Перед вступлением в силу поправок в КоАП РФ мы решили изучить судебную практику по утечкам персональных данных. Получилось ни много ни мало — 219 судебных решений. Рассчитываем, что подробный обзор, который мы уже готовим, поможет DPO
А пока делимся с вами перечнем аргументов, которые не срабатывают в судах по делам об утечках:
⚫️«Это хакеры»
Утечка произошла в результате хакерской атаки / взлома / действий злоумышленников. Оператор не предоставлял доступ к данным, не размещал их в открытом доступе и сам является потерпевшим, а не нарушителем.
Позиция судов: суды указывают, что успешная атака — это показатель недостаточности мер защиты. Сам по себе факт несанкционированного доступа не имеет значения для квалификации по ч. 1 ст. 13.11 КоАП РФ (решение по делу № 05-0654/52/2023, № 5-508/2023 (оставлено в силе)).
❗️Исключение: если оператор признан потерпевшим в рамках возбужденного уголовного дела, суд, как правило, прекращает дело из-за отсутствия состава правонарушения. В таких случаях суды обычно указывают, что оператор выполнил требования закона своевременно и в полном объеме, а виновные действия (бездействия) оператора не установлены.
⚫️«Это не персональные данные»
Затронутый утечкой набор данных (например, ФИО + телефон/email, или только email) не позволяет однозначно идентифицировать конкретного человека.
Позиция судов: суды опираются на нормативное определение персональных данных и напоминают, что принцип идентификации не является единственно возможным критерием (решение по делу № 4-44/2023). Если утекли только ФИО + телефон/email (решение по делу № 5-246/412/2024), или email (решение по делу № 4-44/2023), за утечку придётся отвечать.
⚫️«Виноват подрядчик»
Утечка произошла на стороне / по вине подрядчика, поэтому в действиях оператора нет состава административного правонарушения.
Позиция судов: оператор должен обеспечивать безопасность данных. Утечка на стороне / по вине подрядчика не снимает ответственности с оператора, поскольку он не обеспечил достаточный контроль за действиями подрядчика или обеспечением защиты на его стороне (решение по делу № 05-0902/2024, № 5-7/2025, № 5-898/23 (оставлено в силе), № 5-766/2024 (оставлено в силе)).
⚫️«Данные устарели»
В утечке содержатся старые / неактуальные данные, а потому она не привела к негативным последствиям.
Позиция судов: даже если утекшие данные — это сведения многолетней давности, они всё ещё остаются персональными и подлежат защите до момента их надлежащего уничтожения. Операторов привлекали к ответственности за утечку данных актуальных на 2019 (решение по делу № 05-0654/52/2023) и даже 2006 год (решение по делу № 5-943/2023, мы подробно разбирали его здесь).
⚫️«Это было давно»
С момента утечки прошло больше года, срок давности привлечения к ответственности истек.
Позиция судов: утечка — длящееся правонарушение. Соответственно, годичный срок давности для привлечения к ответственности отсчитывается не с момента утечки, а с даты её выявления (решение по делу № 5-1678/23 (оставлено в силе), № 5-1200/2023).
⚫️«Никто из субъектов не жаловался»
Пользователи, чьи данные утекли, не обращались с жалобами и претензиями к оператору.
Позиция судов: необращение граждан с жалобой не освобождает оператора от административной ответственности (№ 5-2076/2023 (оставлено в силе)).
Подборку успешных стратегий и другие интересные выводы из судебной практики опубликуем в подробном обзоре в ближайшее время 🔥