Постановление от 6 апреля 2026 г. 13 ААС (Тринадцатый арбитражный апелляционный суд)

ТРИНАДЦАТЫЙ АРБИТРАЖНЫЙ АПЕЛЛЯЦИОННЫЙ СУД

191015, Санкт-Петербург, Суворовский пр., 65, лит. А

http://13aas.arbitr.ru

ПОСТАНОВЛЕНИЕ

Дело №А56-82945/2025
06 апреля 2026 года
г. Санкт-Петербург

Резолютивная часть постановления объявлена 24 марта 2026 года

Постановление изготовлено в полном объеме 06 апреля 2026 года

Тринадцатый арбитражный апелляционный суд в составе:

председательствующего Семеновой А.Б.

судей Петровой Т.Ю., Фуркало О.В.

при ведении протокола судебного заседания секретарем Мчедлидзе С.З.

при участии:

от заявителя: не явился, извещен;

от заинтересованного лица: ФИО1 по доверенности от 13.03.2025;

рассмотрев в открытом судебном заседании апелляционную жалобу (регистрационный номер 13АП-32048/2025) Управления Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Северо-Западному Федеральному округу на решение Арбитражного суда города Санкт-Петербурга и Ленинградской области от 01.12.2025 по делу № А56-82945/2025, принятое

по заявлению Управления Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Северо-Западному федеральному округу

к публичному акционерному обществу «Ростелеком»

об оспаривании

установил:

Управление Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Северо-Западному Федеральному округу (далее – заявитель, Управление) обратилось в Арбитражный суд города Санкт-Петербурга и Ленинградской области с заявлением о привлечении публичного акционерного общества «Ростелеком» (далее – заинтересованное лицо, Общество) к административной ответственности, предусмотренной частью 1 статьи 13.11 Кодекса Российской Федерации об административных правонарушениях (далее – КоАП РФ).

Решением суда от 01.12.2025 в удовлетворении требования о привлечении публичного акционерного общества «Ростелеком» к административной ответственности, предусмотренной частью 1 статьи 13.11 Кодекса Российской Федерации об административных правонарушениях отказано.

Не согласившись с вынесенным решением, Управление обратилось с апелляционной жалобой, в которой просит решение суда первой инстанции отменить, принять по делу новый судебный акт об удовлетворении заявленных требований.

Определением суда апелляционной инстанции от 22.01.2026 апелляционная жалоба принята к производству, дело назначено к судебному разбирательству в судебном заседании на 24.03.2026.

В судебном заседании представитель Общества возражал против удовлетворения апелляционной жалобы;

Управление извещено надлежащим образом о времени и месте рассмотрения апелляционной жалобы с учетом положений части 1 статьи 121 АПК РФ и пункта 16 Постановления Пленума Верховного Суда Российской Федерации от 26.12.2017 N 57 "О некоторых вопросах применения законодательства, регулирующего использование документов в электронном виде в деятельности судов общей юрисдикции и арбитражных судов", в судебное заседание своих представителей не направило, что в силу статей 156, 266 АПК РФ не препятствует рассмотрению апелляционной жалобы.

Законность и обоснованность обжалуемого судебного акта проверены в апелляционном порядке.

Как установлено судом и подтверждается материалами дела, Управление в ходе мониторинга сети «Интернет» выявлен факт наличия базы данных Общества (оператора), содержащей персональные данные пользователей оператора, на интернет-сайте по адресу: https://t.me/c/1720638765/4719 в объеме: фамилия, имя, отчество, номер телефона, адрес электронной почты, сведения о трудовой деятельности, сведения об образовании, возраст, адрес места жительства, сведения о семейной положении.

Управление на основании части 1 статьи 23 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – Закон № 152-ФЗ, Закон о персональных данных) и пункта 1 части 3 статьи 23 Закона о персональных данных, Положения об Управлении, утвержденного приказом Роскомнадзора от 25.01.2016 № 43, являясь уполномоченным органом по защите прав субъектов персональных данных, на который возлагается обеспечение контроля и надзора за соответствием обработки персональных данных требованиям Закона, вправе запрашивать у юридических лиц информацию, необходимую для реализации своих полномочий, и безвозмездно получать такую информацию.

В рамках реализации своих полномочий Управлением в адрес Общества направлены Уведомления о факте неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных от 24.01.2025 № 6692324 и от 22.01.2025 № 6689645.

Как следует из материалов дела, предполагаемой причиной, повлекшей нарушение прав субъектов персональных данных, является компрометация инфраструктуры подрядчика заявителя, ООО «КьюСофт». Договорные отношения между заявителем и ООО «КьюСофт» предусматривали развитие и техническое сопровождение ряда интернет-порталов, в том числе порталов company.rt.ru и zakupki.rostelecom.ru. – характеристики персональных данных: фамилия, имя, отчество, адрес электронной почты, номер телефона.

Управлением в отношении Общества в период с 16.06.2025 по 27.06.2025 проведена внеплановая выездная проверка, в рамках которой Обществом представлена информация об информационной системе персональных данных (ИСПДн) в оболочке «1С-Битрикс: Управления сайтом» сайт zakupki.rostelecom.ru и сайт company.rt.ru, используемых заявителем для обработки персональных данных такой категории субъектов, как пользователи сайтов.

ИСПДн Общества (оператора) сайт zakupki.rostelecom.ru является официальным порталом закупок Ростелеком, содержащим информацию о закупках, нормативных документах, а также личный кабинет для сотрудников Департамента управления закупками.

Управлением по результатам проверки установлено, что источником сбора персональных данных в ИСПДн Оператора является Интернет-сайт «https://zaknpki.rostelecom.ru/».

В ходе внеплановой выездной проверки Управлением проведен осмотр ИСПДн Оператора с целью подтверждения соответствия персональных данных, содержащихся в скомпрометированной базе данных, и ИСПДн Оператора.

По результатам сопоставления информации, размещенной в сети Интернет по адресу: https://t.me/c/1720638765/4719 и осмотра ИСПДн Оператора были выявлены субъекты, сведения о которых размещены в сети Интернет по адресу: https://t.me/c/1720638765/4719, совпадающие с данными, содержащимися в ИСПДн «1С-Битрикс: Управления сайтом».

В результате проведения проверки Управлением установлено, что правовые основания предоставления доступа к ИСПДн Оператора, повлекшего за собой распространение неограниченному кругу лиц персональных данных пользователей Оператора путем их размещения на сайте в сети Интернет по адресу: https://t.me/c/1720638765/4719, отсутствуют, Обществом допущено нарушение требований части 1 статьи 6, статьи 7 Закона о персональных данных, в части предоставления неправомерного доступа к ИСПДн Оператора, повлекшего за собой распространение неограниченному кругу лиц персональных данных пользователей порталов Оператора путем их размещения на сайте в сети Интернет по адресу https://t.me/c/1720638765/4719.

Управлением в отношении Общества составлен протокол от 14.08.2025 № АП78/12/831 об административном правонарушении, предусмотренном частью 1 статьи 13.11 КоАП РФ.

На основании части 3 статьи 23.1 КоАП РФ протокол и иные материалы проверки направлены Управлением в арбитражный суд для решения вопроса о привлечении Общества к административной ответственности.

Суд первой инстанции указал на то, что истечение срока привлечения к административной ответственности является обстоятельством, исключающим производство по делу об административном правонарушении, на основании чего, в удовлетворении заявленных требований отказал.

Проверив правильность применения судом норм материального и процессуального права, а также соответствие выводов суда обстоятельствам дела и представленным доказательствам, суд апелляционной инстанции не находит оснований для удовлетворения апелляционной жалобы и отмены или изменения судебного акта в силу следующего.

Положениями части 1 статьи 13.11 КоАП РФ предусмотрена ответственность за обработку персональных данных в случаях, не предусмотренных законодательством Российской Федерации в области персональных данных, либо обработку персональных данных, несовместимую с целями сбора персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи и статьей 17.13 настоящего Кодекса, если эти действия не содержат уголовно наказуемого деяния.

Отношения, связанные с обработкой персональных данных, осуществляемой федеральными органами государственной власти, органами государственной власти субъектов Российской Федерации, иными государственными органами, органами местного самоуправления, иными муниципальными органами, юридическими лицами и физическими лицами регулируется Федеральным законом от 27.07.2006 N 152-ФЗ "О персональных данных" (далее - Закон N 152-ФЗ, Закон о персональных данных).

В пункте 2 статьи 3 Закона № 152-ФЗ установлено, что оператором персональных данных является государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.

Согласно пункту 1 части 1 статьи 6 Закона N 152-ФЗ, обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных.

В соответствии с частью 1 статьи 9 Закона N 152-ФЗ субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не Законом.

В соответствии с частью 1 статьи 9 Закона № 152-ФЗ субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не Законом.

Согласно части 4 статьи 9 Закона N 152-ФЗ в случаях, предусмотренных федеральным законом, обработка персональных данных осуществляется только с согласия в, письменной форме субъекта персональных данных. Равнозначным содержащему собственноручную подпись субъекта персональных данных согласию в письменной форме, на бумажном носителе признается согласие в форме электронного документа, подписанного в соответствии с федеральным законом электронной подписью. Согласие в письменной форме субъекта персональных данных на обработку его персональных. данных должно включать в себя, в частности:

1. фамилию, имя, отчество, адрес субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе;

2. фамилию, имя, отчество, адрес представителя субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе, реквизиты доверенности или иного документа, подтверждающего полномочия этого представителя (при получении согласия от представителя субъекта персональных данных);

3. наименование или фамилию, имя, отчество и адрес оператора, получающего согласие субъекта персональных данных;

4. цель обработки персональных данных;

5. перечень персональных данных, на обработку которых дается согласие субъекта персональных данных;

6. наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка будет поручена такому лицу;

7. перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых оператором способов обработки персональных данных;

8. срок, в течение которого действует согласие субъекта персональных данных, а также способ его отзыва, если иное не установлено федеральным законом;

9. подпись субъекта персональных данных.

В силу статьи 7 Закона № 152-ФЗ операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.

В соответствии со статьей 7 Закона о персональных данных операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом

Как следует из материалов дела, письмом от 21.01.2025 № 08-27266 Управление сообщило Обществу об установлении факта публикации (https://t.me/dataleak/3457), компьютерном инциденте, предположительно повлекшем доступ неустановленных лиц к персональным данным, обрабатываемым Обществом. Одновременно, было получено требование о необходимости подтвердить или опровергнуть факт наличия вышеуказанного компьютерного инцидента.

Общество направило Управлению уведомления от 22.01.2025 и от 24.01.2025 о факте неправомерной/случайной передачи персональных данных, повлекших нарушение прав субъектов персональных данных, указав на произошедший в сентябре 2024 года инцидент: внешний несанкционированный доступ с использованием легитимных учетных записей организации ООО «Кьюсофт», обслуживающей интернет порталы.

Вместе с тем, Обществом самостоятельно были приняты меры по устранению выявленных угроз, в том числе была осуществлена блокировка подрядной организации ООО «Кьюсофт», произведена ротация учетной информации лиц, имевших доступ к ресурсам заявителя, ужесточена парольная политика, устранены механизмы закрепления злоумышленников. На момент завершения работ по инциденту заявитель не обладал информацией об утечке данных с вышеуказанных ресурсов. Информация об инциденте была своевременно предоставлена в НКЦКИ ФСБ России, проведено расследование, функционирование портала восстановлено.

Судом первой инстанции пришел к обоснованному выводу о том, что вменяемое Обществу нарушение требований части 1 статьи 6, статьи 7 и статьи 10.1 Закона о персональных данных в части предоставления неправомерного доступа к базе данных оператора, содержащей персональные данные лиц, было совершено в сентябре 2024 года

Действие Общества по размещению сведения на интернет-портале, обнаруженные Управлением при проведении мониторинга, не подтверждают административное правонарушение, ответственность за которое установлена частью 1 статьи 13.11 КоАП РФ. Такие действия являются следствием совершенного ранее административного правонарушения, повлекшего за собой использование персональных данных пользователей.

Датой начала совершения административного правонарушения по неправомерной передаче (предоставление, распространение, доступ) информации, составляющей персональные данные, следует считать 21.09.2024.

Датой окончания совершения – 04.10.2024 (смена паролей для пользователей на всех скомпрометированных хостах).

Доводы апелляционной жалобы Управления в части определения административного правонарушения как длящегося основаны на факте обнаружения в сети интернет персональных данных, идентифицированных по принадлежности Обществу, а также ссылкой на неисполнение Обществом положений статьи 21 Закона.

Вместе с тем, материалами дела подтверждается то факт, что Общество своими действиями непосредственно не осуществляло процессов по распространению персональных данных - действиям, направленным на раскрытие персональных данных неопределенному кругу лиц; предоставлению персональных данных - действиям, направленным на раскрытие персональных данных определенному лицу или определенному кругу лиц.

В рассматриваемом случае, в действиях Общества выявлено нарушение требований части 1 статьи 6, статьи 7 и статьи 10.1 Закона о персональных данных в части предоставления неправомерного доступа к ИСПДн неограниченному кругу лиц, а не в их распространении или предоставлении третьим лицам.

Протоколом об административном нарушении от 14.08.2025 №АП-78/12/831 в частности зафиксировано, что по результатам внеплановой выездной проверки было выявлено, что Оператором допущено нарушение требований части 1 статьи 6, статьи 7 Закона в части предоставления неправомерного доступа к ИСПДн Оператора, повлекшего за собой распространение неопределенному кругу лиц персональных данных пользователей порталов Оператора (Интернет-сайты: сompany.rt.ru и zakupki.rostelecom.ru) путем их размещения на сайте в сети Интернет по адресу: https://t.me/с/1720638765/4719.

«В результате проведения проверки Управлением установлено, что правовые основания предоставления доступа к ИСПДн Оператора, повлекшего за собой распространение неограниченному кругу лиц персональных данных пользователей Оператора путем их размещения на сайте в сети Интернет по адресу: https://t.me/с/1720638765/4719».

Согласно справке о результатах внеплановой выездной проверки, по результатам внеплановой выездной проверки выявлены следующие правонарушения: ПАО «Ростелеком» допущено нарушение требований части 1 статьи 6, статьи 7 Федерального закона от 27.07.2006 №152-ФЗ «О персональных данных» в части предоставления неправомерного доступа к ИСПДн ПАО «Ростелеком», повлекшего за собой распространение неограниченного кругу лиц персональных данных пользователей порталов Оператора (Интернет-сайты: сompany.rt.ru и zakupki.rostelecom.ru) путем их размещения на сайте в сети Интернет по адресу: https://t.me/с/1720638765/4719).

В соответствии с абзацем 2 пункта 18 Постановления Пленума Высшего Арбитражного Суда Российской Федерации от 27.01.2003 N 2 «О некоторых вопросах, связанных с введением в действие Кодекса Российской Федерации об административных правонарушениях» при принятии решения по делу о привлечении к административной ответственности, а также рассмотрении заявления об оспаривании решения административного органа о привлечении к административной ответственности суд должен проверять, не истекли ли указанные сроки, установленные частями 1 и 3 статьи 4.5 названного Кодекса.

В соответствии с пунктом 14 Постановления Пленума Верховного Суда Российской Федерации от 24 марта 2005 г. N 5 "О некоторых вопросах, возникающих у судов при применении Кодекса Российской Федерации об административных правонарушениях" срок давности привлечения к ответственности исчисляется по общим правилам исчисления сроков - со дня, следующего за днем совершения административного правонарушения (за днем обнаружения правонарушения).

На основании пункта 6 части 1 статьи 24.5 КоАП РФ производство по делу об административном правонарушении не может быть начато, а начатое подлежит прекращению в случае истечения установленных сроков давности привлечения к административной ответственности.

Согласно части 1 статьи 4.5 КоАП РФ срок давности привлечения к административной ответственности за нарушение требований в области персональных данных составляет один год со дня совершения административного правонарушения.

Таким образом, поскольку нарушение прекращено Обществом после самостоятельного выявления 04.10.2025, срок давности привлечения Общества к административной ответственности (1 год) на момент рассмотрения дела в суде первой инстанции и на дату вынесения обжалуемого решения (01.12.2025) истек.

Истечение сроков давности привлечения к административной ответственности является одним из обстоятельств, исключающих производство по делу об административном правонарушении (пункт 6 статьи 24.5 КоАП РФ).

Вывод суда о несоответствии фактических действий Общества диспозиции, предусмотренной частью 1 статьи 13.11 КоАП РФ и введении законодателем мер ответственности за такого рода нарушения только с 30.05.2025 (по части 12 статьи 13.11 КоАП РФ) также является правомерным.

При таких обстоятельствах суд первой инстанции отказал в удовлетворении заявленного требования.

Судом первой инстанции правильно установлены все значимые для дела обстоятельства и дана им надлежащая правовая оценка, неправильного применения норм материального и процессуального права не допущено, в связи с чем правовых оснований для отмены решения суда и удовлетворения апелляционной жалобы Управления не имеется.

На основании изложенного и руководствуясь пунктом 1 статьи 269, статьей 271 Арбитражного процессуального кодекса Российской Федерации, Тринадцатый арбитражный апелляционный суд

Резолютивная часть

ПОСТАНОВИЛ:

Решение Арбитражного суда города Санкт-Петербурга и Ленинградской области от 01 декабря 2025 года по делу № А56-82945/2025 оставить без изменения, апелляционную жалобу Управления Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Северо-Западному Федеральному округу – без удовлетворения.

Постановление может быть обжаловано в Арбитражный суд Северо-Западного округа в срок, не превышающий двух месяцев со дня его принятия.

Председательствующий

А.Б. Семенова

Судьи

Т.Ю. Петрова

О.В. Фуркало