РЕШЕНИЕ
ИМЕНЕМ РОССИЙСКОЙ ФЕДЕРАЦИИ
6 мая 2026 года п. Смидович
Смидовичский районный суд Еврейской автономной области в составе судьи Боголюб Ю.А.
при секретаре Филатовой Т.А.
с участием:
помощника прокурора Смидовичского района Мокосеева М.М., рассмотрев в открытом судебном заседании гражданское дело по исковому заявлению заместителя прокурора Смидовичского района Еврейской автономной области в интересах неопределенного круга лиц к администрации муниципального образования «Волочаевское городское поселение» Смидовичского муниципального района Еврейской автономной области о понуждении к совершению определённых действий,
УСТАНОВИЛ:
Заместитель прокурора Смидовичского района ЕАО, действующий в интересах неопределенного круга лиц, обратился в суд иском к администрации муниципального образования «Волочаевское городское поселение» Смидовичского муниципального района ЕАО о понуждении к совершению определённых действий.
Требования мотивированы тем, что прокуратурой Смидовичского района ЕАО проведены надзорные мероприятия на предмет исполнения законодательства о защите информации и персональных данных. В ходе выездной проверки установлены нарушения п. 21 Инструкции об организации и обеспечении безопасности хранения, обработки и передачи по каналам связи с использованием средств криптографической защиты информации с ограниченным доступом, не содержащей сведений, составляющих государственную тайну, утвержденной приказом ФАПСИ от 13.06.2001 № 152, пользователь СКЗИ к непосредственной работе допущен без соответствующего обучения, заключения о допуске к самостоятельной работе отсутствуют. Выявленные нарушения стали возможными вследствие ненадлежащего исполнения должностными лицами обязанностей по соблюдению требований законодательства и отсутствием надлежащего контроля за подчиненными работниками.
Прокурор просит признать незаконным бездействие администрации муниципального образования «Волочаевское городское поселение» Смидовичского муниципального района ЕАО, выразившееся в непринятии мер по обучению ответственного работника, являющегося пользователем средствами криптографической защиты информации, с целью допуска к непосредственной работе в соответствии с п. 21 Инструкции об организации и обеспечении безопасности хранения, обработки и передачи по каналам связи с использованием средств криптографической защиты информации с ограниченным доступом, не содержащей сведений, составляющих государственную тайну, утвержденной приказом ФАПСИ от 13.06.2001 № 152, и обязать администрацию муниципального образования «Волочаевское городское поселения» Смидовичского муниципального района ЕАО в течение 6 месяцев с даты вступления решения суда в законную силу обеспечить обучение ответственного работника, являющегося пользователем средствами криптографической защиты информации, с целью допуска к непосредственной работе, в соответствии с п.21 Инструкции об организации и обеспечении безопасности хранения, обработки и передачи по каналам связи с использованием средств криптографической защиты информации с ограниченным доступом, не содержащей сведений, составляющих государственную тайну, утвержденной приказом ФАПСИ от 13.06.2001 № 152.
В судебном заседании помощник прокурора Мокосеев М.М. исковые требования поддержал по изложенным в иске доводам.
Представитель ответчика – администрации муниципального образования «Волочаевское городское поселение» Смидовичского муниципального района ЕАО в судебное заседание не явился, о дне, времени и месте рассмотрения дела уведомлен надлежащим образом, представил ходатайство о рассмотрении дела в отсутствие представителя ответчика.
Исходя из положений статьи 167 Гражданского процессуального кодекса Российской Федерации (далее – ГПК РФ), суд находит дело подлежащим рассмотрению в отсутствие неявившихся лиц, с учётом их надлежащего извещения о дате, времени и месте судебного заседания.
Изучив материалы дела, выслушав лиц, участвующих в деле, оценив исследованные доказательства в их совокупности, суд приходит к следующему.
В соответствии со ст. 45 ГПК РФ прокурор вправе обратиться в суд с заявлением в защиту прав, свобод и законных интересов граждан, неопределенного круга лиц или интересов Российской Федерации, субъектов Российской Федерации, муниципальных образований.
Отношения, возникающие при осуществлении права на поиск, получение, передачу, производство и распространение информации, применении информационных технологий, обеспечении защиты информации регулируются Федеральным законом от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации» (далее – Федеральный закон от 27.07.2006 № 149-ФЗ).
В силу части 2 статьи 5 Федерального закона от 27.07.2006 № 149-ФЗ информация в зависимости от категории доступа к ней подразделяется на общедоступную информацию, а также на информацию, доступ к которой ограничен федеральными законами (информация ограниченного доступа).
Ограничение доступа к информации устанавливается федеральными законами и актами Президента Российской Федерации в целях защиты основ конституционного строя, нравственности, здоровья, прав и законных интересов других лиц, обеспечения обороны страны и безопасности государства (ч. 1 ст. 9).
Согласно п. 2 ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – Закон о персональных данных) оператор персональных данных - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.
С учетом данного определения, оператором персональных данных по смыслу Закона о персональных данных будут выступать, в том числе, медицинские учреждения.
В соответствии с частями 1,2 статьи 18.1 Закона о персональных данных оператор обязан принимать меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных настоящим Федеральным законом и принятыми в соответствии с ним нормативными правовыми актами. Оператор самостоятельно определяет состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных настоящим Федеральным законом и принятыми в соответствии с ним нормативными правовыми актами, если иное не предусмотрено настоящим Федеральным законом или другими федеральными законами. К таким мерам, в частности, относятся: назначение оператором, являющимся юридическим лицом, ответственного за организацию обработки персональных данных; издание оператором, являющимся юридическим лицом, документов, определяющих политику оператора в отношении обработки персональных данных, локальных актов по вопросам обработки персональных данных, определяющих для каждой цели обработки персональных данных категории и перечень обрабатываемых персональных данных, категории субъектов, персональные данные которых обрабатываются, способы, сроки их обработки и хранения, порядок уничтожения персональных данных при достижении целей их обработки или при наступлении иных законных оснований, а также локальных актов, устанавливающих процедуры, направленные на предотвращение и выявление нарушений законодательства Российской Федерации, устранение последствий таких нарушений. Такие документы и локальные акты не могут содержать положения, ограничивающие права субъектов персональных данных, а также возлагающие на операторов не предусмотренные законодательством Российской Федерации полномочия и обязанности; применение правовых, организационных и технических мер по обеспечению безопасности персональных данных в соответствии со статьей 19 настоящего Федерального закона; осуществление внутреннего контроля и (или) аудита соответствия обработки персональных данных настоящему Федеральному закону и принятым в соответствии с ним нормативным правовым актам, требованиям к защите персональных данных, политике оператора в отношении обработки персональных данных, локальным актам оператора; оценка вреда в соответствии с требованиями, установленными уполномоченным органом по защите прав субъектов персональных данных, который может быть причинен субъектам персональных данных в случае нарушения настоящего Федерального закона, соотношение указанного вреда и принимаемых оператором мер, направленных на обеспечение выполнения обязанностей, предусмотренных настоящим Федеральным законом;
Оператор, являющийся юридическим лицом, назначает лицо, ответственное за организацию обработки персональных данных.
Лицо, ответственное за организацию обработки персональных данных, в частности, обязано: осуществлять внутренний контроль за соблюдением оператором и его работниками законодательства Российской Федерации о персональных данных, в том числе требований к защите персональных данных; доводить до сведения работников оператора положения законодательства Российской Федерации о персональных данных, локальных актов по вопросам обработки персональных данных, требований к защите персональных данных; организовывать прием и обработку обращений и запросов субъектов персональных данных или их представителей и (или) осуществлять контроль за приемом и обработкой таких обращений и запросов.
Статьей 19 Закона о персональных данных определено, что оператор при обработке персональных данных обязан принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.
Приказом № 152 от 13.06.2001 Федерального агентства правительственной связи и информации при Президенте РФ утверждена Инструкция об организации и обеспечении безопасности хранения, обработки и передачи по каналам связи с использованием средств криптографической защиты информации с ограниченным доступом, не содержащей сведений, составляющих государственную тайну, определяющая единый на территории Российской Федерации порядок организации и обеспечения безопасности хранения, обработки и передачи по каналам связи с использованием сертифицированных ФАПСИ средств криптографической защиты (шифровальных средств) подлежащей в соответствии с законодательством Российской Федерации обязательной защите информации с ограниченным доступом, не содержащей сведений, составляющих государственную тайну.
В силу пункта 7 указанной Инструкции орган криптографической защиты осуществляет, в том числе, проверку готовности обладателей конфиденциальной информации к самостоятельному использованию СКЗИ и составление заключений о возможности эксплуатации СКЗИ (с указанием типа и номеров используемых СКЗИ, номеров аппаратных, программных и аппаратно-программных средств, где установлены или к которым подключены СКЗИ, с указанием также номеров печатей (пломбиров), которыми опечатаны (опломбированы) технические средства, включая СКЗИ, и результатов проверки функционирования СКЗИ); разработку мероприятий по обеспечению функционирования и безопасности применяемых СКЗИ в соответствии с условиями выданных на них сертификатов, а также в соответствии с эксплуатационной и технической документацией к этим средствам; обучение лиц, использующих СКЗИ, правилам работы с ними; учет обслуживаемых обладателей конфиденциальной информации, а также физических лиц, непосредственно допущенных к работе с СКЗИ.
Физические лица, непосредственно допущенные к работе с СКЗИ, в настоящей Инструкции именуются – пользователи СКЗИ.
Пользователи СКЗИ обязаны: не разглашать конфиденциальную информацию, к которой они допущены, рубежи ее защиты, в том числе сведения о криптоключах; соблюдать требования к обеспечению безопасности конфиденциальной информации с использованием СКЗИ; сообщать в орган криптографической защиты о ставших им известными попытках посторонних лиц получить сведения об используемых СКЗИ или ключевых документах к ним; сдать СКЗИ, эксплуатационную и техническую документацию к ним, ключевые документы в соответствии с порядком, установленным настоящей Инструкцией, при увольнении или отстранении от исполнения обязанностей, связанных с использованием СКЗИ; немедленно уведомлять орган криптографической защиты о фактах утраты или недостачи СКЗИ, ключевых документов к ним, ключей от помещений, хранилищ, личных печатей и о других фактах, которые могут привести к разглашению защищаемых сведений конфиденциального характера, а также о причинах и условиях возможной утечки таких сведений (пункт 21 Инструкции).
Непосредственно к работе с СКЗИ пользователи допускаются только после соответствующего обучения. Обучение пользователей правилам работы с СКЗИ осуществляют сотрудники соответствующего органа криптографической защиты. Документом, подтверждающим должную специальную подготовку пользователей и возможность их допуска к самостоятельной работе с СКЗИ, является заключение, составленное комиссией соответствующего органа криптографической защиты на основании принятых от этих лиц зачетов по программе обучения (пункт 21 Инструкции).
Как следует из материалов дела, прокуратурой Смидовичского района Еврейской автономной области проведена проверка соблюдения законодательства о защите информации и персональных данных в деятельности администрации муниципального образования «Волочаевское городское поселение» Смидовичского муниципального района ЕАО, по результатам которой установлены нарушения, создающие предпосылки к разглашению сведений, составляющих персональные данные человека и гражданина при их обработке в информационных системах администрации муниципального образования «Волочаевское городское поселение» Смидовичского муниципального района ЕАО.
Распоряжением главы администрации муниципального образования «Волочаевское городское поселение» Смидовичского муниципального района ЕАО № от 30.12.2025 лицом, ответственным за организацию обработки персональных данных, назначена заместитель главы администрации ФИО5, которая, в соответствии с должностной инструкцией, утвержденной распоряжением администрации городского поселения от 30.12.2025, помимо прочего должна осуществлять внутренний контроль за соблюдением требований законодательства РФ при обработке персональных данных в администрации городского поселения, в том числе за требованиями к защите персональных данных.
Актом осмотра от 19.03.2026 установлено, что в администрации муниципального образования «Волочаевское городское поселение» Смидовичского муниципального района ЕАО, в нарушение требований пунктов 21, 63 приказа ФАПСИ от 13.06.2001 № 152, пользователь СКЗИ к непосредственной работе допущен без соответствующего обучения и в отсутствие заключения о допуске к самостоятельной работе, а также не определен порядок доступа в специальное помещение, в котором установлена СКЗИ и хранятся ключевые документы, в рабочее и в нерабочее время, а также в нештатных ситуациях.
Таким образом, судом установлено, что в администрации муниципального образования «Волочаевское городское поселение» Смидовичского муниципального района ЕАО имеются нарушения Инструкции об организации и обеспечении безопасности хранения, обработки и передачи по каналам связи с использованием средств криптографической защиты информации с ограниченным доступом, не содержащей сведений, составляющих государственную тайну, утвержденной приказом ФАПСИ от 13.06.2001 № 152.
Доказательств обратного суду не представлено.
Учитывая, что администрация муниципального образования «Волочаевское городское поселение» Смидовичского муниципального района ЕАО осуществляет сбор, хранение и передачу персональных данных, действуя как оператор персональных данных в силу Закона о персональных данных, использует при этом средства криптографической защиты, суд приходит к выводу об удовлетворении заявленных исковых требований.
Согласно части 2 статьи 206 ГПК РФ в случае, если указанные действия могут быть совершены только ответчиком, суд устанавливает в решении срок, в течение которого решение суда должно быть исполнено.
Исходя из принципа разумности, необходимости соблюдения баланса прав и интересов обеих сторон, принимая во внимание срок обучения пользователя СКЗИ, указанную обязанность ответчику надлежит исполнить в течение шести месяцев со дня вступления решения суда в законную силу.
На основании изложенного, рНа основании изложенного, руководствуясь ст. ст. 194-199 ГПК РФ,
РЕШИЛ:
Исковые требования заместителя прокурора Смидовичского района Еврейской автономной области в интересах неопределенного круга лиц к администрации муниципального образования «Волочаевское городское поселение» Смидовичского муниципального района Еврейской автономной области (ИНН 7903526118) о понуждении к совершению определённых действий удовлетворить.
Признать незаконным бездействие администрации муниципального образования «Волочаевское городское поселение» Смидовичского муниципального района ЕАО, выразившееся в непринятии мер по обучению ответственного работника, являющегося пользователем средствами криптографической защиты информации, с целью допуска к непосредственной работе в соответствии с п. 21 Инструкции об организации и обеспечении безопасности хранения, обработки и передачи по каналам связи с использованием средств криптографической защиты информации с ограниченным доступом, не содержащей сведений, составляющих государственную тайну, утвержденной приказом ФАПСИ от 13.06.2001 № 152.
Обязать администрацию муниципального образования «Волочаевское городское поселения» Смидовичского муниципального района ЕАО в течение 6 месяцев с даты вступления решения суда в законную силу обеспечить обучение ответственного работника, являющегося пользователем средствами криптографической защиты информации, с целью допуска к непосредственной работе, в соответствии с п.21 Инструкции об организации и обеспечении безопасности хранения, обработки и передачи по каналам связи с использованием средств криптографической защиты информации с ограниченным доступом, не содержащей сведений, составляющих государственную тайну, утвержденной приказом ФАПСИ от 13.06.2001 № 152.
На решение суда может быть подана апелляционная жалоба в суд Еврейской автономной области через Смидовичский районный суд Еврейской автономной области в течение месяца со дня принятия решения в окончательной форме.
Судья Ю.А. Боголюб
Мотивированное решение составлено 13.05.2026.