Привлечение оператора к ответственности за утечку персональных данных

Правовая основа и понятие утечки персональных данных

Утечка персональных данных представляет собой неправомерное раскрытие, распространение либо предоставление персональных данных третьим лицам без законных оснований или согласия субъекта данных. Утечка может произойти как в результате целенаправленных действий человека (например, кибератаки), так и из‑за технических сбоев или уязвимостей в системах защиты.

Правовое регулирование данной сферы осуществляется:

• Федеральным законом от 27.07.2006 № 152‑ФЗ «О персональных данных»;
• Кодексом Российской Федерации об административных правонарушениях (КоАП РФ);
• Гражданским кодексом Российской Федерации (ГК РФ);
• подзаконными актами, в т. ч. приказами Роскомнадзора, детализирующими требования к защите данных.

В соответствии со статьёй 3 Федерального закона № 152‑ФЗ оператором признаётся государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующее и (или) осуществляющее обработку персональных данных.

Обязанности оператора по обеспечению безопасности

Обязанность оператора обеспечивать безопасность персональных данных при их обработке закреплена в статье 19 Федерального закона от 27.07.2006 № 152‑ФЗ «О персональных данных».

Оператор обязан принимать необходимые правовые, организационные и технические меры для предотвращения неправомерного доступа к персональным данным. К числу таких мер относятся:

• разработка локальных актов и политик обработки персональных данных;
• назначение ответственного за обработку персональных данных;
• применение средств защиты информации;
• ограничение доступа к данным;
• проведение внутреннего контроля и аудита;
• обеспечение конфиденциальности данных, предотвращение их уничтожения, изменения, блокирования, копирования и иных неправомерных действий.

Невыполнение этих обязанностей может быть квалифицировано как нарушение законодательства о персональных данных.

Виды юридической ответственности

За утечку персональных данных оператор может быть привлечён к нескольким видам ответственности.

Административная ответственность

Основные составы правонарушений предусмотрены статьёй 13.11 КоАП РФ. В зависимости от характера нарушения возможны штрафы за:

• обработку персональных данных без законных оснований;
• нарушение требований к обеспечению безопасности;
• незаконное распространение данных;
• несоблюдение обязанностей по уведомлению уполномоченного органа.

Размер штрафов существенно варьируется и может достигать значительных сумм для юридических лиц.

Гражданско‑правовая ответственность

Субъект персональных данных вправе требовать:

• возмещения убытков (статья 15 ГК РФ);
• компенсации морального вреда (статья 151 ГК РФ);
• защиты нематериальных благ (статья 152.2 ГК РФ).

Ответственность наступает при наличии факта нарушения, вреда и причинно‑следственной связи.

Уголовная ответственность

В отдельных случаях возможно привлечение к ответственности:

• по статье 137 УК РФ (нарушение неприкосновенности частной жизни) — например, при незаконном сборе или распространении сведений о частной жизни;
• по статье 272 УК РФ (неправомерный доступ к компьютерной информации);
• по статье 273 УК РФ (создание, использование и распространение вредоносных программ);
• по статье 274 УК РФ (нарушение правил эксплуатации средств обработки информации).

Роль уполномоченного органа

Функции контроля и надзора в сфере персональных данных осуществляет Роскомнадзор. В его полномочия входят:

• проведение проверок операторов;
• рассмотрение жалоб субъектов данных;
• составление протоколов об административных правонарушениях;
• выдача предписаний об устранении нарушений;
• ведение реестра операторов персональных данных;
• мониторинг соблюдения законодательства в сфере обработки персональных данных.

Оператор обязан взаимодействовать с надзорным органом и исполнять его предписания.

Порядок привлечения к ответственности

Процедура привлечения оператора к ответственности включает следующие этапы:

1. Выявление факта утечки (по результатам проверки, жалобы или инцидента информационной безопасности).
2. Установление обстоятельств нарушения и круга затронутых лиц.
3. Проведение проверки уполномоченным органом. Процедура может различаться в зависимости от того, как Роскомнадзор выявил утечку: самостоятельно при мониторинге интернета или через уведомление от оператора. В первом случае регулятор может направить запрос с требованием предоставить пояснения, во втором — инициировать внеплановую проверку.
4. Составление протокола об административном правонарушении.
5. Рассмотрение дела и вынесение постановления о привлечении к ответственности.

Параллельно пострадавшие лица могут обратиться в суд с гражданскими исками.

Судебная практика

Суды учитывают обстоятельства каждого дела, включая причины утечки, принятые меры защиты и последствия для субъектов данных. Примеры:

1. Дело ОАО «РЖД». В начале 2025 года Роскомнадзор обнаружил в открытом доступе базу данных сотрудников РЖД. Суд первой инстанции назначил компании штраф по ч. 1 ст. 13.11 КоАП РФ. Однако апелляционный суд учёл, что утечка произошла в результате целенаправленной кибератаки, и снизил размер штрафа. Суд подчеркнул, что юридическое лицо признаётся виновным только в том случае, если у него была возможность соблюсти правила, но оно не приняло всех зависящих от него мер (ч. 2 ст. 2.1 КоАП РФ).
2. Дело Минтруда. Данные сотрудников Минтруда были опубликованы в интернете. Роскомнадзор возбудил дело, и мировой судья оштрафовал Минтруд на 100 тыс. руб. Апелляция и кассация оставили решение в силе, а Верховный Суд с этим согласился. Довод Минтруда о том, что утечка произошла через доступ злоумышленника к инфраструктуре подрядной организации, суд признал несостоятельным. Это подтверждает, что передача обработки данных подрядчику не освобождает оператора от административной ответственности.
3. Дело о малозначительности утечки. В постановлении мирового судьи судебного участка № 456 Даниловского района Москвы от 30 ноября 2023 года по делу № 05‑1415/456/2023 суд признал утечку малозначительной из‑за малого размера (одна запись) и короткого времени публикации данных (три минуты), а также отсутствия доказательств их копирования.

Доказывание и распределение бремени

В делах о нарушении законодательства о персональных данных ключевое значение имеет доказательственная база.

Оператор должен подтвердить:

• принятие всех необходимых мер по защите данных;
• соблюдение требований закона;
• отсутствие своей вины (при наличии такой позиции).

Субъект персональных данных, в свою очередь, доказывает факт нарушения и причинённый вред.

Судебная практика исходит из повышенного стандарта ответственности оператора как профессионального участника обработки данных.

Обстоятельства, влияющие на ответственность

При определении меры ответственности учитываются:

• характер и объём утечки;
• количество пострадавших субъектов;
• степень вины оператора;
• наличие или отсутствие мер по предотвращению инцидента;
• оперативность реагирования на утечку.

Добросовестное поведение оператора после выявления инцидента может быть учтено как смягчающее обстоятельство.

Меры по минимизации рисков

Для снижения вероятности привлечения к ответственности оператору рекомендуется:

• внедрять комплексную систему защиты персональных данных;
• регулярно обновлять внутренние документы;
• обучать сотрудников;
• проводить аудиты информационной безопасности;
• документировать все процессы обработки данных;
• оперативно реагировать на инциденты.

Привлечение оператора к ответственности за утечку персональных данных является важным элементом правового механизма защиты частной жизни и информационной безопасности. Законодательство Российской Федерации устанавливает комплекс требований к операторам и предусматривает различные виды ответственности за их нарушение. Эффективная правовая защита в данной сфере требует как от операторов — соблюдения установленных стандартов, так и от субъектов персональных данных — активного использования предусмотренных законом механизмов защиты своих прав.

С уважением, адвокат Анатолий Антонов, управляющий партнер адвокатского бюро «Антонов и партнеры». (Г)

Адвокатское бюро «Антонов и партнеры» готово оказать юридическую помощь по всем категориям дел в любых регионах России. Эффективно и качественно решаем возникшие у Вас юридические задачи любой сложности.