Постановление от 25 июня 2025 г. по делу № 05-0967/273/2025

Дело №05-0967/273/2025

77MS0273-01-2025-002221-55


ПОСТАНОВЛЕНИЕ

по делу об административном правонарушении

Резолютивная часть постановления оглашена 26 июня 2025года

Мотивированное постановление изготовлено 26 июня 2025 года

дата город Москва

Мировой судья судебного участка №273 района Лефортово г. Москвы Иванов Д.В., рассмотрел материалы дела об административном правонарушении в отношении юридического лица – ООО «КРЕДИТНЫЕ СИСТЕМЫ», адрес регистрации: ..., сведений о привлечении ранее к административной ответственности за совершение однородных правонарушений в материалах дела не имеется,

привлекаемого к административной ответственности по ч. 1 ст. 13.11 Кодекса РФ об административных правонарушениях,

УСТАНОВИЛ:

Обстоятельств, исключающих производство по делу об административном правонарушении, по делу не установлено. Отводов не заявлено.

Согласно протоколу об административном правонарушении № ... № дата ООО «КРЕДИТНЫЕ СИСТЕМЫ» дата в .... по адресу месте нахождения: ... совершило административное правонарушение, предусмотренное ч. 1 ст. 13.11 Кодекса РФ об административных правонарушениях.

Так, Управлением Роскомнадзора по ЦФО на основании пункта 3 Положения об Управлении Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Центральному федеральному округу, утвержденного приказом Роскомнадзора от дата № 38, в ходе мониторинга сети Интернет выявлен факт распространения базы данных, содержащей персональные данные клиентов ООО «КРЕДИТНЫЕ СИСТЕМЫ». В результате анализа фрагмента базы данных установлено, что указанная база данных содержит следующие персональные данные: фамилия, имя, отчество, паспортные данные.

В Роскомнадзор во исполнение требований ч. 3.1 ст. 21 Федерального закона от дата N 152-ФЗ «О персональных данных» поступили уведомления ООО «КРЕДИТНЫЕ СИСТЕМЫ» о факте неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов персональных данных (далее – Уведомления о факте неправомерной или случайной передачи персональных данных). Согласно уведомлениям ООО «КРЕДИТНЫЕ СИСТЕМЫ» о факте неправомерной или случайной передачи персональных данных от дата № ... и дата № ... причиной, повлекшей нарушение прав субъектов персональных данных клиентов ООО «КРЕДИТНЫЕ СИСТЕМЫ», является утечка персональных данных со стороны партнера / контрагента. Согласно представленной ООО «КРЕДИТНЫЕ СИСТЕМЫ» информации датой выявления инцидента является дата. Таким образом, ООО «КРЕДИТНЫЕ СИСТЕМЫ» подтвержден факт неправомерного доступа к базе данных, содержащей персональные данные из информационной системы ООО «КРЕДИТНЫЕ СИСТЕМЫ».

По смыслу п. 1 ст. 3 Федерального закона от дата N 152-ФЗ «О персональных данных» ООО «КРЕДИТНЫЕ СИСТЕМЫ» является оператором, осуществляющим обработку персональных данных, на деятельность которого распространяются требования Федерального закона от дата N 152-ФЗ «О персональных данных» в полном объеме.

Согласно п. 3 ст. 3 Федерального закона от дата N 152-ФЗ «О персональных данных» обработкой персональных данных является любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

Случаи, при которых допускается обработка персональных данных субъекта, закреплены ст. 6 Федерального закона от дата N 152-ФЗ «О персональных данных». Обработка персональных данных на основании пункта 1 допускается с согласия субъекта персональных данных, а также при наличии иных оснований, установленных пунктами 2-11 ч. 1 ст. 6 Федерального закона от дата N 152-ФЗ «О персональных данных».

Более того, оператор обязан обеспечить конфиденциальность персональных данных.

Согласно положениям ст. 7 Федерального закона от дата N 152-ФЗ «О персональных данных» операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено Федеральным законом.

Особенности обработки персональных данных, разрешенных субъектом персональных данных для распространения, установлены статьей 10.1 Федерального закона от дата N 152-ФЗ «О персональных данных».

Так, исключительным основанием обработки персональных данных, разрешенных субъектом персональных данных для распространения, является согласие субъекта персональных данных, которое оформляется отдельно от иных согласий. Требования к содержанию указанного согласия установлены Приказом Роскомнадзора от дата № 18 «Об утверждении требований к содержанию согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения».

В действиях ООО «КРЕДИТНЫЕ СИСТЕМЫ» выявлено нарушение требований части 1 статьи 6, статьи 7 и статьи 10.1 Закона «О персональных данных» в части предоставления неправомерного доступа к базе данных ООО «КРЕДИТНЫЕ СИСТЕМЫ», содержащей персональные данные из базы данных ООО «КРЕДИТНЫЕ СИСТЕМЫ», повлекшего за собой распространение персональных данных неограниченному кругу лиц. Действия ООО «КРЕДИТНЫЕ СИСТЕМЫ» в указанном случае не содержат в себе признаков уголовно наказуемого деяния, а также не содержат в себе состав административного правонарушения по ст. 17.13 Кодекса РФ об административных правонарушениях.

Принимая во внимание, что ООО «КРЕДИТНЫЕ СИСТЕМЫ» подтвержден факт неправомерного доступа к базе данных, содержащей персональные данные субъектов ООО «КРЕДИТНЫЕ СИСТЕМЫ», в действиях ООО «КРЕДИТНЫЕ СИСТЕМЫ» усматривается состав административного правонарушения, предусмотренного ч. 1 ст. 13.11 Кодекса РФ об административных правонарушениях.

В судебное заседание явился защитник ООО «КРЕДИТНЫЕ СИСТЕМЫ» по доверенности - ФИО1., вину в совершении вменяемого правонарушения не признал, поддержал доводы, изложенные в письменных объяснениях, пояснил, что утечка базы данных произошла в ООО «ИКС ВАЙ ЗЕТ НЕТВОРК», в договоре с ООО «ИКС ВАЙ ЗЕТ НЕТВОРК» указано, что договор заключен для использования программного обеспечения, то есть он является пользователем, и используется для совершения действий именно партнером. Партнер заблокирован, ООО «КРЕДИТНЫЕ СИСТЕМЫ» с ним больше не работают. Считает, что данная позиция административного органа полностью освобождает от ответственности всех партнеров. На сайте имеется информация, что обработка персональных данных может поручаться 3-му лицу, однако в материалах дела не имеется сведений о том, что с ООО «ИКС ВАЙ ЗЕТ НЕТВОРК» был заключен договор для обработки персональных данных, данный факт не был установлен. Представил в суд письменные дополнительные объяснения по делу с приложениями.

В судебное заседание явился защитник ООО «КРЕДИТНЫЕ СИСТЕМЫ» по доверенности – ФИО2, вину в совершении вменяемого правонарушения не признал.

В судебном заседании был допрошен в качестве свидетеля ведущий специалист-эксперт Управления Роскомнадзора по ЦФО ФИО3, который показал, что доводы защиты привлекаемого лица неправомерны, так как указывается на тот факт, что утечка произошла у контрагента ООО «КРЕДИТНЫЕ СИСТЕМЫ», Данная компания держит платформу в сети Интернет, к которой на платной основе подключаются различные финансовые организации, они подключаются к программному обеспечению, принадлежащему ООО «КРЕДИТНЫЕ СИСТЕМЫ» на основе партнерских, договорных отношений, возможно каких-то иных, это не оговаривается ООО «КРЕДИТНЫЕ СИСТЕМЫ». Факт того, что на платформе программного обеспечения «POSCREDIT», которая является интернет-сервисов для предоставления услуг работает большое колличество платных клиентов, на сегодняшний день у них более 100 тысяч торгово-сервисных предприятий, которые работают на данной платформе. У контрагента ООО «КРЕДИТНЫЕ СИСТЕМЫ» - ООО «ИКС ВАЙ ЗЕТ НЕТВОРК» произошла не утечка, а кража персональных данных, было установлено, что сотрудник ООО «ИКС ВАЙ ЗЕТ НЕТВОРК» получил сведения по всем заявкам и скопировал конфиденциальные сведения для дальнейшего распространения в своих целях, со стороны контрагента была кража, со стороны ООО «КРЕДИТНЫЕ СИСТЕМЫ» это была утечка данных, которая и составляет состав правонарушения по ч.1 ст. 13.11 Кодекса РФ об административных правонарушениях, в опубликованном положении ООО «КРЕДИТНЫЕ СИСТЕМЫ» оператор вправе поручить обработку персональных данных другому лицу, осуществляется на основании договора между оператором и третьим лицом, это говорит о том, что ООО «ИКС ВАЙ ЗЕТ НЕТВОРК» работали как третье лицо, которому поручил оператор обработку персональных данных. Ответственность за действия данного лица несет оператор. Соответственно ответственность за утечку лежит на ООО «КРЕДИТНЫЕ СИСТЕМЫ». Согласие на обработку персональных данных получают ООО «КРЕДИТНЫЕ СИСТЕМЫ», субъекты персональных данных дают согласие на обработку персональных данных ООО «КРЕДИТНЫЕ СИСТЕМЫ». В письменных объяснениях к протоколу указано, что информацию об утечке данных была получена от ООО «ИКС ВАЙ ЗЕТ НЕТВОРК», которые использовали платформу программного обеспечения «POSCREDIT» на основании лицензионного соглашения. Базу данных они формируют своими средствами, но ресурсами ООО «КРЕДИТНЫЕ СИСТЕМЫ». Представил в суд письменные объяснения Управления Роскомнадзора по ЦФО от дата.

Согласно ст. 2.1 ч. 1 Кодекса РФ об административных правонарушениях административным правонарушением признается противоправное, виновное действие (бездействие) физического или юридического лица, за которое настоящим Кодексом или законами субъектов Российской Федерации об административных правонарушениях установлена административная ответственность.

Исследовав материалы дела, суд приходит к выводу о виновности юридического лица ООО «КРЕДИТНЫЕ СИСТЕМЫ» в совершении административного правонарушения по ч. 1 ст.13.11 Кодекса РФ об административных правонарушениях, которая подтверждается следующими исследованными в судебном заседании доказательствами:

- протоколом от дата № ... об административном правонарушении;

- регистрационной картой о направлении копии протокола об адм. правонарушении;

- уведомлением о составлении протокола об административном правонарушении;

- регистрационной картой в доставки уведомления;

- отчетом об отслеживании РПО ...;

- поручением Роскомнадзора от дата № ...;

- письмом Роскомнадзора «О представлении информации» от дата № ...;

- ответом ООО «КРЕДИТНЫЕ СИСТЕМЫ» на запрос о предоставлении информации исх. № ... от дата;

- актом служебного расследования № 1/2025 от дата;

- уведомления ООО «КРЕДИТНЫЕ СИСТЕМЫ» о факте неправомерной или случайной передачи персональных данных от ... № ... и от дата № ...;

- свидетельством о государственной регистрации юридического лица;

- свидетельством о постановке на учет в налоговом органе;

- снимок экрана базы данных, расположенной в сети Интернет, содержащей персональные данные из базы данных ООО «КРЕДИТНЫЕ СИСТЕМЫ»;

- выпиской из ЕГРЮЛ и Уставом ООО «КРЕДИТНЫЕ СИСТЕМЫ».

- показаниями ведущего специалиста-эксперта Управления Роскомнадзора по ЦФО ФИО3

Также в ходе рассмотрения дела были исследованы письменные возражения защитника ООО «КРЕДИТНЫЕ СИСТЕМЫ» на протокол об административном правонарушении с дополнениями и приложениями.

Изучив представленные доказательства, суд приходит к выводу о том, что протокол об административном правонарушении составлен в соответствии с требованиями ст. 28.2, ст. 28.4 Кодекса РФ об административных правонарушениях, уполномоченным должностным лицом.

Частью 1 ст.13.11 Кодекса РФ об административных правонарушениях предусмотрена административная ответственность за обработка персональных данных в случаях, не предусмотренных законодательством Российской Федерации в области персональных данных, либо обработка персональных данных, несовместимая с целями сбора персональных данных, за исключением случаев, предусмотренных частями 2, 11 - 18 настоящей статьи и статьей 17.13 настоящего Кодекса, если эти действия не содержат уголовно наказуемого деяния.

В соответствии с положения п.п.1-3 ст. 3 Федерального закона от дата N 152-ФЗ «О персональных данных» персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных); оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными; обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

Согласно положениям ч. 1 ст. 6 Федерального закона от дата N 152-ФЗ «О персональных данных» обработка персональных данных должна осуществляться с соблюдением принципов и правил, предусмотренных настоящим Федеральным законом. Обработка персональных данных допускается в следующих случаях, в том числе: обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных.

Согласно положениям ст. 7 Федерального закона от дата N 152-ФЗ «О персональных данных» операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено Федеральным законом.

Особенности обработки персональных данных, разрешенных субъектом персональных данных для распространения, установлены ст. 10.1 Федерального закона от дата N 152-ФЗ «О персональных данных».

Так, исключительным основанием обработки персональных данных, разрешенных субъектом персональных данных для распространения, является согласие субъекта персональных данных, которое оформляется отдельно от иных согласий. Требования к содержанию указанного согласия установлены Приказом Роскомнадзора от дата № 18 «Об утверждении требований к содержанию согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения».

В соответствии с ч. 2 ст. 2.1 Кодекса РФ об административных правонарушениях, юридическое лицо признается виновным в совершении административного правонарушения, если будет установлено, что у него имелась возможность для соблюдения правил и норм, за нарушение которых Кодексом РФ об административных правонарушениях предусмотрена административная ответственность, но данным лицом не были предприняты все зависящие от него меры по их соблюдению.

Исследовав все представленные доказательства по делу в их совокупности, мировой судья считает вину юридического лица ООО «КРЕДИТНЫЕ СИСТЕМЫ» в совершении вменяемого ему административного правонарушения полностью доказанной и квалифицирует его действия по ч. 1 ст.13.11 Кодекса РФ об административных правонарушениях как обработку персональных данных в случаях, не предусмотренных законодательством Российской Федерации в области персональных данных, если эти действия не содержат уголовно наказуемого деяния.

В письменных объяснениях защитник привлекаемого лица указывает на то, что ООО «КРЕДИТНЫЕ СИСТЕМЫ» является аккредитованной в Минцифры ИТ-компанией, осуществляющей предпринимательскую деятельность путем предоставления кредитным и микрофинансовым организациям, а также торговым организациям программного обеспечения «POSCREDIT», позволяющего финансовым организациям и торговым организациям осуществлять взаимодействие для целей реализации возможности физическим лицам - клиентам торговых организаций приобретать товары/работы/услуги торговых организаций за счет денежных средств, предоставленных финансовыми организациями на основании заключенных с такими клиентами договоров целевого потребительского кредита (займа). Программное обеспечение «POSCREDIT» принадлежит ООО «КРЕДИТНЫЕ СИСТЕМЫ», что подтверждается Свидетельством в Федеральной службы по интеллектуальной собственности № ... от дата, и внесено в Реестр российского программного обеспечения (Реестровая запись № 9381 от дата). Функциональность программного обеспечения «POSCREDIT» позволяет сотруднику торговой организации вносить персональные данные в форму анкеты в программное обеспечение «POSCREDIT» и формирует заявку клиента на заключение таким клиентом с финансовыми организациями договора целевого потребительского кредита (займа) и по интеграционным API каналам направляет ее в адрес финансовых организаций. Получив анкету и заявку клиента финансовые организации проводят скоринг заявки на предмет возможности предоставить такому клиенту предложение на заключение договора целевого потребительского кредита (займа) с соответствующей финансовой организацией. В случае если Финансовая организация принимает положительное решение по заявке клиента, то такой клиент вправе заключить с такой финансовой организацией договор целевого потребительского кредита (займа) в порядке и способом, предусмотренном нормативными документами соответствующей финансовой организации.

В письменных объяснениях ООО «КРЕДИТНЫЕ СИСТЕМЫ» подтверждают, что дата их сотрудниками в группе мессенджера телеграмм, а также от КБ «Ренессанс Кредит» (ООО) была выявлена утечка данных программного обеспечения «POSCREDIT».

По данному факту дата и дата в Роскомнадзор было направлено соответствующее уведомление, организована рабочая группа для аудита программного обеспечения «POSCREDIT», по результатам которого установлено, что содержащиеся в обнаруженном Файле сведения о физических лицах полностью соответствуют перечню сведений о заявках, содержащихся в результатах поисковых запросов, совершаемых в программном обеспечении «POSCREDIT» представителями торговых организаций; сведения о физических лицах, содержащиеся в Файле, полностью соответствуют перечню заявок, внесенных в программное обеспечение «POSCREDIT» организацией - ООО «ИКС ВАЙ ЗЕТ НЕТВОРК» (ID 27961), имевшей доступ в программное обеспечение «POSCREDIT» на основании заключенного с ООО «КРЕДИТНЫЕ СИСТЕМЫ» лицензионного договора №... от дата.

При этом стороной ООО «КРЕДИТНЫЕ СИСТЕМЫ» делается вывод о том, что все физические лица, сведения о которых содержаться в Файле, являются действующими или потенциальными клиентами ООО «ИКС ВАЙ ЗЕТ НЕТВОРК». Все вышеуказанные физические лица когда-либо обращались в адрес ООО «ИКС ВАИ ЗЕТ НЕТВОРК» с целью приобретения услуг ООО «ИКС ВАЙ ЗЕТ НЕТВОРК» и для целей получения денежных средств в счет оплаты услуг ООО «ИКС ВАЙ ЗЕТ НЕТВОРК» посредством программного обеспечения «POSCREDIT» направляли свои заявки в адрес финансовых организаций. И именно сотрудник ООО «ИКС ВАЙ ЗЕТ НЕТВОРК» воспользовавшись выданной ранее учетной записью в своих целях, скопировал конфиденциальные сведения по заявкам клиентов ООО «ИКС ВАЙ ЗЕТ НЕТВОРК» для дальнейшего распространения. Тем самым, ООО «ИКС ВАЙ ЗЕТ НЕТВОРК» нарушены требования п. 2.25 и .4.3 лицензионного договора №... от дата, по которым ООО «ИКС ВАЙ ЗЕТ НЕТВОРК» обязано было обеспечить конфиденциальность персональных данных клиентов.

Кроме того, в соответствии с п. 1.8 лицензионного договора №... от дата использование программного обеспечения «POSCREDIT» - совершение Партнером («Торговая организация», ООО «ИКС ВАЙ ЗЕТ НЕТВОРК») действий в рамках пределов использования программного обеспечения «POSCREDIT», направленных на оформление кредитной документации в целях получения Клиентом потребительского кредита/займа посредством Программного обеспечения «POSCREDIT», направление оформленной Кредитной документации Банку-партнеру посредством Программного обеспечения «POSCREDIT», получение информации о статусе рассмотрения Банком-партнером оформленной Кредитной документации.

В соответствии с п. 2.1 лицензионного договора №... от дата Агрегатор (ООО «КРЕДИТНЫЕ СИСТЕМЫ») обязуется осуществлять в интересах Партнера действия, направленные на реализацию Торговой организацией Товаров/Услуг Клиентам через Торговые точки за счет предоставляемых Банками- партнерами кредитов/займов в Торговых точках с использованием Программного обеспечения «POSCREDIT», в том числе: предоставить право использования Программного обеспечения «POSCREDIT» по средствам web-интерфейса и/либо API Агрегатора; предоставить доступ в Личный кабинет в Программном обеспечении «POSCREDIT»; в оказывать техническую поддержку посредством консультирования Торговой организации относительно работы с Программным обеспечением «POSCREDIT»; содействовать в получении Торговой организацией денежных средств в размере Кредита, выданного Банком-партнером Клиенту в счет приобретения Товара/Услуги в Торговой организации, при условии выполнении Партнером п.3.4, настоящего Договора, в том числе перечислять от имени Банка-партнера денежные средства за продажу Товара/Услуги в Торговых точках за счет Кредита, оформленного посредством Программного обеспечения «POSCREDIT; формировать и размещать в Личном кабинете реестры оформленных Торговой организацией Кредитов, выданных Банком-партнером в счет оплаты Товара/Услуги Клиентом в Торговой точке в форме отчетов; вести аналитический учет по Сделкам Торговой организации с использованием Программного обеспечения «POSCREDIT»; оказывать иные услуги, связанные с использованием Торговой организацией Площадки.

В соответствии с п. 3.3 лицензионного договора №... от дата при обращении Клиента для получения кредита/займа Торговая организация размещает соответствующую заявку на получение кредита в Программном обеспечении «POSCREDIT», направляет заполненную Анкету Клиента, а также копии документов, удостоверяющих личность Клиента, а также иных документов и иную сопутствующую документацию, необходимую для открытия Банком-партнером на имя Клиента банковского счета и предоставления ему Кредита и/или иных услуг.

В соответствии с п. 3.4 лицензионного договора №... от дата Торговая организация после одобрения Банком- партнером заявки Клиента на предоставление Кредита обеспечивает подписание Кредитной документации Клиентом в составе, установленном каждым конкретным Банком-партнером, в соответствии с правилами и образцами, размещенными Агрегатором на сайте https://bank.b2pos.rii/education/.

То есть, в дополнительных пояснениях по делу стороной ООО «КРЕДИТНЫЕ СИСТЕМЫ» делается вывод о том, что ООО «ИКС ВАЙ ЗЕТ НЕТВОРК» является пользователем программного обеспечения «POSCREDIT» (п. 1.8, 2.1 Договора), а не представителем ООО «КРЕДИТНЫЕ СИСТЕМЫ», как утверждает Роскомиадзор.

Также сторона защиты ссылается на являющийся часть лицензионного договора №... от дата - Договор о сотрудничестве № ... от дата, согласно которому ООО «ИКС ВАЙ ЗЕТ НЕТВОРК» использует программное обеспечение «POSCREDIT» в своем интересе: для реализации собственных товаров в кредит. В соответствии с п. 4.1 Договора о сотрудничестве ООО «ИКС ВАЙ ЗЕТ НЕТВОРК» приняло на себя обязательство перечислять ООО «КРЕДИТНЫЕ СИСТЕМЫ» вознаграждение в размере и в порядке, предусмотренном п.3.7, и 3.8. настоящего оговора.

Вместе с тем, позиция стороны защиты о том, что ООО «ИКС ВАЙ ЗЕТ НЕТВОРК» как оператор является пользователем программного обеспечения «POSCREDIT» и несет в соответствии с п.п. 2.25 и .4.3 лицензионного договора №... от дата ответственность за обеспечение конфиденциальности персональных данных клиентов не может быть принята судом.

В ст. 3 Федерального закона от дата N 152-ФЗ «О персональных данных» дпно определение оператора, которым признается государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.

Согласно ст. 3 Федерального закона от дата N 152-ФЗ «О персональных данных» обработкой персональных данных является любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

Учитывая вышеназванные положения Федерального закона от дата N 152-ФЗ «О персональных данных» ООО «КРЕДИТНЫЕ СИСТЕМЫ» является оператором, осуществляющим обработку персональных данных, на деятельность которого распространяются требования Федерального закона от дата N 152-ФЗ «О персональных данных» в полном объеме.

Так, в силу ст. 7 Федерального закона от дата N 152-ФЗ «О персональных данных» операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.

 Само по себе возложение в соответствии с положениями заключенного между ООО «КРЕДИТНЫЕ СИСТЕМЫ» и ООО «ИКС ВАЙ ЗЕТ НЕТВОРК» лицензионного договора №... от дата обязанностей по обеспечению конфиденциальности персональных данных клиентов на ООО «ИКС ВАЙ ЗЕТ НЕТВОРК» по смыслу ст. 7 Федерального закона от дата N 152-ФЗ «О персональных данных» не умаляет обязанностей оператора (ООО «КРЕДИТНЫЕ СИСТЕМЫ») по обеспечению конфиденциальности персональных данных и, тем самым, не исключает административной ответственности оператора за обработку персональных данных в случаях, не предусмотренных законодательством Российской Федерации в области персональных данных, если эти действия не содержат уголовно наказуемого деяния, а именно, как установлено в настоящем деле, ответственности за факт неправомерной передачи персональных данных, повлекшей нарушение прав субъектов персональных данных.

Программное обеспечение «POSCREDIT» представляет из себя программную платформу ООО «КРЕДИТНЫЕ СИСТЕМЫ», размещённую в телекоммуникационной сети Интернет и применяемую ООО «КРЕДИТНЫЕ СИСТЕМЫ» как ресурс для предоставления платных услуг по использованию своих баз данных сторонними организациями - партнёрами и клиентами ООО «КРЕДИТНЫЕ СИСТЕМЫ», которые получают права на его использование путём приобретения франшизы или заключения договора услуг, которые через учетную запись, предоставляемую ООО «КРЕДИТНЫЕ СИСТЕМЫ», дают право использования программного обеспечения «POSCREDIT» и доступ к базам персональных данных, имеющимся в ООО «КРЕДИТНЫЕ СИСТЕМЫ».

Таким платным пользователем базы данных ООО «КРЕДИТНЫЕ СИСТЕМЫ» является ООО «ИКС ВАЙ ЗЕТ НЕТВОРК», через технические средства которой произошла утечка информации, принадлежащей ООО «КРЕДИТНЫЕ СИСТЕМЫ». При этом, ООО «ИКС ВАЙ ЗЕТ НЕТВОРК» является клиентом ООО «КРЕДИТНЫЕ СИСТЕМЫ» на основании вышеназванного лицензионного договора, которому ООО «КРЕДИТНЫЕ СИСТЕМЫ» как оператор доверило использование и обработку своих баз, содержащих персональные данные.

По смыслу ч. 3 ст. 6 Федерального закона от дата № 152-ФЗ «О персональных данных» оператор вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора. Лицо, осуществляющее обработку персональных данных по поручению оператора, обязано соблюдать принципы и правила обработки персональных данных, предусмотренные настоящим Федеральным законом, соблюдать конфиденциальность персональных данных, принимать необходимые меры, направленные на обеспечение выполнения обязанностей, предусмотренных настоящим Федеральным законом. В поручении оператора должны быть определены перечень персональных данных, перечень действий (операций) с персональными данными, которые будут совершаться лицом, осуществляющим обработку персональных данных, цели их обработки, должна быть установлена обязанность такого лица соблюдать конфиденциальность персональных данных, требования, предусмотренные частью 5 статьи 18 и статьей 18.1 настоящего Федерального закона.

При этом ч. 5 ст. 6 Федерального закона от дата № 152-ФЗ «О персональных данных» устанавливает, что в случае, если оператор поручает обработку персональных данных другому лицу, ответственность перед субъектом персональных данных за действия указанного лица несет оператор. Лицо, осуществляющее обработку персональных данных по поручению оператора, несет ответственность перед оператором.

Аналогичные положения закреплены в п. 8.1 и п. 8.3 ст.8 Положения об обработке персональных данных в ООО «КРЕДИТНЫЕ СИСТЕМЫ», размещённом на сайте ООО «КРЕДИТНЫЕ СИСТЕМЫ» по адресу https://pos-credit.ru/static/documents/l.pdf.

Таким образом, доводы стороны защиты о непричастности ООО «КРЕДИТНЫЕ СИСТЕМЫ» к утечке персональных данных являются несостоятельными, а такая позиция представляется избранной с целью избежать наказание за содеянное.

Указанные обстоятельства свидетельствуют о несоблюдении ООО «КРЕДИТНЫЕ СИСТЕМЫ» требований ч.1 ст.6 Федерального закона от дата N 152-ФЗ «О персональных данных».

Квалифицируя действия ООО «КРЕДИТНЫЕ СИСТЕМЫ» по ч. 1 ст.13.11 Кодекса РФ об административных правонарушениях мировой судья учитывает, что привлекаемое лицо не представило доказательств, с очевидной степень достоверности свидетельствующих о том, что ООО «КРЕДИТНЫЕ СИСТЕМЫ» осуществляя обработку персональных данных с помощью платформы программного обеспечения «POSCREDIT» обеспечило принятие всех зависящих от него мер к соблюдению требований ст.ст. 6, 7 Федерального закона от дата N 152-ФЗ «О персональных данных».

Законных оснований для переквалификации действий (бездействия) ООО «КРЕДИТНЫЕ СИСТЕМЫ» или для прекращения производства по делу у суда не имеется.

При назначении наказания мировой судья учитывает обстоятельства дела, характер совершенного правонарушения, отсутствие сведений о привлечении ООО «КРЕДИТНЫЕ СИСТЕМЫ» ранее к административной ответственности за совершение однородных правонарушений, обстоятельств, смягчающих и отягчающих административную ответственность по делу не установлено.

Мировой судья не находит оснований для освобождения юридического лица ООО «КРЕДИТНЫЕ СИСТЕМЫ» от административной ответственности в связи с малозначительностью правонарушения.

Пленумом Верховного Суда РФ в п. 21 постановления от дата N 5 «О некоторых вопросах, возникающих у судов при применении Кодекса Российской Федерации об административных правонарушениях» разъяснено, что малозначительным административным правонарушением является действие или бездействие, хотя формально и содержащее признаки состава административного правонарушения, но с учетом характера совершенного правонарушения и роли правонарушителя, размера вреда и тяжести наступивших последствий не представляющее существенного нарушения охраняемых общественных правоотношений.

Характер, совершенного правонарушения по ч. 1 ст.13.11 Кодекса РФ об административных правонарушениях, объектом посягательства которого являются общественные отношения в области защиты персональных данных, свидетельствует о пренебрежительном отношении к законодательству в указанной сфере и тем самым к исполнению обязанности осуществлять обработку персональных данных в установленном законом порядке, в том числе с предварительного согласия субъекта персональных данных, что следует признать существенным нарушением охраняемых общественных отношений в указанной сфере.

Помимо этого в Постановлении Конституционного Суда Российской Федерации от дата N 1-П разъяснено, что в системе действующего правового регулирования освобождение от административной ответственности в связи с малозначительностью совершенного правонарушения не может использоваться для целей учета имущественного и финансового положения привлекаемого к административной ответственности юридического лица. Кроме того, освобождение от административной ответственности путем признания правонарушения малозначительным во всех случаях, когда правоприменительный орган на основе установленных по делу обстоятельств приходит к выводу о несоразмерности наказания, предусмотренного конкретной статьей Кодекса Российской Федерации об административных правонарушениях, характеру административного правонарушения, противоречило бы вытекающему из принципа справедливости принципу неотвратимости ответственности, а также целям административного наказания и не обеспечивало бы решение конституционно значимых задач законодательства об административных правонарушениях (статья 1.2 Кодекса РФ об административных правонарушениях).

В связи с чем, мировой судья считает возможным назначить юридическому лицу – ООО «КРЕДИТНЫЕ СИСТЕМЫ» минимальное наказание, предусмотренное санкцией ч. 1 ст. 13.11 Кодекса РФ об административных правонарушениях, в виде административного штрафа в минимальном размере, предусмотренном санкцией данной статьи.

На основании изложенного, руководствуясь ст. ст. 23.1, 29.9, 29.10, 29.11 Кодекса РФ об административных правонарушениях, мировой судья

ПОСТАНОВИЛ:

Признать юридическое лицо – ООО «КРЕДИТНЫЕ СИСТЕМЫ» виновным в совершении административного правонарушения, предусмотренного ч. 1 ст. 13.11 Кодекса РФ об административных правонарушениях, и назначить административное наказание в виде штрафа в размере сумма.

Получатель платежа: Получатель УФК по г. Москве (Департамент по обеспечению деятельности мировых судей города Москвы л/с <***>), ИНН: <***>, КПП: 770401001, ОКТМО: 45374000, Банк получателя платежа: ГУ Банка России по ЦФО//УФК по г. Москве г. Москва, БИК: 004525988, Расчетный счет: <***>, Корреспондентский счет: 40102810545370000003, УИН: 0356140805009672732504232, КБК: 80511601133010000140, Назначение платежа: Штраф. Номер дела 05-0967/273/2025, постановление от дата по Ст. 13.11, Ч.1 КоАП РФ в отношении ООО "Кредитные системы". Судебный участок № 273 тел.: <***>..

Доводим до Вашего сведения, что в соответствии со ст. 32.2 Кодекса РФ об административных правонарушениях административный штраф должен быть уплачен лицом, привлеченным к административной ответственности, не позднее шестидесяти дней со дня вступления постановления о наложении административного штрафа в законную силу. При отсутствии документа, свидетельствующего об уплате административного штрафа, по истечении шестидесяти дней орган, вынесший постановление, направляет соответствующие материалы судебному приставу-исполнителю для взыскания суммы административного штрафа в порядке, предусмотренном федеральным законодательством.

Согласно ст. 20.25 Кодекса РФ об административных правонарушениях неуплата административного штрафа в срок, предусмотренный Кодексом влечет наложение административного штрафа в двукратном размере суммы неуплаченного административного штрафа, но не менее одной тысячи рублей либо административный арест на срок до пятнадцати суток.

Постановление может быть обжаловано в Лефортовский районный суд города Москвы через мирового судью в течение десяти дней со дня получения его копии.

Мировой судья: Д.В. Иванов

Постановление вступило в законную силу «___» __________ 20__ года.