РЕШЕНИЕ
ИМЕНЕМ РОССИЙСКОЙ ФЕДЕРАЦИИ
28 апреля 2026 года п. Смидович
Смидовичский районный суд Еврейской автономной области в составе судьи Боголюб Ю.А.
при секретаре Филатовой Т.А.
с участием:
помощника прокурора Смидовичского района Мокосеева М.М., рассмотрев в открытом судебном заседании гражданское дело по иску заместителя прокурора Смидовичского района Еврейской автономной области в интересах неопределенного круга лиц к областному государственному бюджетному учреждению здравоохранения «Николаевская районная больница» о понуждении к совершению определённых действий,
УСТАНОВИЛ:
Заместитель прокурора Смидовичского района ЕАО в интересах неопределенного круга лиц обратился в суд с иском к ОГБУЗ «Николаевская районная больница» о понуждении к совершению определённых действий. Требования мотивированы тем, что прокуратурой Смидовичского района ЕАО проведены надзорные мероприятия на предмет исполнения законодательства о защите информации и персональных данных. В ходе выездной проверки установлены нарушения п. 21 Инструкции об организации и обеспечении безопасности хранения, обработки и передачи по каналам связи с использованием средств криптографической защиты информации с ограниченным доступом, не содержащей сведений, составляющих государственную тайну, утвержденной приказом ФАПСИ от 13.06.2001 № 152, пользователь СКЗИ к непосредственной работе допущен без соответствующего обучения, заключения о допуске к самостоятельной работе отсутствуют. Выявленные нарушения стали возможными вследствие ненадлежащего исполнения должностными лицами обязанностей по соблюдению требований законодательства и отсутствием надлежащего контроля за подчиненными работниками. Прокуратурой района в адрес главного врача больницы внесено представление, которое находится на рассмотрении.
С учетом уточнений, прокурор просит обязать ОГБУЗ «Николаевская районная больница» в течение 6 месяцев с даты вступления решения суда в законную силу выполнить требования пункта 21 Инструкции об организации и обеспечении безопасности хранения, обработки и передачи по каналам связи с использованием средств криптографической защиты информации в ограниченным доступом, не содержащей сведений, составляющих государственную тайну, утвержденной приказом ФАПСИ от 13.06.2001 № 152.
В судебном заседании помощник прокурора Мокосеев М.М. уточненные исковые требования поддержал по изложенным в иске доводам.
Представитель ответчика ОГБУЗ «Николаевская районная больница» в судебное заседание не явился, о дне, времени и месте рассмотрения дела уведомлен надлежащим образом, представил ходатайство о рассмотрении дела в его отсутствие. До начала рассмотрения дела по существу представил копию договора об оказании платных образовательных услуг от 01.04.2026, платежное поручение от 07.04.2026, копию согласия на обработку персональных данных.
Исходя из положений статьи 167 Гражданского процессуального кодекса Российской Федерации (далее – ГПК РФ), суд находит дело подлежащим рассмотрению в отсутствие неявившихся лиц, с учётом их надлежащего извещения о дате, времени и месте судебного заседания.
Изучив материалы дела, выслушав лиц, участвующих в деле, оценив исследованные доказательства в их совокупности, суд приходит к следующему.
В соответствии со ст. 45 ГПК РФ прокурор вправе обратиться в суд с заявлением в защиту прав, свобод и законных интересов граждан, неопределенного круга лиц или интересов Российской Федерации, субъектов Российской Федерации, муниципальных образований.
Отношения, возникающие при осуществлении права на поиск, получение, передачу, производство и распространение информации, применении информационных технологий, обеспечении защиты информации регулируются Федеральным законом от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации» (далее – Федеральный закон от 27.07.2006 № 149-ФЗ).
В силу части 2 статьи 5 Федерального закона от 27.07.2006 № 149-ФЗ информация в зависимости от категории доступа к ней подразделяется на общедоступную информацию, а также на информацию, доступ к которой ограничен федеральными законами (информация ограниченного доступа).
Ограничение доступа к информации устанавливается федеральными законами и актами Президента Российской Федерации в целях защиты основ конституционного строя, нравственности, здоровья, прав и законных интересов других лиц, обеспечения обороны страны и безопасности государства (ч. 1 ст. 9).
Согласно п. 2 ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – Закон о персональных данных) оператор персональных данных - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.
С учетом данного определения, оператором персональных данных по смыслу Закона о персональных данных будут выступать, в том числе, медицинские учреждения.
В соответствии с частями 1,2 статьи 18.1 Закона о персональных данных оператор обязан принимать меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных настоящим Федеральным законом и принятыми в соответствии с ним нормативными правовыми актами. Оператор самостоятельно определяет состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных настоящим Федеральным законом и принятыми в соответствии с ним нормативными правовыми актами, если иное не предусмотрено настоящим Федеральным законом или другими федеральными законами. К таким мерам, в частности, относятся: назначение оператором, являющимся юридическим лицом, ответственного за организацию обработки персональных данных; издание оператором, являющимся юридическим лицом, документов, определяющих политику оператора в отношении обработки персональных данных, локальных актов по вопросам обработки персональных данных, определяющих для каждой цели обработки персональных данных категории и перечень обрабатываемых персональных данных, категории субъектов, персональные данные которых обрабатываются, способы, сроки их обработки и хранения, порядок уничтожения персональных данных при достижении целей их обработки или при наступлении иных законных оснований, а также локальных актов, устанавливающих процедуры, направленные на предотвращение и выявление нарушений законодательства Российской Федерации, устранение последствий таких нарушений. Такие документы и локальные акты не могут содержать положения, ограничивающие права субъектов персональных данных, а также возлагающие на операторов не предусмотренные законодательством Российской Федерации полномочия и обязанности; применение правовых, организационных и технических мер по обеспечению безопасности персональных данных в соответствии со статьей 19 настоящего Федерального закона; осуществление внутреннего контроля и (или) аудита соответствия обработки персональных данных настоящему Федеральному закону и принятым в соответствии с ним нормативным правовым актам, требованиям к защите персональных данных, политике оператора в отношении обработки персональных данных, локальным актам оператора; оценка вреда в соответствии с требованиями, установленными уполномоченным органом по защите прав субъектов персональных данных, который может быть причинен субъектам персональных данных в случае нарушения настоящего Федерального закона, соотношение указанного вреда и принимаемых оператором мер, направленных на обеспечение выполнения обязанностей, предусмотренных настоящим Федеральным законом;
Оператор, являющийся юридическим лицом, назначает лицо, ответственное за организацию обработки персональных данных.
Лицо, ответственное за организацию обработки персональных данных, в частности, обязано: осуществлять внутренний контроль за соблюдением оператором и его работниками законодательства Российской Федерации о персональных данных, в том числе требований к защите персональных данных; доводить до сведения работников оператора положения законодательства Российской Федерации о персональных данных, локальных актов по вопросам обработки персональных данных, требований к защите персональных данных; организовывать прием и обработку обращений и запросов субъектов персональных данных или их представителей и (или) осуществлять контроль за приемом и обработкой таких обращений и запросов.
Статьей 19 Закона о персональных данных определено, что оператор при обработке персональных данных обязан принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.
Приказом № 152 от 13.06.2001 Федерального агентства правительственной связи и информации при Президенте РФ утверждена Инструкция об организации и обеспечении безопасности хранения, обработки и передачи по каналам связи с использованием средств криптографической защиты информации с ограниченным доступом, не содержащей сведений, составляющих государственную тайну, определяющая единый на территории Российской Федерации порядок организации и обеспечения безопасности хранения, обработки и передачи по каналам связи с использованием сертифицированных ФАПСИ средств криптографической защиты (шифровальных средств) подлежащей в соответствии с законодательством Российской Федерации обязательной защите информации с ограниченным доступом, не содержащей сведений, составляющих государственную тайну.
В силу пункта 7 указанной Инструкции орган криптографической защиты осуществляет, в том числе, проверку готовности обладателей конфиденциальной информации к самостоятельному использованию СКЗИ и составление заключений о возможности эксплуатации СКЗИ (с указанием типа и номеров используемых СКЗИ, номеров аппаратных, программных и аппаратно - программных средств, где установлены или к которым подключены СКЗИ, с указанием также номеров печатей (пломбиров), которыми опечатаны (опломбированы) технические средства, включая СКЗИ, и результатов проверки функционирования СКЗИ); разработку мероприятий по обеспечению функционирования и безопасности применяемых СКЗИ в соответствии с условиями выданных на них сертификатов, а также в соответствии с эксплуатационной и технической документацией к этим средствам; обучение лиц, использующих СКЗИ, правилам работы с ними; учет обслуживаемых обладателей конфиденциальной информации, а также физических лиц, непосредственно допущенных к работе с СКЗИ.
Физические лица, непосредственно допущенные к работе с СКЗИ, в настоящей Инструкции именуются - пользователи СКЗИ.
Пользователи СКЗИ обязаны: не разглашать конфиденциальную информацию, к которой они допущены, рубежи ее защиты, в том числе сведения о криптоключах; соблюдать требования к обеспечению безопасности конфиденциальной информации с использованием СКЗИ; сообщать в орган криптографической защиты о ставших им известными попытках посторонних лиц получить сведения об используемых СКЗИ или ключевых документах к ним; сдать СКЗИ, эксплуатационную и техническую документацию к ним, ключевые документы в соответствии с порядком, установленным настоящей Инструкцией, при увольнении или отстранении от исполнения обязанностей, связанных с использованием СКЗИ; немедленно уведомлять орган криптографической защиты о фактах утраты или недостачи СКЗИ, ключевых документов к ним, ключей от помещений, хранилищ, личных печатей и о других фактах, которые могут привести к разглашению защищаемых сведений конфиденциального характера, а также о причинах и условиях возможной утечки таких сведений (пункт 21 Инструкции)
Непосредственно к работе с СКЗИ пользователи допускаются только после соответствующего обучения. Обучение пользователей правилам работы с СКЗИ осуществляют сотрудники соответствующего органа криптографической защиты. Документом, подтверждающим должную специальную подготовку пользователей и возможность их допуска к самостоятельной работе с СКЗИ, является заключение, составленное комиссией соответствующего органа криптографической защиты на основании принятых от этих лиц зачетов по программе обучения (пункт 21 Инструкции).
Как следует из материалов дела, прокуратурой Смидовичского района Еврейской автономной области проведена проверка соблюдения законодательства о защите информации и персональных данных в деятельности ОГБУЗ «Николаевская районная больница», по результатам которой установлены нарушения, создающие предпосылки к разглашению сведений, составляющих персональные данные человека и гражданина при их обработке в информационных системах ОГБУЗ «Николаевская районная больница».
Приказом главного врача ОГБУЗ «Николаевская районная больница» № от 13.01.2026 лицом, ответственным за обеспечение информационной безопасности, в том числе по предупреждению, обнаружению и ликвидации последствий компьютерных атак и реагированию на компьютерные инциденты, назначен системный администратор ФИО5
23.03.2026 года исполняющим обязанности прокурора Смидовичского района в адрес главного врача внесено представление за исх. № об устранении нарушений законодательства, причин и условий им способствующих.
По результатам его рассмотрения 21.04.2026 года главным врачом медицинского учреждения дан ответ за исх. 315, согласно которому администрацией ОГБУЗ «Николаевская районная больница» приняты меры для устранения выявленных нарушений, а именно: заключен договор от 01.04.2026 № на оказание платных образовательных услуг по программе «Информационная безопасность. Техническая защита конфиденциальной информации».
Из представленного суду договора от 01.04.2026 № следует, что ООО «МАСКОМ Восток» обязуется предоставить заказчику ОГБУЗ «Николаевская районная больница» за плату образовательные услуги по программе профессиональной переподготовки «Информационная безопасность. Техническая защита конфиденциальной информации». Срок обучения с 20.04.2026 по 17.07.2026.
В обеспечение исполнения заключенного договора ответчиком внесена плата в размере 80 000 рублей, что подтверждается платежным поручением № от 07.04.2026, Согласие на обработку персональных данных, разрешенных субъектом персональных данных для распространения/предоставления, Согласие на обработку персональных данных, данные ФИО5
Таким образом, судом установлено, что должностное лицо ОГБУЗ «Николаевская районная больница» ФИО5 допущен к работе со средствами криптографической защиты без прохождения соответствующего обучения.
Доказательств обратного суду не представлено.
Учитывая, что ОГБУЗ «Николаевская районная больница» осуществляет сбор, хранение и передачу персональных данных пациентов, действуя как оператор персональных данных в силу Закона о персональных данных, использует при этом средства криптографической защиты, суд приходит к выводу об удовлетворении заявленных исковых требований.
Согласно части 2 статьи 206 ГПК РФ в случае, если указанные действия могут быть совершены только ответчиком, суд устанавливает в решении срок, в течение которого решение суда должно быть исполнено.
Исходя из принципа разумности, необходимости соблюдения баланса прав и интересов обеих сторон, принимая во внимание срок обучения пользователя СКЗИ, указанную обязанность ответчику надлежит исполнить в течение шести месяцев со дня вступления решения суда в законную силу.
На основании изложенного, рНа основании изложенного, руководствуясь ст. ст. 194-199 ГПК РФ,
РЕШИЛ:
Исковые требования заместителя прокурора Смидовичского района Еврейской автономной области в интересах неопределенного круга лиц к областному государственному бюджетному учреждению здравоохранения «Николаевская районная больница» (ИНН 7903000501) о понуждении к совершению определённых действий удовлетворить.
Обязать областное государственное бюджетное учреждение здравоохранения «Николаевская районная больница» в течение шести месяцев со дня вступления решения суда в законную силу выполнить требования пункта 21 Инструкции об организации и обеспечении безопасности хранения, обработки и передачи по каналам связи с использованием средст криптографической защиты информации в ограниченным доступом, не содержащей сведений, составляющих государственную тайну, утвержденной приказом ФАПСИ от 13.06.2001 № 152.
На решение суда может быть подана апелляционная жалоба в суд Еврейской автономной области через Смидовичский районный суд Еврейской автономной области в течение месяца со дня принятия решения в окончательной форме.
Судья Ю.А. Боголюб
Мотивированное решение составлено 12.05.2026.