Партнер Наталья Коваленко комментирует два различных подхода судов в отношении одного и того же оператора ПДн.
⚖️ В деле № А19-25808/2025 АС Иркутской области и Четвертый арбитражный апелляционный суд признали ООО «Орион Телеком» виновным по ч. 13 ст. 13.11 КоАП РФ за утечку данных 36 544 абонентов, опубликованных хакерской группировкой в Telegram-канале 29.07.2025.
Cуды указали, что деяние считается оконченным в момент неправомерной передачи, предоставления, распространения или доступа к данным, то есть в момент их публикации, а не в момент более раннего проникновения в информационную систему в период с 24 по 26 мая 2025 года. Само проникновение в информационную систему суды назвали лишь подготовительным действием, не образующим объективную сторону правонарушения.
🔍 Напротив, в деле № А74-10378/2025 АС Республики Хакасия по факту утечки данных того же оператора пришел к противоположному выводу. Суд установил, что неправомерный доступ третьих лиц к информационной системе произошел 24 мая 2025 года, то есть до вступления в силу ч. 13 ст. 13.11 КоАП РФ, и на этом основании переквалифицировал действия общества на более «мягкую» ч. 1 ст. 13.11 КоАП РФ. По мнению суда, правонарушение, предусмотренное ч. 13 ст. 13.11 КоАП РФ, считается оконченным в момент, когда действия (бездействие) оператора повлекли любое из перечисленных в статье последствий (неправомерная передача (предоставление, распространение, доступ) информации).
Таким образом, по мнению суда, в данном случае вменяемое обществу нарушение является оконченным при наступлении последствий в виде несанкционированного доступа к персональным данным, находящимся у общества, состоявшегося 24 мая 2025 года.
Это расхождение показывает, что судебная практика по квалификации утечек ПДн не единообразна, и итоговая квалификация может критически зависеть от того, что суд признает моментом окончания правонарушения, сам взлом или последующую публикацию похищенных данных.
🛑 Для операторов ПДн это означает, что дата фактической публикации украденных данных сохраняет решающее значение для риска привлечения к ответственности по ч. 13 ст. 13.11 КоАП РФ и исход спора может отличаться в зависимости от суда и представленных доказательств о хронологии инцидента.
➖➖➖➖➖
📧 В случае возникновения вопросов, связанных с утечкой персональных данных, партнер «Пепеляев Групп» Наталья Коваленко (N.Kovalenko@pgplaw.ru) готова на них ответить.