Решение по жалобе/протесту на постановление (районный суд)

Мировой судья: фио Дело № 12-1105/2023

РЕШЕНИЕ

адрес 15 июня 2023 года

Судья Замоскворецкого районного суда адрес Коробченко Е.С., рассмотрев жалобу представителя по доверенности СПАО «Ингосстрах» фио на постановление мирового судьи судебного участка № 398 адрес от 27 апреля 2023 года по делу об административном правонарушении в отношении

СПАО «Ингосстрах», ОГРН 1027739362474, дата присвоения ОГРН 11.10.2002, ИНН 7705042179, КПП 770501001, место регистрации: адрес, сведений о привлечении ранее к административной ответственности материалы дела не содержат,

УСТАНОВИЛ:

Постановлением мирового судьи судебного участка № 398 адрес, от 27 апреля 2023 г. СПАО «Ингосстрах» признано виновным в совершении административного правонарушения, предусмотренного ч. 1 ст. 13.11 Кодекса РФ об административных правонарушениях и подвергнут административному наказанию в виде административного штрафа в размере сумма.

Не согласившись с указанным постановлением, представитель по доверенности СПАО «Ингосстрах» фио обратился в суд с жалобой, в которой просит об отмене постановления мирового судьи и прекращении производства по делу в соответствии с доводами, изложенными в апелляционной жалобе.

Представители по доверенности СПАО «Ингосстрах» фио и фио в судебное заседание явились, доводы жалобы поддержали в полном объёме, просили отменить постановление мирового судьи, поскольку полагали, что мировым судьей не была дана должная правовая оценка отсутствию доказательств, проигнорирована возможность освобождения от административной ответственности в соответствии ст. 2.9 КРФоАП. СПАО «Ингосстрах» своевременно обнаружило атаку на сервера мобильного приложения, подозрительную активность со стороны бот сети по атаке приложения, добросовестно уведомило в соответствии с требованиями закона Роскомнадзор, приняло меры по блокировке IP-адресов, авторизации по логину и паролю и другие эффективные меры, направленные на прекращение данной атаки.

В ходе судебного разбирательства в качестве свидетеля судом была опрошена главный государственный инспектор отдела организации контрольно-надзорной деятельности Управления по защите прав субъектов персональных данных Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций фио, которая пояснила суду, что путем анализа поступивших от СПАО «Ингосстрах» уведомлений о факте неправомерной или случайной передачи персональных данных были выявлены нарушения ч. 1 ст. 6, ст. 7 Федерального закона «О персональных данных», что образует признаки состава правонарушения, предусмотренного ч. 1 ст. 13.11 КРФоАП - обработка персональных данных в случаях, не предусмотренных законодательством Российской Федерации в области персональных данных, либо обработка персональных данных, несовместимая с целями сбора персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи, если эти действия не содержат уголовно наказуемого деяния. В свою очередь по обработкой персональных данных понимается любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных. Понятия утечка в законе нет, однако это является своего рода доступом к данным. Поскольку третьи лица получили доступ к данным, имеется состав правонарушения. Поскольку в настоящее время введены ограничения на проведение контрольных мероприятий, данная информация не перепроверялась.

Выслушав представителей доверенности СПАО «Ингосстрах», опросив свидетеля, исследовав представленные материалы дела об административном правонарушении, суд приходит к следующему.

Ответственность по ч. 1 ст. 13.11 КоАП РФ наступает за обработку персональных данных в случаях, не предусмотренных законодательством Российской Федерации в области персональных данных, либо обработку персональных данных, несовместимую с целями сбора персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи, если эти действия не содержат уголовно наказуемого деяния.

В соответствии с п. 1 ст. 3 Федерального закона от 27 июля 2006 года № 152-ФЗ «О персональных данных» персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).

Согласно п. 2 ст. 3 Федерального закона от 27 июля 2006 года № 152-ФЗ «О персональных данных» оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.

В соответствии с п. 3 ст. 3 Федерального закона от 27 июля 2006 года № 152-ФЗ «О персональных данных» обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

Согласно ч. 1 ст. 6 Федерального закона от 27 июля 2006 года № 152-ФЗ «О персональных данных» обработка персональных данных должна осуществляться с соблюдением принципов и правил, предусмотренных настоящим Федеральным законом.

Как установлено судом и следует из материалов дела, в Роскомнадзор от СПАО «Ингосстрах» поступили уведомления о факте неправомерной или случайной передачи персональных данных, повлекших нарушение прав субъектов персональных данных, от 14 февраля 2023 года№ 5940386 и от 17 февраля 2023 года№ 5945952.

Согласно указанным уведомлениям, СПАО «Ингосстрах» зафиксирована атака на сервера мобильного приложения «ingoMobile», повлекшая неправомерный доступ к базе данных, содержащей персональные данные клиентов СПАО «Ингосстрах» в объеме: фамилия, имя, отчество, номер телефона, адрес электронной почты, паспортные данные, данные о застрахованных объектах, данные полисов клиента.

Актом от 14 февраля 2023 года СПАО «Ингосстрах» признало компьютерную атаку инцидентом, предусмотренным ч. 3.1 ст. 21 Федерального закона от 27 июля 2006 года № 152-ФЗ «О персональных данных». Из указанного акта также следует, что в результате использования достоверных сведений о клиентах неустановленная группа злоумышленников получила доступ к некоторым личным кабинетам пользователей мобильного приложения ingoMobile.ingos.ru.

Таким образом, сам факт утечки персональных данных пользователей сервиса наименование организации является обработкой персональных данных, что в настоящем случае образует состав административного правонарушения, предусмотренного ч. 1 ст. 13.11 КоАП РФ.

Объективная сторона правонарушений по ч. 1 ст. 13.11 КоАП РФ состоит в нарушении норм федерального законодательства, регулирующих вопросы работы с информацией о гражданах (персональными данными).

Субъективная сторона правонарушения характеризуется умыслом или

неосторожностью.

С учетом изложенных обстоятельств, доводы представителя СПАО «Ингосстрах» об отсутствии вины СПАО «Ингосстрах» в передаче данных пользователей, отсутствии состава и событие правонарушения, суд отклоняет, так как имел место несанкционированный доступ со стороны неустановленных третьих лиц.

В данном случае оператор не обеспечил конфиденциальность переданной ему информации и допустил обработку (передачу) вверенной ему информации в случаях, не предусмотренных законодательством Российской Федерации в области персональных данных, при этом факт несанкционированного доступа к данным о пользователях в данном случае не имеет значения для квалификации содеянного по ч. 1 ст. 13.11 КоАП РФ.

Как установлено мировым судьей, и следует из материалов дела, 14 февраля 2023 года в 13 часов 20 минут по адресу: адрес, СПАО «Ингосстрах» осуществило обработку персональных данных в случаях, не предусмотренных законодательством Российской Федерации в области персональных данных, совершив тем самым административное правонарушение, ответственность за которое предусмотрена ч. 1 ст. 13.11 Кодекса Российской Федерации об административных правонарушениях.

В Роскомнадзор во исполнение требований ч. 3.1 ст. 21 Федерального закона от 27 июля 2006 года № 152-ФЗ «О персональных данных» от СПАО «Ингосстрах» поступили уведомления о факте неправомерной или случайной передачи персональных данных, повлекших нарушение прав субъектов персональных данных, от 14 февраля 2023 года № 5940386 и от 17 февраля 2023 года № 5945952. Согласно указанным уведомлениям, СПАО «Ингосстрах» зафиксирована атака на сервера мобильного приложения «ingoMobile», повлекшая неправомерный доступ к базе данных, содержащей персональные данные клиентов СПАО «Ингосстрах» в объеме: фамилия, имя, отчество, номер телефона, адрес электронной почты, паспортные данные, данные о застрахованных объектах, данные полисов клиента.

Таким образом, СПАО «Ингосстрах» допущено нарушение требований ч. 1 ст. 6 ФЗ от 27.07.2006 года N 152-ФЗ "О персональных данных" в части предоставления неправомерного доступа к базе данных СПАО «Ингосстрах», содержащих персональные данные клиентов СПАО «Ингосстрах».

Вывод мирового судьи о виновности СПАО «Ингосстрах» сделан на основании имеющихся в материалах дела доказательствах, которые приведены в обжалуемом постановлении, достоверность и допустимость которых сомнений не вызывают.

Вместе с тем суд полагает, что имеются основания для отнесения совершенного СПАО «Ингосстрах» административного правонарушения к малозначительным и освобождения его от административной ответственности, объявление лицу, его совершившему, устного замечания.

В соответствии со ст. 2.9 КоАП РФ при малозначительности совершенного административного правонарушения судья, орган, должностное лицо, уполномоченные решить дело об административном правонарушении, могут освободить лицо, совершившее административное правонарушение, от административной ответственности и ограничиться устным замечанием.

Согласно п. 21 Постановления Пленума Верховного Суда Российской Федерации от 24.03.2005 N 5 "О некоторых вопросах, возникающих у судов при применении Кодекса Российской Федерации об административных правонарушениях", если при рассмотрении дела будет установлена малозначительность совершенного административного правонарушения, судья на основании статьи 2.9 указанного Кодекса вправе освободить виновное лицо от административной ответственности и ограничиться устным замечанием, о чем должно быть указано в постановлении о прекращении производства по делу. … Малозначительным административным правонарушением является действие или бездействие, хотя формально и содержащее признаки состава административного правонарушения, но с учетом характера совершенного правонарушения и роли правонарушителя, размера вреда и тяжести наступивших последствий не представляющее существенного нарушения охраняемых общественных правоотношений.

Как установлено в ходе рассмотрения жалобы сотрудниками СПАО «Ингосстрах» своевременно были предприняты меры по устранению выявленной активности, усовершенствовано приложение, что повлекло устранение подозрительной активности.

Каких-либо объективных данных о том, что сведения из приложения были скопированы, получены либо использованы третьими лицами с целью нарушения охраняемых законом прав материалы дела не содержат.

В силу п. 3 ч. 1 ст. 30.7 Кодекса РФ об административных правонарушениях по результатам рассмотрения жалобы на постановление по делу об административном правонарушении выносится одно из следующих решений: об отмене постановления и о прекращении производства по делу при наличии хотя бы одного из обстоятельств, предусмотренных статьями 2.9, 24.5 настоящего Кодекса, а также при недоказанности обстоятельств, на основании которых было вынесено постановление.

Учитывая изложенное, производство по делу об административном правонарушении подлежит прекращению на основании статьи 2.9 КоАП РФ Кодекса Российской Федерации об административных правонарушениях за малозначительностью.

На основании изложенного, руководствуясь статьями 30.6 и 30.7 Кодекса Российской Федерации об административных правонарушениях, судья

РЕШИЛ:

Постановление мирового судьи судебного участка № 398 адрес, от 27 апреля 2023 г., которым СПАО «Ингосстрах» признано виновным в совершении правонарушения, предусмотренного ч. 1 ст. 13.11 Кодекса РФ об административных правонарушениях и подвергнут наказанию в виде штрафа в размере сумма – отменить.

Производство по делу об административному правонарушении в отношении СПАО «Ингосстрах» прекратить на основании статьи 2.9 КоАП РФ Кодекса Российской Федерации об административных правонарушениях за малозначительностью.

Судья Е.С. Коробченко