Решение от 14 февраля 2024 г. по делу № А07-34409/2023

АРБИТРАЖНЫЙ СУД РЕСПУБЛИКИ БАШКОРТОСТАН

ул. Гоголя, 18, г. Уфа, Республика Башкортостан, 450076, http://ufa.arbitr.ru/,

сервис для подачи документов в электронном виде: http://my.arbitr.ru


Именем Российской Федерации



РЕШЕНИЕ

Дело № А07-34409/2023
г. Уфа
14 февраля 2024 года
Резолютивная часть решения объявлена 06.02.2024

Полный текст решения изготовлен 14.02.2024


Арбитражный суд Республики Башкортостан в составе

судьи Кузнецова Д.П.,

при ведении протокола судебного заседания

секретарем судебного заседания ФИО1,

рассмотрев в судебном заседании дело по иску

Промтрансбанк (общество с ограниченной ответственностью) (ИНН <***>, ОГРН <***>)

к обществу с ограниченной ответственностью "Экспресс лаб" (ИНН <***>, ОГРН <***>)

о взыскании 60 000 руб.


при участии в судебном заседании:

От истца – ФИО2 представитель по доверенности № 18 от 16.01.2023 г., представлен диплом рег. номер 32, паспорт;

ФИО3 по доверенности № 53 от 31.01.2024, паспорт.

От ответчика – ФИО4 по доверенности № 10-01-2024 от 10.01.2024, представлено удостоверение адвоката № 2777 от 04.04.2016.

ФИО5 по доверенности № 30/01/2024 от 30.01.2024, представлен приказ № 2 от 01.04.2011.


Промтрансбанк (общество с ограниченной ответственностью) (ИНН <***>, ОГРН <***>) обратился в Арбитражный суд Республики Башкортостан с исковым заявлением к обществу с ограниченной ответственностью "Экспресс лаб" (ИНН <***>, ОГРН <***>) о взыскании убытков в размере 60 000 руб., расходов на оплату государственной пошлины в размере 2 400 руб.

Определением Арбитражного суда Республики Башкортостан от 24.10.2023г. исковое заявление было принято к производству с указанием на рассмотрение дела в порядке упрощенного производства.

От ответчика через канцелярию суда посредством Сервиса подачи документов в электронном виде http://my.arbitr.ru. поступил отзыв на исковое заявление, в котором указано, что ответственность за утечку данных не может быть возложена на ответчика. В соответствии с подписанными в 2022 году актами приемки работ, заказчик не выдвигал никаких претензий к качеству выполненных работ. Это подтверждает, что на момент подписания актов все работы были выполнены в соответствии с договорными обязательствами.

Согласно основному тексту договора 2697-ВР и дополнительным соглашениям к договору 2697-ВР, описывающим услуги по разработке модуля "Заявка на кредит", нигде не упоминается обязанность подрядчика предоставлять услуги по обеспечению защиты данных на сервере заказчика.

В соответствии с пунктом 18 Положения об обработке персональных данных клиентов, опубликованного на официальном сайте банка по адресу https://www.promtransbank.ru/docs/pologenie.doc, ответственность за обеспечение безопасности персональных данных клиентов возлагается непосредственно на банк.

По существу вопроса считаем важным добавить, что отладка работы модуля "Заявка на кредит" осуществлялась на тестовых данных. Доступ к серверу и хранящимся на нем данных в период тестирования имели сотрудники банка, задействованные в работе. В силу своих компетенций и прав они имели полную информацию о правах доступа ко всем файлам на сервере. На момент начала эксплуатации системы с использованием реальных данных именно сотрудники банка отвечали за контроль безопасности хранения данных. Кроме того, ООО «Экспресс лаб» не оказывало и не оказывает услуги технической поддержки сайта на постоянной основе. Работы по сайту заказывались разово по заявкам банка. Саму техническую поддержку сайта (от размещения сайта на сервере до публикации информации на сайте) осуществляет банк самостоятельно, имея для этого штат IT-специалистов и специалистов по безопасности в составе Департамента цифровых технологий Банка ПТБ. Просит суд отклонить исковое заявление как необоснованное.

От истца через канцелярию суда посредством Сервиса подачи документов в электронном виде http://my.arbitr.ru. поступило объяснение, в котором указано, что в результате неправомерных действий директора по техническим вопросам ООО «Экспресс лаб», ФИО5, в процессе оказания услуг по договору 2697 – ВР от 08.02.2021 г., что установлено Постановлением о назначении административного наказания должностному лицу по делу об административном правонарушении №2/54-23, Банк ПТБ (ООО) был привлечен к административной ответственности в виде наложения административного штрафа в размере 60 000 (шестьдесят тысяч) рублей, что явилось основанием для обращения Банк ПТБ (ООО) с иском к ООО «Экспресс лаб» о возмещении убытков.

Сотрудник ООО «Экспресс лаб» опубликовал журнальный файл, хранящий информацию о персональных данных пользователей, в открытом виде в сети интернет без использования каких – либо систем защиты (неправомерность действий работника подрядчика отражена в Постановлении о назначении административного наказания должностному лицу подрядчика по делу об административном правонарушении №2/54- 23), что не повлекло потерю данных заказчика, а явилось причиной утечки персональных данных лиц, подавших в банк заявку на получение кредита через интернет путем заполнения формы заявки, разработанной ответчиком. В данном случае речь идет не о сохранности каких либо данных или их потере в результате активных противоправных действий сторонних лиц, а о создании работником подрядчика уязвимости на сайте заказчика путем формирования файла «esia.log» без символа «//» с добавлением на сайте заказчика личной почты работника подрядчика «pc@expresslab.ru», при том, что оказание услуг данным способом не было предусмотрено дополнительным соглашением от 19.01.2022 г. и дополнительным соглашением от 27.09.2022 г., в которых регламентировался порядок оказания подрядчиком услуг заказчику по разработке единой формы «Заявка на кредит» для заполнения ее на сайте https://promtransbank.ru/. Действия работника подрядчика по формированию файла «esia.log» без символа «//» с добавлением на сайте заказчика личной почты работника подрядчика «pc@expresslab.ru» были осуществлены и без уведомления заказчика о данном факте, при отсутствии согласия заказчика на данные действия. То есть уязвимость сайта заказчика, повлекшая получение третьими лицами персональных данных лиц, подавших заявку заказчику, произошла в результате осуществления работником подрядчика действий не предусмотренных договором, а сохранность (безопасность хранения) данных на сервере, где размещен сайт заказчика, к вышеизложенным обстоятельствам, являющимся основанием иска, не имеет никакого значения, как указано в письме Минцифры России от 23.01.2023 г. исх. № ОКП13-111-3797 утечка данных произошла не в результате высокопрофессиональной хакерской атаки.

При подписании актов приемки работ заказчику не было известно о том, что сотрудник ООО «Экспресс лаб» опубликовал журнальный файл, хранящий информацию о персональных данных пользователей, в открытом виде в сети интернет без использования каких – либо систем защиты, что явилось причиной утечки персональных данных лиц, подавших в банк заявку на получение кредита через интернет путем заполнения формы заявки, разработанной ответчиком.

То есть на момент приемки работ заказчик не имел сведений о выполнении подрядчиком работ способом, не предусмотренным договором.

В ходе рассмотрения дела в порядке упрощенного производства суд пришел к выводу о том, что имеются основания для рассмотрения дела по общим правилам искового производства, предусмотренное ч. 5 ст. 227 Арбитражного процессуального кодекса Российской Федерации, на основании чего, суд перешел к рассмотрению дела по общим правилам искового производства, о чем вынес определение от 15.12.2023г.

От истца через канцелярию суда посредством Сервиса подачи документов в электронном виде http://my.arbitr.ru. поступили объяснения.

Представитель истца в судебном заседании поддержал исковые требования, просил удовлетворить.

Представитель ответчика в судебном заседании поддержал позицию, изложенную в отзыве на исковое заявление.

Представитель ответчика заявил устное ходатайство о привлечении к участию в деле в качестве третьего лица – Управления ФСБ по Республике Башкортостан.

Истец изложил свою позицию по ходатайству.

Исходя из положений статьи 51 Арбитражного процессуального кодекса Российской Федерации привлечение к участию в деле третьего лица осуществляется арбитражным судом по ходатайству стороны спора, по инициативе суда либо на основании заявления третьего лица о вступлении в дело. О вступлении в дело третьего лица либо о привлечении третьего лица к участию в деле или об отказе в этом арбитражным судом выносится определение.

В соответствии с частью 1 статьи 51 Арбитражного процессуального кодекса Российской Федерации третьи лица, не заявляющие самостоятельных требований относительно предмета спора, могут вступить в дело на стороне истца или ответчика до принятия судебного акта, которым заканчивается рассмотрение дела в первой инстанции арбитражного суда, если этот судебный акт может повлиять на их права или обязанности по отношению к одной из сторон. Они могут быть привлечены к участию в деле также по ходатайству стороны или по инициативе суда.

Исходя из смысла и содержания части 1 статьи 51 Арбитражного процессуального кодекса Российской Федерации, основанием для вступления в процесс третьего лица, не заявляющего самостоятельных требований относительно предмета спора, является правовая ситуация, при которой судебный акт по рассматриваемому делу может повлиять на его права или обязанности по отношению к одной из сторон. Иными словами, у данного лица имеются материально-правовые отношения со стороной по делу, на которые может повлиять судебный акт по рассматриваемому делу в будущем (предъявление регрессного иска и т.п.).

Суд не находит правовых оснований для привлечения к участию в деле третьего лица, поскольку доказательств, что судебный акт будет влиять и затрагивать права и законные интересы указанного лица не представлено.

Представитель ответчика заявил устное ходатайство об истребовании дополнительных доказательств.

В судебном заседании рассмотрено в порядке статьи 66 АПК РФ и отклонено как необоснованное ходатайство ответчика об истребовании материалов проверки у Управления ФСБ по Республике Башкортостан.

Рассмотрев материалы дела, выслушав сторон, арбитражный суд

УСТАНОВИЛ:

Как следует из материалов дела, в соответствии с договором 2697 – ВР от 08.02.2021 г., заключённого между Банк ПТБ (ООО) (заказчик) и ООО «Экспресс лаб» (подрядчик), согласно условий, изложенных в дополнительном соглашении от 19.01.2022 г. и в дополнительном соглашении от 27.09.2022 г., подрядчик оказал заказчику услуги по разработке единой формы «Заявка на кредит» для заполнения ее на сайте https://promtransbank.ru/.

Работы по дополнительному соглашению от 19.01.2022 г. приняты по акту № 237 от 02.06.2022 г. и оплачены платежными поручениями: № 4 от 19.01.2022 г.; № 4 от 07.06.2022 г.; а по дополнительному соглашению от 27.09.2022 г. приняты по акту № 452 от 24.11.2022 г. и оплачены платёжными поручениями: № 2 от 03.10.2022 г.; № 01 от 28.11.2022 г.

20.01.2023 г. ФСБ России провело обследование помещение Банк ПТБ (ООО) в связи с утечкой персональных данных с сайта банка.

В письме Минцифры России от 23.01.2023 г. исх. № ОК-П13-111-3797 Банк ПТБ (ООО) был извещен об утечке персональных данных пользователей РФ с информационных ресурсов банка и информирован о необходимости предоставить, в том числе, детальный отчет о причинах, приведших к возникновению данной утечки, и мерах, принятых для противодействия инциденту.

Банк ПТБ (ООО) письмом от 27.01.2023 г. исх. № 346 ответило на письмо Минцифры России, указав, в том числе причины, приведшие к возникновению утечки персональных данных:

- работы по созданию сайта и дальнейшей доработки функционала «заявка на кредит онлайн» на сайте осуществлялись по договору с ООО «Экспресс лаб»;

- сервис был протестирован банком в конце октября 2022 г. и по выявленным замечаниям ООО «Экспресс Лаб» провел работы по исправлению функционала;

- указанный журнальный файл был создан ООО «Экспресс лаб» для отладки функционала «заявка на кредит онлайн», о чем не было известно банку до выявления факта утечки персональных данных;

- создание журнального файла не было прописано в техническом задании и его создание не согласовывалось с банком;

- по завершению работ по исправлению функционала «заявка на кредит онлайн» работник ООО «Экспресс лаб» не удалил свои тестовые процедуры по созданию и ведению журнального файла и не проинформировал банк о данном факте.

Таким образом, в процессе оказания услуг по указанному договору сотрудник ООО «Экспресс лаб» опубликовал журнальный файл, хранящий информацию о персональных данных пользователей, в открытом виде в сети интернет без использования каких – либо систем защиты.

В результате не защищенного доступа к журнальному файлу, установленного работником подрядчика, произошла утечка персональных данных заявителей, отправивших в Банк ПТБ (ООО) заявку на кредит онлайн в электронном виде.

Постановлением о назначении административного наказания должностному лицу по делу об административном правонарушении №2/54-23, вынесенным Управлением ФСБ по Республике Башкортостан, ФИО5 был привлечен к административной ответственности по ч. 6 ст. 13.12 КоАП РФ.

Постановлением Мирового судьи судебного участка № 10 по Кировскому району г. Уфы Республики Башкортостан по делу № 5-159/2023 от 17.05.2023 г. Банк ПТБ (ООО) привлечен к административной ответственности по ст. 13.11 КоАП РФ за нарушение ч.1 ст. 6 Закона N 152-ФЗ, в виде наложения административного штрафа в размере 60 000 (шестьдесят тысяч) рублей.

Банк ПТБ (ООО) платежным поручением № 6 от 29.05.2023 г. оплатил штраф в размере 60 000 рублей.

Персональные данные лиц, отправивших в Банк ПТБ (ООО) заявку на кредит онлайн в электронном виде, стали доступны неограниченному кругу лиц в сети интернет вследствие противоправной деятельности директора по техническим вопросам ООО «Экспресс лаб», ФИО5, опубликовавшего журнальный файл, хранящий информацию о персональных данных пользователей, в открытом виде в сети интернет без использования каких–либо систем защиты.

В результате указанных противоправных действий должностного лица ООО «Экспресс лаб» был причинён ущерб Банк ПТБ (ООО) в размере 60 000 рублей.

Поскольку спор в досудебном порядке урегулировать не удалось, претензия истца исх. № 2560 от 29.06.2023г. была оставлена ответчиком без удовлетворения, истец обратился с настоящим иском в суд.

Оценив все представленные доказательства в отдельности, относимость, допустимость и их достоверность, а также достаточность и взаимную связь доказательств в их совокупности по своему внутреннему убеждению, основанному на всестороннем, полном, объективном и непосредственном исследовании имеющихся в деле доказательств в порядке ст. 71 Арбитражного процессуального кодекса Российской Федерации, суд считает исковые требования подлежащими удовлетворению в полном объеме на основании следующего.

В силу статей 64, 71, 168 Арбитражного процессуального кодекса Российской Федерации арбитражный суд устанавливает наличие или отсутствие обстоятельств, обосновывающих требования и возражения лиц, участвующих в деле, какие законы и иные нормативные правовые акты следует применить по данному делу, а также иные обстоятельства, имеющие значение для правильного рассмотрения дела, на основании представленных доказательств.

В соответствии со статьей 8 Арбитражного процессуального кодекса Российской Федерации судопроизводство в арбитражном суде осуществляется на основе равноправия сторон. Стороны пользуются равными правами на заявление отводов и ходатайств, представление доказательств, участие в их исследовании, выступление в судебных прениях, представление арбитражному суду своих доводов и объяснений, осуществление иных процессуальных прав и обязанностей, предусмотренных названным кодексом.

В силу статей 9, 65 Арбитражного процессуального кодекса Российской Федерации суд на основе принципа состязательности с учетом представленных сторонами доказательств устанавливает значимые для дела обстоятельства. При этом каждая из сторон несёт риск процессуальных последствий непредоставления доказательств.

В соответствии со ст. 8 Гражданского кодекса Российской Федерации гражданские права и обязанности возникают из оснований, предусмотренных законом и иными правовыми актами, а также из действий граждан и юридических лиц, которые хотя и не предусмотрены законом или такими актами, но в силу общих начал и смысла гражданского законодательства порождают гражданские права и обязанности. В соответствии с этим гражданские права и обязанности возникают, в том числе из договоров и иных сделок, предусмотренных законом, а также из договоров и иных сделок, хотя и не предусмотренных законом, но не противоречащих ему.

В силу обязательства одно лицо (должник) обязано совершить в пользу другого лица (кредитора) определённое действие, как-то: передать имущество, выполнить работу, уплатить деньги и т.п., либо воздержаться от определённого действия, а кредитор имеет право требовать от должника исполнения его обязанности (ст. 307 Гражданского кодекса Российской Федерации).

Статья 12 Гражданского кодекса Российской Федерации предусматривает одним из способов защиты гражданских прав право требования возмещения убытков.

Согласно статье 15 Гражданского кодекса Российской Федерации лицо, право которого нарушено, может требовать полного возмещения причиненных ему убытков, если законом или договором не предусмотрено возмещение убытков в меньшем размере.

Под убытками понимаются расходы, которые лицо, чье право нарушено, произвело или должно будет произвести для восстановления нарушенного права, утрата или повреждение его имущества (реальный ущерб), а также неполученные доходы, которые это лицо получило бы при обычных условиях гражданского оборота, если бы его право не было нарушено (упущенная выгода).

Условием привлечения лица к гражданско-правовой ответственности в виде возложения обязанности возмещения убытков является наличие состава (совокупности условий) гражданского правонарушения, включающего: вину причинителя вреда (в необходимых случаях); неправомерность или виновность действий (бездействия); наличие убытков (в определенном размере); причинную связь между неправомерными действиями и наступившими последствиями. При этом для взыскания убытков необходимо доказать весь указанный фактический состав.

В случае если истцом заявлены убытки, связанные с ненадлежащим исполнением договора, необходимо установить, какие обязательства имелись у ответчика по данному договору, имело ли место их ненадлежащее исполнение, имеется ли причинно-следственная связь между неисполнением обязательств ответчиком и убытками истца.

В силу статьи 779 Гражданского кодекса Российской Федерации по договору возмездного оказания услуг исполнитель обязуется по заданию заказчика оказать услуги (совершить определенные действия или осуществить определенную деятельность), а заказчик обязуется оплатить эти услуги.

Согласно статье 781 Гражданского кодекса Российской Федерации, заказчик обязан оплатить оказанные ему услуги в сроки и в порядке, которые указаны в договоре возмездного оказания услуг. В случае невозможности исполнения, возникшей по вине заказчика, услуги подлежат оплате в полном объеме, если иное не предусмотрено законом или договором возмездного оказания услуг.

Заказчик вправе отказаться от исполнения договора возмездного оказания услуг при условии оплаты исполнителю фактически понесенных им расходов. Исполнитель вправе отказаться от исполнения обязательств по договору возмездного оказания услуг лишь при условии полного возмещения заказчику убытков (статья 782 Гражданского кодекса Российской Федерации).

В соответствии с пунктом 2 статьи 763 и пунктом 1 статьи 721 ГК РФ качество выполненной подрядчиком работы должно соответствовать условиям договора подряда, а при отсутствии или неполноте условий договора требованиям, обычно предъявляемым к работам соответствующего рода.

В соответствии со статьями 309, 310 Гражданского кодекса Российской Федерации обязательства должны исполняться надлежащим образом в соответствии с условиями обязательства и требованиями закона, иных правовых актов, а при отсутствии таких условий и требований - в соответствии с обычаями или иными обычно предъявляемыми требованиями. Односторонний отказ от исполнения обязательства и одностороннее изменение его условий не допускаются, за исключением случаев, предусмотренных настоящим Кодексом, другими законами или иными правовыми актами.

Как указывалось ранее, ООО «Экспресс лаб» является исполнителем договора 2697 – ВР от 08.02.2021 г., которое оказывало услуги по разработке сайта (разработка компьютерного программного обеспечения) для Банк ПТБ (ООО), указанные в заключенном между сторонами договоре, о чем в двустороннем порядке подписаны соответствующие акты.

Гражданские права и обязанности возникают из оснований, предусмотренных законом и иными правовыми актами, в том числе из сделок, под которыми статьей 153 ГК РФ признаются действия граждан и юридических лиц, направленные на установление, изменение или прекращение гражданских прав и обязанностей (пункт 1 статьи 8 ГК РФ).

В силу пункта 1 статьи 393 ГК РФ должник обязан возместить кредитору убытки, причиненные неисполнением или ненадлежащим исполнением обязательства.

Пунктом 2 статьи 393 ГК РФ предусмотрено, что убытки определяются в соответствии с правилами, предусмотренными статьей 15 настоящего Кодекса.

Возмещение убытков в полном размере означает, что в результате их возмещения кредитор должен быть поставлен в положение, в котором он находился бы, если бы обязательство было исполнено надлежащим образом.

Согласно разъяснениям, данным в пункте 1 постановления Пленума Верховного Суда Российской Федерации от 24.03.2016 N 7 "О применении судами некоторых положений Гражданского кодекса Российской Федерации об ответственности за нарушение обязательств" (далее - Постановление N 7), должник обязан возместить кредитору убытки, причиненные неисполнением или ненадлежащим исполнением обязательства (пункт 1 статьи 393 ГК РФ). Если иное не предусмотрено законом или договором, убытки подлежат возмещению в полном размере: в результате их возмещения кредитор должен быть поставлен в положение, в котором он находился бы, если бы обязательство было исполнено надлежащим образом (статья 15, пункт 2 статьи 393 ГК РФ).

Как следует из пункта 12 постановления Пленума Верховного Суда Российской Федерации от 23.06.2015 N 25 "О применении судами некоторых положений раздела I части первой Гражданского кодекса Российской Федерации", по делам о возмещении убытков истец обязан доказать, что ответчик является лицом, в результате действий (бездействия) которого возник ущерб, а также факты нарушения обязательства или причинения вреда, наличие убытков (пункт 2 статьи 15 ГК РФ). Размер подлежащих возмещению убытков должен быть установлен с разумной степенью достоверности.

Согласно пункту 5 Постановления N 7 по смыслу статей 15 и 393 ГК РФ, кредитор представляет доказательства, подтверждающие наличие у него убытков, а также обосновывающие с разумной степенью достоверности их размер и причинную связь между неисполнением или ненадлежащим исполнением обязательства должником и названными убытками. Должник вправе предъявить возражения относительно размера причиненных кредитору убытков, и представить доказательства, что кредитор мог уменьшить такие убытки, но не принял для этого разумных мер (статья 404 ГК РФ).

Должник, опровергающий доводы кредитора относительно причинной связи между своим поведением и убытками кредитора, не лишен возможности представить доказательства существования иной причины возникновения этих убытков.

Вина должника в нарушении обязательства предполагается, пока не доказано обратное. Отсутствие вины в неисполнении или ненадлежащем исполнении обязательства доказывается должником (пункт 2 статьи 401 ГК РФ).

Если должник несет ответственность за нарушение обязательства или за причинение вреда независимо от вины, то на него возлагается бремя доказывания обстоятельств, являющихся основанием для освобождения от такой ответственности, например, обстоятельств непреодолимой силы (пункт 3 статьи 401 ГК РФ).

На применение норм гражданского законодательства при рассмотрении требования о возмещении материального вреда, причиненного незаконным привлечением к административной ответственности, указано в пункте 27 постановления Пленума Верховного Суда Российской Федерации от 24.03.2005 N 5 "О некоторых вопросах, возникающих у судов при применении Кодекса Российской Федерации об административных правонарушениях".

Согласно разъяснениям, содержащимся в пункте 3 постановления Пленума Верховного Суда Российской Федерации и Пленума Высшего Арбитражного Суда Российской Федерации от 29.04.2010 N 10/22 "О некоторых вопросах, возникающих в судебной практике при разрешении споров, связанных с защитой права собственности и других вещных прав", в случае ненадлежащего формулирования истцом способа защиты при очевидности преследуемого им материально-правового интереса суд обязан сам определить, из какого правоотношения спор возник и какие нормы подлежат применению.

Аналогичные разъяснения даны в пункте 9 постановления Пленума Верховного Суда Российской Федерации от 23.06.2015 N 25 "О применении судами некоторых положений раздела 1 части первой Гражданского кодекса Российской Федерации" и определении Верховного Суда Российской Федерации от 19.11.2015 N 305-ЭС15-8490.

В соответствии с правовым подходом, указанным в определении Верховного Суда Российской Федерации от 19.11.2015 N 305-ЭС15-8490 по делу N А40-97280/2014, денежные средства, уплаченные юридическим лицом в качестве штрафа, относятся к убыткам в форме реального ущерба.

Исследовав и оценив по правилам статьи 71 АПК РФ представленные в материалы дела доказательства в совокупности и взаимосвязи с учетом условий договора, учитывая, что ответчик факт оказания услуг не отрицал, суд установил, что оказанные услуги в рамках договора 2697 – ВР от 08.02.2021 г. явились предметом проведения ФСБ России оперативно-розыскных мероприятий «Обследование помещений, зданий, сооружений, участков местности и транспортных средств», проведенной в отношении истца, по результатам которой выявлен факт осуществления выгрузки персональных данных клиентов банка посредством сети интернет.

В письме Минцифры России от 23.01.2023 г. исх. № ОК-П13-111-3797 Банк ПТБ (ООО) был извещен об утечке персональных данных пользователей РФ с информационных ресурсов банка и информирован о необходимости предоставить, в том числе, детальный отчет о причинах, приведших к возникновению данной утечки, и мерах, принятых для противодействия инциденту.

Банк ПТБ (ООО) письмом от 27.01.2023 г. исх. № 346 ответило на письмо Минцифры России, указав, в том числе причины, приведшие к возникновению утечки персональных данных:

- работы по созданию сайта и дальнейшей доработки функционала «заявка на кредит онлайн» на сайте осуществлялись по договору с ООО «Экспресс лаб»;

- сервис был протестирован банком в конце октября 2022 г. и по выявленным замечаниям ООО «Экспресс Лаб» провел работы по исправлению функционала;

- указанный журнальный файл был создан ООО «Экспресс лаб» для отладки функционала «заявка на кредит онлайн», о чем не было известно банку до выявления факта утечки персональных данных;

- создание журнального файла не было прописано в техническом задании и его создание не согласовывалось с банком;

- по завершению работ по исправлению функционала «заявка на кредит онлайн» работник ООО «Экспресс лаб» не удалил свои тестовые процедуры по созданию и ведению журнального файла и не проинформировал банк о данном факте.

Таким образом, в процессе оказания услуг по указанному договору сотрудник ООО «Экспресс лаб» опубликовал журнальный файл, хранящий информацию о персональных данных пользователей, в открытом виде в сети интернет без использования каких – либо систем защиты.

В результате не защищенного доступа к журнальному файлу, установленного работником подрядчика, произошла утечка персональных данных заявителей, отправивших в Банк ПТБ (ООО) заявку на кредит онлайн в электронном виде.

Постановлением о назначении административного наказания должностному лицу по делу об административном правонарушении №2/54-23, вынесенным Управлением ФСБ по Республике Башкортостан, ФИО5 был привлечен к административной ответственности по ч. 6 ст. 13.12 КоАП РФ.

Постановлением Мирового судьи судебного участка № 10 по Кировскому району г. Уфы Республики Башкортостан по делу № 5-159/2023 от 17.05.2023 г. Банк ПТБ (ООО) привлечен к административной ответственности по ст. 13.11 КоАП РФ за нарушение ч.1 ст. 6 Закона N 152-ФЗ, в виде наложения административного штрафа в размере 60 000 (шестьдесят тысяч) рублей.

Банк ПТБ (ООО) платежным поручением № 6 от 29.05.2023 г. оплатил штраф в размере 60 000 рублей.

Принимая во внимание установленные обстоятельства оказания услуг ненадлежащего качества, которые явились причиной назначения истцу административного наказания в виде штрафа, оплаченного им, суд приходит к выводу о наличии оснований для возложения на ответчика меры гражданско-правовой ответственности в виде возмещения истцу убытков.

Общество не опровергло доводы предпринимателя относительно причинной связи между своим поведением и убытками последнего, не представило доказательства существования иной причины возникновения этих убытков (статья 9, 65 АПК РФ).

Причинение убытков истцу находится в прямой причинной связи с нарушением обществом обязательств по договору и назначения истцу административного штрафа.

Исследовав и оценив материалы дела в их совокупности и взаимной связи с учетом положений статьи 71 Арбитражного процессуального кодекса Российской Федерации (далее - АПК РФ), приняв во внимание условия договора № 2697 – ВР от 08.02.2021 г., суд пришел к выводу о доказанности Промтрансбанк (общество с ограниченной ответственностью) наличия условий, необходимых для взыскания суммы убытков, а также факта ненадлежащего исполнения обществом с ограниченной ответственностью "Экспресс лаб" (ИНН <***>, ОГРН <***>) обязательств по договору, в связи с чем исковые требования подлежат удовлетворению.

Утверждение ответчика о недоказанности факта оказания услуг ненадлежащего качества не соответствует материалам дела, исследованным судом, и доказательствам, представленным в подтверждение данного факта.

Довод ответчика о том, что он не несет ответственности за утечку персональных данных лиц, подавших в банк заявку на получение кредита через интернет путем заполнения формы заявки, разработанной ответчиком, поскольку п. 7.11 договора 2697 – ВР от 08.02.2021 г. предусмотрено, что подрядчик не несет ответственности за временную неработоспособность сайта, потерю данных заказчика, упущенную выгоду заказчика, подлежит отклонению.

При подписании актов приемки работ заказчику не было известно о том, что сотрудник ООО «Экспресс лаб» опубликовал журнальный файл, хранящий информацию о персональных данных пользователей, в открытом виде в сети интернет без использования каких – либо систем защиты, что явилось причиной утечки персональных данных лиц, подавших в банк заявку на получение кредита через интернет путем заполнения формы заявки, разработанной ответчиком. То есть на момент приемки работ заказчик не имел сведений о выполнении подрядчиком работ способом, не предусмотренным договором.

В соответствии с пунктом 4 статьи 748 ГК РФ подрядчик, ненадлежащим образом выполнивший работы, не вправе ссылаться на то, что заказчик не осуществлял контроль и надзор за их выполнением, кроме случаев, когда обязанность осуществлять такой контроль и надзор возложена на заказчика законом.

В соответствии со ст. 110 Арбитражного процессуального кодекса Российской Федерации расходы по государственной пошлине возлагаются на ответчика в размере, установленном ст. 333.21 Налогового кодекса Российской Федерации.

Руководствуясь статьями 110, 167-171 Арбитражного процессуального кодекса Российской Федерации, суд

РЕШИЛ:

Исковые требования Промтрансбанк (общество с ограниченной ответственностью) удовлетворить.

Взыскать с общества с ограниченной ответственностью "Экспресс лаб" (ИНН <***>, ОГРН <***>) в пользу Промтрансбанк (общество с ограниченной ответственностью) (ИНН <***>, ОГРН <***>) сумму убытков в размере 60 000 руб., расходы по оплате государственной пошлины в размере 2 400 руб.

Исполнительный лист выдать после вступления решения в законную силу по ходатайству взыскателя.

Решение может быть обжаловано в Восемнадцатый арбитражный апелляционный суд в течение месяца со дня принятия решения (изготовления его в полном объеме) через Арбитражный суд Республики Башкортостан.

Информацию о времени, месте и результатах рассмотрения апелляционной жалобы можно получить на Интернет-сайте Восемнадцатого арбитражного апелляционного суда www.18aas.arbitr.ru.


Судья Д.П. Кузнецов