Решение № 2-2903/2024 2-690/2025 2-690/2025(2-2903/2024;)~М-2999/2024 М-2999/2024 от 23 февраля 2025 г. по делу № 2-2903/2024

к делу № 2-690/2025

УИД 23МS0221-01-2024-005001-58


РЕШЕНИЕ

Именем Российской Федерации

г. Усть-Лабинск 24 февраля 2025 г.

Усть-Лабинский районный суд Краснодарского края в составе:

председательствующего Дашевского А.Ю.,

при секретаре Аверьяновой Н.А.,

с участием старшего помощника прокурора

Усть-Лабинского района ФИО1,

представителей ответчика ГБУЗ «Усть-Лабинская ЦРБ»

по доверенности ФИО2, ФИО3

рассмотрев в открытом судебном заседании гражданское дело по исковому заявлению прокурора <адрес> действующего в интересах неопределенного круга лиц к Министерству здравоохранения <адрес>, ГБУЗ «Усть-Лабинская ЦРБ» об устранении нарушений законодательства об информации, информационных технологиях, защите информации и персональных данных,

установил:

прокурор <адрес> в интересах неопределенного круга лиц обратился в Усть-Лабинский районный суд с исковым заявлением к Министерству здравоохранения <адрес>, ГБУЗ «Усть-Лабинская ЦРБ» об устранении нарушений законодательства об информации, информационных технологиях, защите информации и персональных данных. В обоснование исковых требований истец указал, что прокуратурой района была проведена проверка соблюдения законодательства об информации, информационных технологиях, защите информации и персональных данных, по результатам которой выявлены нарушения ГБУЗ «Усть-Лабинская ЦРБ» правил пожарной безопасности, выразившиеся в отсутствии принятых мер к аттестации используемых информационных систем путем проведения комплекса организационных и технических мероприятий (аттестационных испытаний), в результате которых подтверждается соответствие системы защиты информации информационной системы требованиям ФСТЭК России. Указанное нарушение, послужило основанием для внесения 10.06.2024г. руководителю ГБУЗ «Усть-Лабинская ЦРБ» представления, которое было рассмотрено и удовлетворено. Однако до настоящего времени нарушения п. 17 требований не устранены. Несоблюдение установленных законом требований в сфере защиты информации способно привести к негативным последствиям в случае неправомерного доступа, уничтожения, модифицирования, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении такой информации, в связи с чем, перечисленные нарушения законодательства требуют немедленного устранения. Просит суд, обязать министерство здравоохранения <адрес> принять меры к финансированию следующих мероприятий по защите информации ГБУЗ «Усть-Лабинская ЦРБ» МЗ КК в соответствии с требованиями и порядком: аттестация используемых информационных систем путем проведения комплекса организационных и технических мероприятий (аттестационных испытаний); обязать ГБУЗ «Усть-Лабинская ЦРБ» МЗ КК после поступления финансирования: провести аттестацию используемых информационных систем путем проведения комплекса организационных и технических мероприятий (аттестационных испытаний).

Старший помощник прокурора <адрес> в судебном заседании просила суд удовлетворить исковые требования по основаниям, изложенным в исковом заявлении в полном объеме.

В судебном заседании представители ответчика ГБУЗ «Усть-Лабинская ЦРБ» просили суд отказать в удовлетворении заявленных требований в полном объеме, поскольку требования прокурора трудноисполнимы.

Представитель ответчика Министерства здравоохранения в судебное заседание не явился, был надлежащим образом извещен о дате, времени и месте рассмотрения дела, причина неявки суду не известна.

Выслушав мнение участников процесса, изучив и исследовав материалы дела, оценив доказательства в их совокупности, суд приходит к следующим выводам.

В судебном заседании установлено, что прокуратурой района была проведена проверка соблюдения законодательства об информации, информационных технологиях, защите информации и персональных данных, по результатам которой выявлены нарушения ГБУЗ «Усть-Лабинская ЦРБ» правил пожарной безопасности, выразившиеся в отсутствии принятых мер к аттестации используемых информационных систем путем проведения комплекса организационных и технических мероприятий (аттестационных испытаний), в результате которых подтверждается соответствие системы защиты информации информационной системы требованиям ФСТЭК России. Указанное нарушение, послужило основанием для внесения 10.06.2024г. руководителю ГБУЗ «Усть-Лабинская ЦРБ» представления, которое было рассмотрено и удовлетворено. Однако до настоящего времени нарушения п. 17 требований не устранены.

Согласно ст. 9 Федерального закона № 149-ФЗ информация, полученная гражданами (физическими лицами) при исполнении ими профессиональных обязанностей или организациями при осуществлении ими определенных видов деятельности (профессиональная тайна), подлежит защите в случаях, если на эти лица федеральными законами возложены обязанности по соблюдению конфиденциальности такой информации. Порядок доступа к персональным данным граждан (физических лиц) устанавливается федеральным законом о персональных данных.

В силу ст. 16 Федерального закона № 149-ФЗ защита информации представляет собой принятие правовых, организационных и технических мер, направленных на: обеспечение защиты информации от неправомерного доступа, уничтожения, модифицирования, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении такой информации; соблюдение конфиденциальности информации ограниченного доступа; реализацию права на доступ к информации.

На основании ч. 2 ст. 19 Федерального закона от ДД.ММ.ГГГГ № 152-ФЗ «О персональных данных» обеспечение безопасности персональных данных достигается, в частности:1) определением угроз безопасности персональных данных при их обработке в информационных системах персональных данных;

2) применением организационных и технических мер по обеспечению безопасности персональных данных при их обработке, необходимых для выполнения требований к защите персональных данных, исполнение которых обеспечивает установленные Правительством РФ уровни защищенности персональных данных;

3) применением прошедших в установленном порядке процедуры оценки соответствия средств защиты информации;

4) оценкой эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию информационной системы персональных данных;

5) учетом машинных носителей персональных данных;

6) обнаружением фактов несанкционированного доступа к персональным данным и принятием мер, в том числе по обнаружению, предупреждению и ликвидации последствий компьютерных атак на информационные системы персональных данных и по реагированию на компьютерные инциденты в них;

7) восстановлением персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;

8) установлением правил доступа к персональным данным, обрабатываемым в информационной системе персональных данных, а также обеспечением регистрации и учета всех действий, совершаемых с персональными данными в информационной системе персональных данных;

9) контролем за принимаемыми мерами по обеспечению безопасности персональных данных и уровня защищенности информационных систем.

В соответствии с п. 13 Требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах, утвержденных Приказом ФСТЭК России от ДД.ММ.ГГГГ № (далее – Требования), для обеспечения защиты информации, содержащейся в информационной системе, проводятся следующие мероприятия: формирование требований к защите информации, содержащейся в информационной системе; разработка системы защиты информации информационной системы; внедрение системы защиты информации информационной системы; аттестация информационной системы по требованиям защиты информации (далее - аттестация информационной системы) и ввод ее в действие; обеспечение защиты информации в ходе эксплуатации аттестованной информационной системы; обеспечение защиты информации при выводе из эксплуатации аттестованной информационной системы или после принятия решения об окончании обработки информации.

В силу п. 17 Требований аттестация информационной системы организуется обладателем информации (заказчиком) или оператором и включает проведение комплекса организационных и технических мероприятий (аттестационных испытаний), в результате которых подтверждается соответствие системы защиты информации информационной системы настоящим Требованиям.

Приказом ФСТЭК России от ДД.ММ.ГГГГ № утвержден Порядок организации и проведения работ по аттестации объектов информатизации на соответствие требованиям о защите информации ограниченного доступа, не составляющей государственную тайну, в соответствии с п. 2 которого аттестация объектов информатизации осуществляется федеральными органами государственной власти, органами государственной власти субъектов Российской Федерации, органами местного самоуправления, организациями, которым на праве собственности или ином законном основании принадлежат объекты информатизации, а также лицами, заключившими контракт на создание объектов информатизации, или лицами, осуществляющими эксплуатацию объектов информатизации (далее – Порядок).

Несоблюдение установленных законом требований в сфере защиты информации способно привести к негативным последствиям в случае неправомерного доступа, уничтожения, модифицирования, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении такой информации, в связи с чем перечисленные нарушения законодательства требуют немедленного устранения.

Таким образом, из совокупности указанных норм законодательства следует, что несоблюдение ГБУЗ «Усть-Лабинская ЦРБ» нарушений законодательства об информации, информационных технологиях, защите информации и персональных данных влечет нарушение прав не определённого круга лиц.

С учетом изложенного, суд приходит к выводам о том, что исковое заявление прокурора <адрес> действующего в интересах неопределенного круга лиц к ГБУЗ «Усть-Лабинская ЦРБ» об устранении нарушений законодательства об информации, информационных технологиях, защите информации и персональных данных - подлежит удовлетворению.

Руководствуясь ст. ст. 194-199 ГПК РФ, суд

решил:

исковые требования прокурора <адрес> действующего в интересах неопределенного круга лиц к ГБУЗ «Усть-Лабинская ЦРБ» об устранении нарушений законодательства об информации, информационных технологиях, защите информации и персональных данных – удовлетворить.

Обязать министерство здравоохранения <адрес> принять меры к финансированию следующих мероприятий по защите информации ГБУЗ «Усть-Лабинская ЦРБ» МЗ КК в соответствии с требованиями и порядком: аттестация используемых информационных систем путем проведения комплекса организационных и технических мероприятий (аттестационных испытаний), в течении 3-х (трех) месяцев после вступления настоящего решения в законную силу.

Обязать ГБУЗ «Усть-Лабинская ЦРБ» МЗ КК после поступления финансирования: провести аттестацию используемых информационных систем путем проведения комплекса организационных и технических мероприятий (аттестационных испытаний).

Решение может быть обжаловано в апелляционном порядке в <адрес>вой суд через Усть-Лабинский районный суд в течение месяца после принятия решения в окончательной форме.

Судья подпись А.Ю. Дашевский