Кто ответит за утечку персональных данных

К персональным данным относится любая информация, позволяющая идентифицировать личность, не исключая профессиональную и деловую деятельность , в том числе сведения об образовании, об ученой степени, ученом звании, опыте работы, трудоустройстве, а также фото и видео (постановление Конституционного Суда от 25.05.2021 № 22-П).

Утечка персональных данных — инцидент, при котором к персональным данным без законных оснований получают доступ посторонние лица; как правило, наибольшие последствия имеет утечка персональных данных, произошедшая вследствие взлома соответствующих баз данных, поскольку в таких случаях распространяется информация о сотнях (иногда тысячах) людей.

Распространение персональных данных — действия, направленные на раскрытие персональных данных неопределенному кругу лиц; ст. 3 закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных».

Не секрет что получить доступ к персональным данным стремятся злоумышленники: используя такого рода информацию, преступники вводят в заблуждение людей и в результате мошеннических действий похищают имущество. Иногда персональные данные могут использоваться для незаконного оформления кредитов либо оформления иных договоров.

Например, при проверке документов мигранта выявлена преступная схема, при которой от имени индивидуального предпринимателя, используя его персональные данные, оформлялись трудовые договоры с мигрантами. Сам индивидуальный предприниматель конечно же ничего об этом не знал. Безусловно, трудовые договоры были легко оспорены, однако без проверок для индивидуального предпринимателя все же не обошлось.

Сразу же стоит отметить, что законодательство о персональных данных предъявляет массу требований к операторам, то есть к тем, кто обрабатывает персональные данные; соблюдать такие требования в полном объеме крайне трудоемко, затратно и практически невозможно. Например, если следовать букве закона, то в организации должно быть разработано порядка 40 локальных актов в данной области.

При утечке персональных данных к ответственности привлекут как конкретных лиц, осуществивших кражу персональных данных (уголовная ответственность), так и оператора обработки персональных данных (административная ответственность; юридические лица, ИП и должностные лица).

Говоря об уголовной ответственности, следует отметить, что квалификация преступления (то есть статья, по которой привлекут лицо) зависит от обстоятельств произошедшего, однако преимущественно преступные деяния в области персональных данных подпадают:

• Статья 137 УК: за распространение сведений, которые составляют личную или семейную тайну лица, за исключением случаев, когда такие сведения представляют собой компьютерную информацию с персональными данными, полученную незаконным путем.

• Ч. 1 - 5 статьи 272.1 УК: незаконную передачу компьютерной информации с персональными данными (ее распространение, предоставление, доступ к ней), если она получена незаконным путем.

• Ч. 6 статьи 272.1 УК: за создание и (или) обеспечение функционирования информационного ресурса (например, сайта либо программы для ЭВМ), который заведомо предназначен в том числе для незаконной передачи информации, содержащей персональные данные.

Говоря об административной ответственности: правонарушения в сфере законодательства о персональных данных предусмотрены положениями ст. 13.11 КоАП.

• Части 12 - 14 ст. 13.11 КоАП предусматривают ответственность за действия (бездействие) оператора, повлекшие неправомерную передачу (предоставление, распространение, доступ) информации, включающей персональные данные.

• По части 12 — если произошла неправомерная передача персональных данных от 1 000 до 10 000 субъектов персональных данных и (или) от 10 000 до 100 000 идентификаторов.

• По части 13 — если произошла неправомерная передача персональных данных от 10 000 до 100 000 субъектов персональных данных и (или) от 100 000 до 1 000 000 идентификаторов.

• По части 14 — если произошла неправомерная передача персональных данных более 100 000 субъектов персональных данных и (или) более 1 000 000 идентификаторов.

Санкции суровые: для юридических лиц штрафы исчисляются миллионами рублей.

Состав данного правонарушения является материальным (то есть для признания противоправного деяния оконченным необходимо наступление общественно вредных последствий), поскольку в результате действий (бездействия) предусматривает наступление вредных последствий — неправомерную передачу (предоставление, распространение, доступ) информации, включающей персональные данные. Правонарушение считается оконченным в момент неправомерной передачи (предоставления, распространения, доступа) информации.

В соответствии с положениями ч. 2 ст. 2.1 КоАП юридическое лицо признается виновным в совершении административного правонарушения, если будет установлено, что у него имелась возможность для соблюдения правил и норм, за нарушение которых предусмотрена административная ответственность, но данным лицом не были приняты все зависящие от него меры по их соблюдению.

Однако убедить суд в том, что юридическое лицо приняло все зависящие от него меры по обеспечению сохранности персональных данных, к сожалению практически невозможно.

В одном из дел представитель юридического лица, привлекаемого к административной ответственности, даже заявил ходатайство о назначении экспертизы для определения степени вины общества! Суд в удовлетворении ходатайства отказал: «Определение степени вины Общества относится к компетенции суда» (дело № А27-23786/2025).

Отказ, на мой взгляд, справедливый, однако, считаю, что проведение подобного рода экспертизы интересный «ход»: лицо, обладающее специальными знаниями вполне реально может провести глубокий анализ, соотнеся требования законодательства в области персональных данных, разъяснения и официальные позиции ведомств по данному вопросу и возможности юридического лица, исходя из финансовых и технических ресурсов. Возможно, следовало изменить формулировку заявленного ходатайства.

Вывод неутешительный: если утечка информации, содержащей персональные данные произошла, то юридическое лицо с высокой долей вероятности будет признано виновным в совершении административного правонарушения.

Кстати, о выявленном факте неправомерной передачи (предоставление, распространение, доступ) персональных данных, повлекшей нарушение прав субъектов персональных данных, оператор обязан в течение 24 часов с момента выявления направить в Роскомнадзор соответствующее уведомление. В дальнейшем, в течение 72 часов с момента выявления оператору необходимо сведения о результатах внутреннего расследования инцидента.

За неуведомление о выявленном факте — административная ответственность, предусмотренная ч. 11 ст. 13.11 КоАП.

Возможна и дисциплинарная ответственность за факты утечки информации, содержащей персональные данные. Однако, внутри организации ответственность распределяется на конкретных специалистов:

1. Руководитель обязан обеспечить организацию защиты данных. Если в компании нет регламентов, отсутствуют ответственные лица за конкретные процессы, система безопасности не отвечает требованиям, вся ответственность будет возлагаться непосредственно на руководство.

2. Рядовой сотрудник может быть привлечен к дисциплинарной или материальной ответственности, если своими действиями спровоцирует утечку данных. Например, потеряет ноутбук с конфиденциальной информацией или откроет фишинговое письмо. При этом, если специалист не проинструктирован о правилах работы с персональными данными, привлечь его к ответственности невозможно.

3. Ответственные лица за обработку данных будут наказаны, если они не исполнили свои должностные обязанности (отсутствие контроля за работой подчиненных, нет никакой внутренней документации с установленными правилами и т. д.). Однако, если будет выявлено, что эта должность в организации номинальная, у специалиста нет полномочий, ответственность будет снята.

4. Специалисты по информационной безопасности отвечают за утечку данных, если она произошла из-за каких-либо технических недоработок. Например, доступ к персональными данным был получен из-за критической уязвимости системы или неправильно настроенного доступа. При этом, если специалист предупреждал о проблеме, но его запрос был проигнорирован, ответственность будет нести руководитель организации.

Привлечение к дисциплинарной ответственности в данном случае будет производиться по общим правилам. Однако, к слову, действующим законодательством предусмотрена возможность увольнения (расторжение трудового договора по инициативе работодателя) за разглашение охраняемой законом тайны, в том числе персональных данных (пп. «в» п. 6 ч. 1 ст. 81 Трудового кодекса).

Возможна и материальная ответственность работника в случае, если работодателю пришлось возмещать материальный ущерб или моральный вред пострадавшим по его вине лицам, что предусмотрено положениями ст. 90, ч. 1 ст. 238 Трудового кодекса.

Работник обязан возместить работодателю причиненный ему прямой действительный ущерб (ст. 238 Трудового кодекса).

Законодательство предусматривает и возможность гражданско-правовой ответственности, наступает, если разглашение персональных данных повлекло убытки или причинило моральный вред субъекту персональных данных.

Положения ч. 2 ст. 24, ст. 3 закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных» определяют, что моральный вред компенсируется, даже если возмещен имущественный вред и понесенные физическим лицом убытки.

Чтобы взыскать ущерб, пострадавшее лицо обязано доказать:

• Факт утечки сведений и то, что информация содержит непосредственно его персональные данные.

• Какая конкретно информация оказалась в руках злоумышленников (чем больше данных попало к третьим лицам, тем выше риск для пострадавшего).

• Какие последствия наступили после утечки (навязчивые рекламные звонки, попытки мошенничества, попытки украсть доступ к банковским приложениям, перевыпуск документов, стресс и т. д.).

В целях взыскания ущерба необходимо подать иск в суд по месту жительства, указав в нем требование о моральной компенсации и возмещении ущерба.

Размер денежной компенсации определит суд с учетом вины и страданий потерпевшего (ст. 151 ГК).

Размер компенсации морального вреда определяется судом в зависимости от характера причиненных потерпевшему физических и нравственных страданий, а также степени вины причинителя вреда в случаях, когда вина является основанием возмещения вреда. При определении размера компенсации вреда должны учитываться требования разумности и справедливости.

Характер физических и нравственных страданий оценивается судом с учетом фактических обстоятельств, при которых был причинен моральный вред, и индивидуальных особенностей потерпевшего (п. 2 ст. 1101 Гражданского кодекса).

Примечательно, что, если вред причинен работником, возмещать его будет работодатель (п. 1 ст. 1068 ГК).

В случае, если Вам стало известно о произошедшей утечке Ваших персональных данных также следует обратиться в Роскомнадзор с жалобой на оператора.

Не так давно стало известно об инициативе Аналитического центра при Правительстве об освобождении центров обработки данных (ЦОД) от ответственности за утечку персональной информации. Стоит отметить, что речь идет только о коммерческих дата-центрах, которые предоставляют исключительно инфраструктурные услуги или занимаются размещением клиентского оборудования, но при этом не имеют никакого доступа к информации и не занимаются ее обработкой.

Следовательно, оператор не сможет переложить свою вину на другую организацию, и будет нести ответственность в рамках действующих законов. Если проект будет принят, фактически ничего не поменяется, вся ответственность за сбор и обработку данных по-прежнему будет лежать на операторах.