⚖️Суд освободил РЖД от ответственности за утечку персональных данных.

Девятый арбитражный апелляционный суд отменил штраф РЖД в 150 тысяч рублей за публикацию в Telegram базы работников объемом более 17 миллионов строк.

РКН обнаружил базу в Telegram-каналах решил что оператор плохо защищал персональные данные и обратился в суд. Суд первой инстанции назначил штраф по ч.1 ст.13.11 КоАП РФ.

РЖД пошло в апелляцию с аргументом: "это была целенаправленная кибератака, возбуждено уголовное дело, доступ получили третьи лица с использованием специализированного ПО. Это не "слив по халатности", а взлом".

Апелляция согласилась, что сам факт утечки еще не означает автоматически установленную вину компании.

Юридическое лицо виновно, если не приняло всех зависящих от него меры по соблюдению требований. А значит, регулятор должен доказать:
- какие именно обязательные меры не были реализованы;
- в чем конкретно состояло нарушение;
- как это повлияло на утечку.

Если же установлено, что имело место внешнее преступное вмешательство, а уголовное дело о взломе не завершено, то нельзя делать вывод о "вине оператора".