Постановление от 8 июля 2024 г. по делу № А07-34409/2023

ВОСЕМНАДЦАТЫЙ АРБИТРАЖНЫЙ АПЕЛЛЯЦИОННЫЙ СУД




ПОСТАНОВЛЕНИЕ



№ 18АП-5206/2024
г. Челябинск
09 июля 2024 года
Дело № А07-34409/2023


Резолютивная часть постановления объявлена 28 июня 2024 года.

Постановление изготовлено в полном объеме 09 июля 2024 года.


Восемнадцатый арбитражный апелляционный суд в составе:

председательствующего судьи Корсаковой М.В.,

судей Бояршиновой Е.В., Плаксиной Н.Г.,

при ведении протокола секретарем судебного заседания Семёновой О.А.,

рассмотрел в открытом судебном заседании апелляционную жалобу общества с ограниченной ответственностью «Экспресс лаб» на решение Арбитражного суда Республики Башкортостан от 14.02.2024 по делу № А07-34409/2023.

В судебном заседании приняли участие представители:

общества с ограниченной ответственностью «Экспресс лаб» – ФИО1 (паспорт, доверенность от 10.01.2024, диплом, посредством веб-конференции);

 общества с ограниченной ответственностью «Промтрансбанк – ФИО2 (паспорт, доверенность от 16.01.2023, диплом, посредством веб-конференции).


Общество с ограниченной ответственностью «Промтрансбанк» (далее – истец, ООО «Промтрансбанк») обратилось в Арбитражный суд Республики Башкортостан с исковым заявлением к обществу с ограниченной ответственностью «Экспресс лаб» (далее – ответчик, ООО «Экспресс лаб») о взыскании убытков в размере 60 000 руб.

Решением Арбитражного суда Республики Башкортостан от 14.02.2024 исковые требования удовлетворены в полном объеме.

ООО «Экспресс лаб» в апелляционной жалобе просит решение суда отменить. По мнению ООО «Экспресс лаб», отсутствуют основания для возложения ответственности за утечку данных на ООО «Эксперсс лаб», поскольку п. 7.11 приложения 2 к договору № 2697-ВР от 08.02.2021 предусмотрено, что подрядчик не несет ответственности за временную неработоспособность сайта, потери данных заказчика, упущенную выгоду заказчика; все работы были выполнены в соответствии с договором, что подтверждается актами приемки работ; договором и дополнительным соглашением не предусмотрена обязанность ООО «Экспресс лаб» по предоставлению услуг по обеспечению защиты данных на сервере заказчика; ответственность за обеспечение безопасности персональных данных клиентов согласно п. 18 Положения об обработке персональных данных, опубликованного на сайте банка, возлагается на ООО «Промтрансбанк».

ООО «Промтрансбанк» в отзыве на апелляционную жалобу просит решение суда оставить без изменения, апелляционную жалобу - без удовлетворения, указывает на законность и обоснованность сделанных судом выводов, несостоятельность доводов ответчика.

Лица, участвующие в деле, о времени и месте судебного разбирательства уведомлены надлежащим образом, в том числе публично путем размещения информации в сети Интернет.

В судебном заседании представитель ООО «Экспресс лаб» поддержала доводы апелляционной жалобы, представитель ООО «Промтрансбанк» заявил возражения относительно доводов апелляционной жалобы, поддержал доводы отзыва.

Законность и обоснованность судебного акта проверены судом апелляционной инстанции в порядке, предусмотренном гл. 34 Арбитражного процессуального кодекса Российской Федерации.

Как установлено судом первой инстанции и следует из материалов дела, в соответствии с заключенным ООО «Промтрансбанк» (заказчик) и ООО «Экспресс лаб» (подрядчик) договором № 2697-ВР от 08.02.2021, согласно условий, изложенных в дополнительных соглашениях от 19.01.2022 и от 27.09.2022, подрядчик оказал заказчику услуги по разработке единой формы «Заявка на кредит» для заполнения ее на сайте https://promtransbank.ru/.

Работы по дополнительному соглашению от 19.01.2022 приняты по акту № 237 от 02.06.2022 и оплачены платежными поручениями № 4 от 19.01.2022, № 4 от 07.06.2022, работы по дополнительному соглашению от 27.09.2022 приняты по акту № 452 от 24.11.2022 и оплачены платежными поручениями № 2 от 03.10.2022 и № 01 от 28.11.2022.

20.01.2023 ФСБ России провело обследование помещения ООО «Промтрансбанк» в связи с утечкой персональных данных с сайта банка.

В письме Минцифры России от 23.01.2023 исх. № ОК-П13-111-3797 ООО «Промтрансбанк» было извещено об утечке персональных данных пользователей с информационных ресурсов банка и о необходимости предоставить, в том числе, детальный отчет о причинах, приведших к возникновению данной утечки, и мерах, принятых для противодействия инциденту.

ООО «Промтрансбанк» письмом от 27.01.2023 исх. № 346 ответило на письмо Минцифры России, указав, в том числе на причины, приведшие к возникновению утечки персональных данных:

- работы по созданию сайта и дальнейшей доработке функционала «заявка на кредит онлайн» на сайте осуществлялись по договору с ООО «Экспресс лаб»;

- сервис был протестирован банком в конце октября 2022 г. и по выявленным замечаниям ООО «Экспресс Лаб» провело работы по исправлению функционала;

- указанный журнальный файл был создан ООО «Экспресс лаб» для отладки функционала «заявка на кредит онлайн», о чем не было известно банку до выявления факта утечки персональных данных;

- создание журнального файла не было прописано в техническом задании и его создание не согласовывалось с банком;

- по завершении работ по исправлению функционала «заявка на кредит онлайн» работник ООО «Экспресс лаб» не удалил свои тестовые процедуры по созданию и ведению журнального файла и не проинформировал банк о данном факте.

Таким образом, в процессе оказания услуг по указанному договору сотрудник ООО «Экспресс лаб» опубликовал журнальный файл, хранящий информацию о персональных данных пользователей, в открытом виде в сети интернет без использования каких-либо систем защиты.

В результате незащищенного доступа к журнальному файлу, установленного работником подрядчика, произошла утечка персональных данных заявителей, отправивших в ООО «Промтрансбанк» заявку на кредит онлайн в электронном виде.

Постановлением о назначении административного наказания должностному лицу по делу об административном правонарушении № 2/54-23, вынесенным Управлением ФСБ по Республике Башкортостан, ФИО3 был привлечен к административной ответственности по ч. 6 ст. 13.12 КоАП РФ.

Постановлением Мирового судьи судебного участка № 10 по Кировскому району г. Уфы Республики Башкортостан от 17.05.2023 по делу № 5-159/2023  ООО «Промтрансбанк» привлечено к административной ответственности по ст. 13.11 КоАП РФ за нарушение ч. 1 ст. 6 Закона № 152-ФЗ, в виде наложения административного штрафа в размере 60 000 руб.

ООО «Промтрансбанк» платежным поручением № 6 от 29.05.2023 оплатило штраф в размере 60 000 руб.

ООО «Промтрансбанк» привело доводы о том, что персональные данные лиц, отправивших в ООО «Промтрансбанк» заявку на кредит онлайн в электронном виде, стали доступны неограниченному кругу лиц в сети интернет вследствие противоправной деятельности директора по техническим вопросам ООО «Экспресс лаб» ФИО3, опубликовавшего журнальный файл, хранящий информацию о персональных данных пользователей, в открытом виде в сети интернет без использования каких-либо систем защиты.

ООО «Промтрансбанк» указано, что в результате названных противоправных действий должностного лица ООО «Экспресс лаб» был причинен ущерб ООО «Промтрансбанк» в размере 60 000 руб.

 Поскольку спор в досудебном порядке урегулировать не удалось, претензия ООО «Промтрансбанк» исх. № 2560 от 29.06.2023 была оставлена ООО «Экспресс лаб» без удовлетворения, ООО «Промтрансбанк», сославшись на вышеуказанные обстоятельства, обратилось в арбитражный с настоящим иском о взыскании с ООО «Экспресс лаб» убытков в размере 60 000 руб.

Удовлетворяя исковые требования, суд первой инстанции исходил из доказанности истцом наличия оснований для возложения на ответчика меры гражданско-правовой ответственности в виде возмещения убытков.

Суд апелляционной инстанции полагает выводы суда первой инстанции верными, оснований для отмены судебного акта по приведенным в апелляционной жалобе доводам не усматривает.

В соответствии с п. 1 ст. 393 Гражданского кодекса Российской Федерации должник обязан возместить кредитору убытки, причиненные неисполнением или ненадлежащим исполнением обязательства.

Согласно п. 2 ст. 393 Гражданского кодекса Российской Федерации убытки определяются в соответствии с правилами, предусмотренными статьей 15 настоящего Кодекса.

Возмещение убытков в полном размере означает, что в результате их возмещения кредитор должен быть поставлен в положение, в котором он находился бы, если бы обязательство было исполнено надлежащим образом.

В силу п. 3 ст. 401 Гражданского кодекса Российской Федерации, если иное не предусмотрено законом или договором, лицо, не исполнившее или ненадлежащим образом исполнившее обязательство при осуществлении предпринимательской деятельности, несет ответственность, если не докажет, что надлежащее исполнение оказалось невозможным вследствие непреодолимой силы, то есть чрезвычайных и непредотвратимых при данных условиях обстоятельств.

В соответствии с п. 1 ст. 15 Гражданского кодекса Российской Федерации лицо, право которого нарушено, может требовать полного возмещения причиненных ему убытков, если законом или договором не предусмотрено возмещение убытков в меньшем размере.

Под убытками понимаются, в том числе, расходы, которые лицо, чье право нарушено, произвело или должно будет произвести для восстановления нарушенного права, утрата или повреждение его имущества (реальный ущерб) (п. 2 ст. 15 Гражданского кодекса Российской Федерации).

Как указано в п. 12 постановления Пленума Верховного Суда Российской Федерации от 23.06.2015 № 25 «О применении судами некоторых положений раздела I части первой Гражданского кодекса Российской Федерации», по делам о возмещении убытков истец обязан доказать, что ответчик является лицом, в результате действий (бездействия) которого возник ущерб, а также факты нарушения обязательства или причинения вреда, наличие убытков.

Отсутствие вины доказывается лицом, нарушившим обязательство (п. 2 ст. 401 Гражданского кодекса Российской Федерации). По общему правилу лицо, причинившее вред, освобождается от возмещения вреда, если докажет, что вред причинен не по его вине (п. 2 ст. 1064 Гражданского кодекса Российской Федерации). Бремя доказывания своей невиновности лежит на лице, нарушившем обязательство или причинившем вред. Вина в нарушении обязательства или в причинении вреда предполагается, пока не доказано обратное.

Как указано в п. 5 постановления Пленума Верховного Суда Российской Федерации от 24.03.2016 № 7 «О применении судами некоторых положений Гражданского кодекса Российской Федерации об ответственности за нарушение обязательств», по смыслу статей 15 и 393 Гражданского кодекса Российской Федерации, кредитор представляет доказательства, подтверждающие наличие у него убытков, а также обосновывающие с разумной степенью достоверности их размер и причинную связь между неисполнением или ненадлежащим исполнением обязательства должником и названными убытками.

При установлении причинной связи между нарушением обязательства и убытками необходимо учитывать, в частности, то, к каким последствиям в обычных условиях гражданского оборота могло привести подобное нарушение. Если возникновение убытков, возмещения которых требует кредитор, является обычным последствием допущенного должником нарушения обязательства, то наличие причинной связи между нарушением и доказанными кредитором убытками предполагается.

Должник, опровергающий доводы кредитора относительно причинной связи между своим поведением и убытками кредитора, не лишен возможности представить доказательства существования иной причины возникновения этих убытков.

Действующее законодательство и практика его применения не исключают возможности взыскания лицом, которое уплатило наложенные на него административные штрафы, соответствующих сумм в качестве убытков с другого лица, если будет доказано, что штраф наложен по причине нарушения контрагентом обязательств по договору.

Представленные в материалы дела доказательства в совокупности и взаимосвязи свидетельствуют о том, что оказанные ООО «Экспресс лаб» для  ООО «Промтрансбанк» по договору № 2697-ВР от 08.02.2021 услуги являлись предметом проведения УФСБ России по Республике Башкортостан оперативно-розыскных мероприятий «Обследование помещений, зданий, сооружений, участков местности и транспортных средств» в помещениях ООО «Промтрансбанк» по проверке информации об обнаружении 20.01.2023 в открытом сегменте в сети Интернет принадлежащего ООО «Промтрансбанк» файла «esia.log», содержащего персональные данные клиентов, полученные из ЕСИА «Госуслуги».

Постановлением УФСБ России по Республике Башкортостан о привлечении должного лица ООО «Экспресс лаб» ФИО3 к административной ответственности по ч. 6 ст. 13.12 Кодекса Российской Федерации об административных правонарушениях установлено, что в рамках оказания услуг по договору № 2697-ВР от 08.02.2021 сотрудник ООО «Экспресс лаб» ФИО3 создал ситуацию, в результате которой без согласования с ООО «Промтрансбанк» создан ошибочный файл «esia.log», содержащий персональные данные клиентов банка, в связи с ненадлежащим исполнением ФИО3 должностных обязанностей допущено нарушение требований нормативных актов в области защиты информации.

Постановлением Мирового судьи судебного участка № 10 по Кировскому району г. Уфы Республики Башкортостан от 17.05.2023 по делу № 5-159/2023  о привлечении ООО «Промтрансбанк» к административной ответственности по ч. 1 ст. 13.11 КоАП РФ Кодекса Российской Федерации об административных правонарушениях установлено, что ООО «Промтрансбанк», являясь оператором персональных данных, не обеспечило их сохранность. Данная ситуация возникла в результате того, что в процессе оказания банку услуг по договору № 2697-ВР от 08.02.2021 сотрудник ООО «Экспресс лаб» опубликовал журнальный файл, хранящий информацию о персональных данных пользователей, в открытом виде в сети Интернет без использования каких-либо систем защиты; в результате незащищенного доступа к журнальному файлу, установленного работником подрядчика, произошла утечка персональных данных заявителей, отправивших в ООО «Промтрансбанк» заявку на кредит онлайн в электронном виде; после обнаружения утечки доступ Банком был заблокирован, приняты меры по внешнему аудиту сайта; в соответствии с заключенным договором ООО «Промтрансбанк» фактически поручило ООО «Экспресс лаб» обработку персональных данных клиентов Банка, в связи с чем Банк несет ответственность перед клиентами за нарушение ООО «Экспресс лаб» порядка и условий обработки их персональных данных; установление вины сотрудника ООО «Экспресс лаб» ФИО3 не является основанием для освобождения ООО «Экспресс лаб» от ответственности как оператора персональных данных. 

Принимая во внимание установленные обстоятельства оказания ООО «Экспресс лаб» обществу ООО «Промтрансбанк» услуг по договору № 2697-ВР от 08.02.2021 ненадлежащим образом, не согласованным с ООО «Промтрансбанк» и не одобренным последним, повлекшим нарушение требований нормативных актов в области защиты информации и обработки персональных данных, что явилось причиной привлечения ООО «Промтрансбанк» к административной ответственности с назначением административного наказания в виде штрафа, оплаченного им, суд первой инстанции пришел к правильному выводу о наличии оснований для привлечения ООО «Экспресс лаб» к гражданско-правовой ответственности в виде возмещения обществу «Промтрансбанк» убытков в размере уплаченного им административного штрафа.

Как верно указано судом первой инстанции, ООО «Экспресс лаб» не опровергло доводы ООО «Промтрансбанк» относительно причинно-следственной связи между неправомерными действиями ООО «Экспресс лаб» и убытками ООО «Промтрансбанк», не представило доказательства существования иной причины возникновения этих убытков; причинение убытков истцу находится в прямой причинно-следственной связи с ненадлежащими действиями ООО «Экспресс лаб» в рамках исполнения обязательств по договору № 2697-ВР от 08.02.2021 и назначением ООО «Промтрансбанк» наказания в виде административного штрафа.

Довод ООО «Экспресс лаб» об отсутствии оснований для возложения на него ответственности ввиду действия пункта 7.11 приложения 2 к договору № 2697-ВР от 08.02.2021, также обоснованно отклонен судом первой инстанции.

Как следует из материалов дела и не опровергнуто ООО «Экспресс лаб», сотрудник ООО «Экспресс лаб» опубликовал журнальный файл, хранящий информацию о персональных данных пользователей, в открытом виде в сети интернет без использования каких-либо систем защиты (неправомерность действий работника подрядчика установлена постановлением о назначении ему административного наказания по делу об административном правонарушении № 2/54-23), что не повлекло потерю данных заказчика, а явилось причиной утечки персональных данных лиц, подавших в банк заявку на получение кредита через Интернет путем заполнения формы заявки, разработанной ответчиком. В данном случае речь идет не о сохранности каких-либо данных или их потере в результате активных противоправных действий сторонних лиц, а о создании работником подрядчика уязвимости на сайте заказчика путем формирования файла «esia.log» без символа «//» с добавлением на сайте заказчика личной почты работника подрядчика «pc@expresslab.ru», при том, что оказание услуг данным способом не было предусмотрено дополнительным соглашением от 19.01.2022 и дополнительным соглашением от 27.09.2022 к договору, в которых регламентировался порядок оказания подрядчиком услуг заказчику по разработке единой формы «Заявка на кредит» для заполнения ее на сайте https://promtransbank.ru/. Действия работника подрядчика по формированию файла «esia.log» без символа «//» с добавлением на сайте заказчика личной почты работника подрядчика «pc@expresslab.ru» были осуществлены и без уведомления заказчика о данном факте, при отсутствии согласия заказчика на данные действия. То есть уязвимость сайта заказчика, повлекшая получение третьими лицами персональных данных лиц, подавших заявку заказчику, произошла в результате осуществления работником подрядчика действий, не предусмотренных договором.

При подписании актов приемки работ заказчику не было известно о том, что сотрудник ООО «Экспресс лаб» опубликовал журнальный файл, хранящий информацию о персональных данных пользователей, в открытом виде в сети интернет без использования каких-либо систем защиты, что явилось причиной утечки персональных данных лиц, подавших в банк заявку на получение кредита через Интернет путем заполнения формы заявки, разработанной ответчиком.

Довод ответчика о недоказанности факта оказания услуг ненадлежащего качества правомерно отклонен судом первой инстанции как противоречащий доказательствам, представленным в подтверждение данного факта. Как следует из материалов дела, на момент приемки работ заказчик не имел сведений о выполнении подрядчиком работ способом, не предусмотренным договором.

Иные доводы ООО «Экспресс лаб» апелляционным судом также отклоняются по вышеизложенным мотивам, учитывая вышеизложенные установленные по делу обстоятельства.

Доводы, изложенные в апелляционной жалобе, не опровергают выводы суда первой инстанции, а лишь выражают несогласие с ними, не подтверждены надлежащими доказательствами, основаны на неверном толковании норм материального права, направлены на переоценку выводов суда первой инстанции, сделанных при правильном применении норм материального права, и не могут быть признаны основанием к отмене или изменению решения суда первой инстанции. Иная оценка подателем жалобы обстоятельств спора не свидетельствует об ошибочности сделанных судом первой инстанции выводов. Каких-либо новых обстоятельств, опровергающих выводы суда, апеллянтом не приведено.

Суд апелляционной инстанции полагает, что выводы суда первой инстанции соответствуют фактическим обстоятельствам дела, представленным доказательствам и основаны на правильном применении норм материального и процессуального права, в связи с чем оснований для отмены обжалуемого судебного акта и удовлетворения апелляционной жалобы не имеется.

Нарушений норм процессуального права, являющихся основанием для отмены судебного акта на основании ч. 4 ст. 270 Арбитражного процессуального кодекса Российской Федерации, судом апелляционной инстанции не установлено.

Руководствуясь статьями 176, 268-271 Арбитражного процессуального кодекса Российской Федерации, арбитражный суд апелляционной инстанции 



ПОСТАНОВИЛ:

решение Арбитражного суда Республики Башкортостан от 14.02.2024 по делу № А07-34409/2023 оставить без изменения, апелляционную жалобу общества с ограниченной ответственностью «Экспресс лаб» – без удовлетворения.

Постановление может быть обжаловано в порядке кассационного производства в Арбитражный суд Уральского округа в течение двух месяцев со дня его принятия (изготовления в полном объеме) через арбитражный суд первой инстанции.



Председательствующий судья                                            М.В. Корсакова


Судьи                                                                                    Е.В. Бояршинова


Н.Г. Плаксина