2 ст.28.2 КоАП РФ, в том числе указание на конкретные нормы, за нарушение которых установлена административная ответственность, и обоснованно принят в качестве допустимого доказательства по делу.

Приведенные доводы жалобы об отсутствии состава административного правонарушения, поскольку Общество не совершало действий, направленных на распространение, передачу сведений третьим лицам, аналогичны доводам, которые были предметом судебной проверки, обоснованно опровергнуты по мотивам, изложенным в постановлениях. При этом все представленные доказательства оценены на предмет допустимости, достоверности, относимости и достаточности, по правилам ст. 26.11 КоАП РФ, в их совокупности.

Оснований не согласиться с выводами предыдущих судебных инстанций не имеется.

Постановление по делу об административном правонарушении соответствует требованиям ч.1 ст. 29.10 КоАП РФ.

Жалоба на постановление по делу об административном правонарушении рассмотрена судьей городского суда в порядке, предусмотренном ст.30.6 КоАП РФ.

Нарушений процессуальных требований КоАП РФ не допущено, нормы материального права применены правильно.

Таким образом, оснований для удовлетворения жалобы и отмены принятых по делу судебных актов не имеется.

Руководствуясь ст.ст. 30.13 и 30.17 КоАП РФ, судья

постановил:

постановление мирового судьи 1-го судебного участка судебного района г. Оби Новосибирской области от 28 апреля 2023г, решение судьи Обского городского суда Новосибирской области от 26 сентября 2023г. вынесенные в отношении акционерного общества "Авиакомпания "Сибирь" по делу об административном правонарушении, предусмотренном ч.1 ст.13.11 КоАП РФ, оставить без изменения, жалобу защитника Степанова Е.В. - без удовлетворения.

Судья: Д.А. Безденежных