Court ruling № 42014720, 24.12.2014, Administrative Cassation Court of the Supreme Court (until 15.12.2027 - Higher Administrative Court of Ukraine)

ВИЩИЙ АДМІНІСТРАТИВНИЙ СУД УКРАЇНИ

У Х В А Л А

І М Е Н Е М У К Р А Ї Н И

"24" грудня 2014 р. м. Київ К/800/52558/14

Колегія суддів Вищого адміністративного суду України в складі:

Головуючої: Гончар Л.Я.,

Суддів: Конюшка К.В.,

Чалого С.Я.,

при секретарі: Руденко Н.В.,

за участю представників сторін: позивача: Жарикової О.В., третьої особи: Сінельника І.Є., Білецького О.В., відповідача: Опанасенко А.В., розглянувши у відкритому судовому засіданні в залі суду адміністративну справу за касаційною скаргою Міністерства юстиції України на постанову Окружного адміністративного суду міста Києва від 04 липня 2014 року та ухвалу Київського апеляційного адміністративного суду від 23 вересня 2014 року у справі за позовом приватного акціонерного товариства «Інфраструктура відкритих ключів» до Міністерства юстиції України, третя особа: Державна служба спеціального зв'язку та захисту інформації України, про скасування наказу, -

В С Т А Н О В И Л А :

Приватне акціонерне товариство «Інфраструктура відкритих ключів» звернулось до суду з позовом до Міністерства юстиції України, третя особа: Державна служба спеціального зв'язку та захисту інформації України, про скасування наказу від 27.05.2014 № 821/5 «Про скасування акредитації та анулювання свідоцтва про акредитацію центру сертифікації ключів приватного акціонерного товариства «Інфраструктура відкритих ключів».

Позовні вимоги мотивовано протиправністю оскаржуваного наказу як такого, що прийнято за відсутності передбачених законом підстав, на підставі помилкових висновків щодо невиконання центром сертифікації ключів приватного акціонерного товариства «Інфраструктура відкритих ключів» встановлених вимог щодо надання послуг електронного цифрового підпису та без дотримання строку, відведеного заявникові для усунення недоліків, встановлених актом перевірки.

Постановою Окружного адміністративного суду міста Києва від 04 липня 2014 року, залишеною без змін ухвалою Київського апеляційного адміністративного суду від 23 вересня 2014 року позов задоволено: визнано протиправним та скасовано наказ Міністерства юстиції від 27.05.2014 № 821/5 «Про скасування акредитації та анулювання свідоцтва про акредитацію центру сертифікації ключів приватного акціонерного товариства «Інфраструктура відкритих ключів».

У поданій касаційній скарзі Міністерство юстиції із посиланням на порушення судами першої та апеляційної інстанцій норм матеріального та процесуального права просило скасувати оскаржувані судові рішення та постановити нове, яким у задоволенні позову відмовити.

Заслухавши доповідь судді Вищого адміністративного суду України стосовно обставин, необхідних для прийняття рішення судом касаційної інстанції, перевіривши і обговоривши доводи касаційної скарги, правильність правової оцінки обставин справи та застосування судами першої та апеляційної інстанцій норм матеріального та процесуального права, колегія суддів вважає, що скарга не підлягає задоволенню з огляду на наступне.

Судами попередніх інстанцій встановлено та матеріалами справи підтверджено, що відповідно до виданого Міністерством юстиції України приватному акціонерному товариству«Інфраструктура відкритих ключів» свідоцтва серії А №12 про акредитацію центру сертифікації ключів, центр сертифікації ключів позивача відповідає вимогам акредитованого центру сертифікації ключів та внесений до Реєстру суб'єктів, які надають послуги електронного цифрового підпису; свідоцтво дійсне до 31.01.2018.

Згідно з атестатом відповідності від 06.09.2013 №8881, виданим Державною службою спеціального зв'язку та захисту інформації України, комплексна система захисту інформації центру сертифікації ключів позивача забезпечує захист інформації відповідно до вимог нормативних документів системи технічного захисту інформації в Україні; атестат видано на підставі експертного висновку, який надано організатором експертизи - товариства з обмеженою відповідальністю «Науково-виробниче підприємство «Безпека інформаційно-телекомунікаційних систем»; атестат відповідності дійсний до 06.09.2018.

У період із 03.03.2014 по 14.03.2014 комісією Державної служби спеціального зв'язку та захисту інформації України проведено планову перевірку стану дотримання вимог законодавства у сфері надання послуг електронного цифрового підпису в акредитованому центрі сертифікації ключів позивача, за результатами якої 14.03.2014 складено акт №ВП02/03-03, відповідно до якого позивачем допущено ряд порушень законодавства у сфері надання послуг електронного цифрового підпису, а саме: віддалений адміністратор реєстрації ВПР має права локальної групи користувачів «Адміністратор», той самий, що і адміністратор безпеки, що є порушенням розділу 4 Порядку ВПР; встановлено антивірусне програмне забезпечення Microsoft Security Essentials (Engine version 1.1.10302.0), яке не має позитивного експертного висновку за результатами державної експертизи в сфері технічного захисту інформації щодо правильності реалізації функціональних послуг безпеки, як того вимагає розділ 6.2 Порядку ВПР; у «Посадових інструкціях відділеного адміністратора реєстрації ВПР», «Посадових інструкціях начальника ВПР» та «Посадових інструкціях оператора реєстрації ВПР» були відсутні підписи щодо ознайомлення; відсутні документи «Комплексна система захисту інформації АС ЦСК. Комплекс засобів захисту. Засоби антивірусного захисту» та «Програмно-технічний комплекс центру сертифікації ключів. РС віддаленого адміністратора реєстрації центру сертифікації ключів. Інструкція з експлуатації КТЗ», наявність яких передбачена розділом 5 Порядку ВПР; відсутній документ «Пам'ятка обслуговуючому персоналу щодо забезпечення безпеки експлуатації технічних засобів ВПР та поводження із ключовими документами», наявність якого передбачена розділом 5 Порядку ВПР; одне з приміщень ВПР не має шафи або аналогу для зберігання документів, що містять персональні дані заявників/підписувачів. Обидва ВПР не мають сейфів для зберігання персональних ключових документів. Порушення вимог розділу 6.5 Порядку ВПР; встановлене прикладне програмне забезпечення не відповідає зазначеному у формулярі на ВПР (додатково встановлені програми: Expert-FM, Mozilla Firefox 14.0.1, Skype 6.1, Google chrome, CCleaner 3.4.1369 та інші).

На підставі акта перевірки від 14.03.2014 контролюючим органом складено припис про усунення порушень вимог законодавства у сфері надання послуг електронного цифрового підпису, яким акредитований центр сертифікації ключів позивача зобов'язано у строк до 01.07.2014 усунути виявлені у ході перевірки та зафіксовані в акті порушення.

Про результати проведеної перевірки позивача контролюючим органом листом від 27.03.2014 №11/11-402 повідомлено Міністерство юстиції України.

27 травня 2014 року відповідачем видано оскаржуваний наказ №821/5, яким скасовано акредитацію акредитованого центру сертифікації ключів позивача з 27.05.2014 та анульовано свідоцтво серії А №12, видане відповідно до рішення центрального засвідчувального органу від 01.02.2013 №209/5.

Як убачається з оскаржуваного наказу, його видано на підставі постанови Кабінету Міністрів України від 28.10.2004 №1451 «Про затвердження Положення про центральний засвідчувальний орган» та абзацу 5 пункту 14 Порядку акредитації центру сертифікації ключів, затвердженого постановою Кабінету Міністрів України від 13.07.2004 №903, у зв'язку з невиконанням акредитованим центром сертифікації ключів позивача встановлених вимог щодо надання послуг електронного цифрового підпису.

Вважаючи наказ Міністерства юстиції України від 27.05.2014 № 821/5 протиправним, позивач звернувся до суду з даним адміністративним позовом

Задовольняючи позовні вимоги, суд першої інстанції, з позицією якого погодився суд апеляційної інстанції, виходив з протиправності оскаржуваного рішення як такого, що прийняте безпідставно, всупереч вимогам чинного законодавства та без належного з'ясування усіх фактичних обставин справи.

Колегія суддів, виходячи з меж касаційного перегляду, визначених статтею 220 Кодексу адміністративного судочинства України, погоджується з вказаними висновками судів попередніх інстанцій, з огляду на наступне.

Згідно з частиною першою статті 8 Закону України «Про електронний цифровий підпис» центром сертифікації ключів може бути юридична особа незалежно від форми власності або фізична особа, яка є суб'єктом підприємницької діяльності, що надає послуги електронного цифрового підпису та засвідчила свій відкритий ключ у центральному засвідчувальному органі або засвідчувальному центрі з дотриманням вимог статі 6 цього Закону.

Відповідно до статті 9 Закону України «Про електронний цифровий підпис» центр сертифікації ключів, акредитований в установленому порядку, є акредитованим центром сертифікації ключів та має право: надавати послуги електронного цифрового підпису та обслуговувати виключно посилені сертифікати ключів; отримувати та перевіряти інформацію, необхідну для реєстрації підписувача і формування посиленого сертифіката ключа, безпосередньо у юридичної або фізичної особи чи її представника. Акредитований центр сертифікації ключів має виконувати усі зобов'язання та вимоги, встановлені законодавством для центру сертифікації ключів, та додатково зобов'язаний використовувати для надання послуг електронного цифрового підпису надійні засоби електронного цифрового підпису. Порядок акредитації та вимоги, яким повинен відповідати акредитований центр сертифікації ключів, встановлюються Кабінетом Міністрів України.

Відповідно до пункту 3 Положення про Міністерство юстиції України, затвердженого Указом Президента України від 06.04.2011 №395/2011, на вказане міністерство покладено функції центрального засвідчувального органу шляхом забезпечення створення умов для функціонування засвідчувальних центрів органів виконавчої влади або інших державних органів та центрів сертифікації ключів.

Основним завданням центрального засвідчувального органу, відповідно до Положення про центральний засвідчувальний орган Міністерства юстиції, затвердженого постановою Кабінету Міністрів України від 28.10.2004 №1451, є обслуговування сертифікатів ключів центрів та їх акредитація. Серед інших завдань, зокрема, передбачено здійснення акредитації центрів, видачу, переоформлення та анулювання відповідних свідоцтв, блокування, скасовування та поновлення сертифікатів ключів центрів у випадках, передбачених Законом України «Про електронний цифровий підпис».

Згідно з вимогами статті 12 Закону України «Про електронний цифровий підпис» функції контролюючого органу здійснює спеціально уповноважений центральний орган виконавчої влади з питань організації спеціального зв'язку та захисту інформації. Контролюючий орган перевіряє дотримання вимог цього Закону центральним засвідчувальним органом, засвідчувальними центрами та центрами сертифікації ключів.

Функції контролюючого органу покладено законодавством на Державну службу спеціального зв'язку та захисту інформації України - третю особу у справі.

Відповідно до пунктів 8.1, 8.5 розділу 8 Положення про порядок здійснення державного контролю за додержанням вимог законодавства у сфері надання послуг електронного цифрового підпису, затвердженого наказом Адміністрації Державної служби спеціального зв'язку та захисту інформації України від 24.07.2007 №143, на підставі акта, який складено за результатами здійснення перевірки, у ході якої виявлено порушення вимог законодавства, протягом п'яти робочих днів з дня завершення перевірки складається припис про усунення порушень, виявлених під час перевірки. Припис видається та підписується членами Комісії, які здійснювали перевірку. Суб'єкт перевірки зобов'язаний у встановлений в приписі термін письмово подати контролюючому органу інформацію про усунення порушень разом з документами, що це підтверджують.

Відповідно до пункту 7.7 вищезазначеного Положення в разі перевірки акредитованого центру, копія акта протягом п'яти робочих днів після завершення перевірки направляється до центрального засвідчувального органу.

В силу пункту 8.6 зазначеного Положення у випадку встановлення за результатами проведеної перевірки акредитованого центру та центру сертифікації ключів фактів (ознак) компрометації особистого ключа порушення вимог законодавства у сфері послуг ЕЦП, не усунених за встановлений у приписі термін, недостовірних даних, зазначених у сертифікаті ключа, контролюючим органом розглядаються надані матеріали та відповідно до статті 12 Закону України «Про електронний цифровий підпис» вирішуються питання щодо видання розпорядження центральному засвідчувальному органу про застосування заходів стосовно суб'єкта перевірки відповідно до закону.

Вичерпний перелік підстав для скасування акредитації визначений Порядком акредитації центру сертифікації ключів, затвердженим постановою Кабінету Міністрів України від 13.07.2004 №903.

Згідно з вимогами пункту14 зазначеного Порядку рішення про скасування акредитації центральний засвідчувальний орган приймає у разі: повідомлення контролюючим органом про порушення акредитованим центром законодавства; неукладення протягом року жодного договору про надання послуг електронного цифрового підпису; непоповнення спеціального рахунка для забезпечення відшкодування збитків; невиконання акредитованим центром встановлених вимог щодо надання послуг електронного цифрового підпису згідно із законодавством; прийняття акредитованим центром рішення про припинення діяльності.

Відповідно до частини третьої статті 12 Закону України «Про електронний цифровий підпис» у разі невиконання або неналежного виконання обов'язків та виявлення порушень вимог, встановлених законодавством для центру сертифікації ключів, засвідчувального центру, контролюючий орган дає розпорядження центральному засвідчувальному органу про негайне вжиття заходів, передбачених законом.

З аналізу норм чинного законодавства убачається, що процедура проведення перевірок в сфері послуг ЕЦП, оформлення її результатів, прийняття рішення, а також повноваження державних органів, зокрема, контролюючого та центрального засвідчувального органів, є чітко регламентованими. Рішення про застосування заходів впливу до суб'єкта господарювання повинно прийматися центральним засвідчувальним органом за розпорядженням контролюючого органу.

Судами попередніх інстанцій встановлено, що будь-які розпорядження про негайне вжиття заходів, передбачених законом, третьою особою в даному випадку не приймались. Про проведення перевірки та про факт виявлення порушень третя особа повідомила відповідача листом від 27.03.2014 № 11/11-402

При цьому, за своїм змістом вказаний лист є супровідним листом до акту перевірки, примірник якого контролюючий орган зобов'язаний направляти відповідачу відповідно до пункту 7.7 Положення про порядок здійснення державного контролю за додержанням вимог законодавства у сфері надання послуг електронного цифрового підпису, затвердженого наказом Адміністрації Державної служби спеціального зв'язку та захисту інформації України від 24.07.2007 №143.

Також, із зазначеного листа убачається, що третьою особою поінформовано відповідача про винесення за результатами перевірки припису про усунення порушень. Проте, даний припис не взято до уваги відповідачем при прийняті оскаржуваного рішення.

За таких обставин, колегія суддів погоджується з висновком судів попередніх інстанцій про безпідставність посилання відповідача та третьої особи як на підставу для прийняття оскаржуваного рішення на лист від 27.03.2014 № 11/11-402.

З огляду на викладене, зважаючи на той факт, що встановлений приписом від 14.03.2014 строк на усунення позивачем виявлених перевіркою порушень на час прийняття оскаржуваного рішення не закінчився, беручи до уваги відсутність прийняття контролюючим органом розпорядження центральному засвідчувальному органу про негайне вжиття заходів щодо усунення порушень у сфері послуг ЕЦП, колегія суддів вказує на обґрунтованість тверджень судів попередніх інстанцій щодо протиправності наказу Міністерства юстиції України від 27.05.2014 № 821/5 як такого, що прийнятий без врахування усіх обставин, що мають значення при прийнятті такого рішення.

Доводи касаційної скарги висновків суду першої та апеляційної інстанції не спростовують.

Правова оцінка встановлених обставин справи судами першої та апеляційної інстанцій дана вірно, порушень норм матеріального та процесуального права при ухваленні оскаржуваних судових рішень судами не допущено.

Відповідно до статті 224 Кодексу адміністративного судочинства України суд касаційної інстанції залишає касаційну скаргу без задоволення, а судові рішення - без змін, якщо визнає, що суди першої та апеляційної інстанцій не допустили порушень норм матеріального і процесуального права при ухваленні судових рішень чи вчиненні процесуальних дій.

Керуючись статтями 160, 167, 220, 221, 224, 230, 231 Кодексу адміністративного судочинства України, колегія суддів ,-

У Х В А Л И Л А :

Касаційну скаргу Міністерства юстиції України залишити без задоволення, а постанову Окружного адміністративного суду міста Києва від 04 липня 2014 року та ухвалу Київського апеляційного адміністративного суду від 23 вересня 2014 року - без змін.

Ухвала набирає законної сили з моменту проголошення та може бути переглянута в порядку статей 235-2391 Кодексу адміністративного судочинства України.

Судді: