✏️ Кейс: Утечка длиною в жизнь

Через три месяца вступит в силу штраф за повторную утечку персональных данных (ч. 15 и 18 ст. 13.11 КоАП РФ). И это не просто штраф, а штраф в процентах от оборота компании. Мы решили проверить, привлекались ли компании ранее к ответственности за повторные утечки, и нашли несколько судебных решений. Сегодня разберем одно из них — достаточно свежее решение суда от сентября 2023 года.

Обстоятельства дела:

Управление Роскомнадзора по ЦФО в ходе мониторинга интернет-ресурсов обнаружило в открытом доступе базу данных ПАО «ВымпелКом», содержащую персональные данные клиентов: ФИО, номера телефонов, паспортные данные и адреса прописки. Компания уведомила Роскомнадзор об этой утечке 2 и 4 июня 2023 года, указав, что в базе содержатся данные, актуальные на 2006 год, и что они были распространены неустановленным третьим лицом.

Роскомнадзор квалифицировал этот инцидент как повторное нарушение и составил протокол по ч. 1.1 ст. 13.11 КоАП РФ, поскольку в феврале 2023 года компания уже привлекалась к ответственности по ч. 1 ст. 13.11 КоАП РФ — тоже за утечку.

Позиция защиты:

Защитник компании заявил, что отсутствуют признаки повторности, а срок давности привлечения к административной ответственности истек, ведь база данных была размещена в сети Интернет еще в 2006 году. Кроме того, он подчеркнул, что направление уведомления об утечке — это не признание вины, а просто исполнение обязанности, предусмотренной законом.

Что решил суд?

Суд признал нарушение длящимся. Днём обнаружения правонарушения была определена дата, когда в сети была размещена информация об утечке — 1 июня 2023 года. Это подтверждалось уведомлениями компании об утечке и скриншотами.

Суд отклонил довод защиты о том, что уведомление об утечке не может быть основанием для возбуждения дела. Суд указал, что добровольное сообщение об утечке не препятствует возбуждению производства, если событие правонарушения установлено. Однако учел это как смягчающее обстоятельство со ссылкой на п. 3 ч. 1 ст. 4.2 КоАП РФ (добровольное сообщение о совершенном административном правонарушении). В итоге штраф составил минимальные 100 000 рублей.

О чём нам напоминает это решение?

Новая редакция ст. 13.11 КоАП выделяет утечку персональных данных в отдельное правонарушение. Но риски, вытекающие из этого судебного решения, останутся актуальными:

⚫️Утечка как длящееся нарушение. Если данные продолжают находиться в открытом доступе, суды могут квалифицировать это как длящееся правонарушение. Срок давности в таких случаях отсчитывается с момента фактического обнаружения нарушения или когда оно могло быть обнаружено. Даже если утечка произошла до 30 мая 2025 года, есть риск, что штрафы будут накладываться по новым составам ст. 13.11 КоАП РФ (несмотря на то, что закон не имеет обратной силы).

⚫️Уведомление как подтверждение нарушения. Суд может расценить уведомление об утечке как подтверждение факта нарушения.

Решение было оставлено в силе в апелляции. Более того, похожие аргументы позже были использованы в решении суда по другому делу.