Скандальная утечка: почему штраф получил оператор ПДн, а не подрядчик
Федеральное ведомство оштрафовали за потерю 1400 строк личных сведений сотрудников и их родственников. Утечка произошла из-за передачи данных через незащищенный канал связи подрядчика. Надзор и суды указали: даже если технический сбой допустил контрагент, платить и устранять последствия обязан оператор персональных данных, потому что именно он определяет цели и средства обработки и отвечает за выбор и контроль подрядчиков.
Кто за что отвечает: быстрый ориентир
Роль
За что отвечает по закону
Ключевые документы
Что проверить сейчас
Оператор ПДн
Определяет цели/состав обработки, обеспечивает безопасность ПДн, инструктирует подрядчика, контролирует соблюдение мер
Политика ПДн, модель угроз, регламенты инцидентов, договор поручения обработки
Есть ли защищенные каналы, аудит подрядчика, запреты на несанкционированные каналы, журнал инцидентов
Подрядчик (обработчик)
Действует по поручению оператора, соблюдает конфиденциальность и меры защиты, немедленно уведомляет об инцидентах
Договор и ТЗ, SLA/OLA, план реагирования, акты уничтожения/возврата ПДн
Назначены ответственные, применяются шифрование/ЖЦД, ведется логирование и доступ по принципу необходимого минимума
Юридическая база: почему отвечает оператор
Ст. 18.1 и 19 Закона 152‑ФЗ: оператор обязан принимать необходимые и достаточные меры для обеспечения безопасности ПДн, в том числе при поручении обработки иному лицу.
Поручение обработки: лицо, обрабатывающее ПДн по поручению оператора, действует в рамках целей оператора и по его инструкциям; оператор несет ответственность перед субъектами ПДн за действия такого лица.
КоАП РФ ст. 13.11: административная ответственность за нарушение правил обработки и обеспечения безопасности ПДн (состав и размер штрафа зависят от характера нарушения).
ТК РФ ст. 86–90: дополнительные обязанности работодателя при обработке ПДн работников.
Факт утечки: потеря 1400 строк ПДн сотрудников и их родственников при передаче через незащищенный канал подрядчика.
Позиция надзора и судов: оператор не обеспечил надлежащие меры – не установил запрет на небезопасные каналы, не организовал контроль, не доказал достаточность инструктажа.
Вывод: подрядчик нарушил регламенты, но ответственность перед государством и субъектами ПДн несет оператор; эта позиция подтверждается судебной практикой, включая акценты Верховного Суда РФ на обязанности оператора по выбору и контролю исполнителя.
Алгоритм действий при инциденте утечки
Локализация: немедленно остановить передачу по небезопасному каналу, изолировать затронутые системы.
Фиксация: собрать логи, хеш‑суммы, скриншоты, перечень затронутых записей без лишнего распространения ПДн.
Оценка влияния: категории ПДн, объем, риски для субъектов, география, участие третьих лиц.
Уведомления: проинформировать руководство, юридический блок; уведомить надзорный орган и субъектов ПДн, если это требуется законом и внутренними регламентами.
Устранение причин: перевести обмен на защищенные каналы, отозвать избыточные доступы, применить дополнительные меры защиты.
Профилактика: обновить политики, провести обучение, пересмотреть договоры с подрядчиками.
Ответы на вопросы
Вопрос
Ответ
Можно ли переложить ответственность на подрядчика?
Перед субъектами и государством отвечает оператор. Договором можно установить регресс и штрафы, но это не освобождает оператора от публичной ответственности.
Если утечка через мессенджер подрядчика, кто платит штраф?
При отсутствии надлежащих мер и запретов платит оператор. Подрядчик может возместить оператору убытки по договору.
Нужно ли согласие работников на передачу ПДн подрядчику?
Как правило, обработка для кадровых целей основана на законе/трудовых отношениях. Но поручение подрядчику должно быть оформлено договором с мерами безопасности.
Что считать «защищенным каналом»?
Канал с актуальным шифрованием и контролем доступа, подтвержденный корпоративной политикой ИБ (например, VPN, шифрованная почта с DLP). Публичные мессенджеры без контроля — не подходят.
Нужно ли уведомлять субъектов ПДн об утечке?
Да, если того требует закон и если инцидент создает риски для прав и свобод субъектов. Практически это уменьшает репутационный ущерб и претензии.
Чем поможет модель угроз и журналирование?
Позволяют обосновать достаточность мер, быстро расследовать инцидент и доказать добросовестность оператора в споре.
Как быть с субподрядчиками обработчика?
Только с письменного согласия оператора и при полном зеркалировании требований безопасности. Иначе риски возрастают кратно.
Можно ли хранить ПДн за рубежом по договору с подрядчиком?
Требуется соблюдение требований к трансграничной передаче ПДн и локализации — оцените правовой режим страны и обеспечьте договорные гарантии.
Опытный юрист с более чем 9-летним стажем работы с запросами клиентов и компаний. Эксперт в области гражданского права, специализируется на сложных делах, требующих глубоких знаний и нестандартных решений. Регулярно публикует статьи в юридическом журнале AMULEX, делясь с читателями экспертным взглядом и анализом актуальных правовых вопросов.
Информация, представленная на странице, не является юридической консультацией или правовым заключением и не может быть применима в иной конкретной ситуации. Для получения профессиональной юридической поддержки рекомендуется обратиться к нам. Статья основана на анализе действующих нормативных актов на момент публикации и актуальна только на дату публикации.
