За утечку персданных через незащищенный канал подрядчика отвечает оператор ПДн

Скандальная утечка: почему штраф получил оператор ПДн, а не подрядчик

Федеральное ведомство оштрафовали за потерю 1400 строк личных сведений сотрудников и их родственников. Утечка произошла из-за передачи данных через незащищенный канал связи подрядчика. Надзор и суды указали: даже если технический сбой допустил контрагент, платить и устранять последствия обязан оператор персональных данных, потому что именно он определяет цели и средства обработки и отвечает за выбор и контроль подрядчиков.

Кто за что отвечает: быстрый ориентир

Юридическая база: почему отвечает оператор

• Ст. 18.1 и 19 Закона 152‑ФЗ: оператор обязан принимать необходимые и достаточные меры для обеспечения безопасности ПДн, в том числе при поручении обработки иному лицу.
• Поручение обработки: лицо, обрабатывающее ПДн по поручению оператора, действует в рамках целей оператора и по его инструкциям; оператор несет ответственность перед субъектами ПДн за действия такого лица.
• КоАП РФ ст. 13.11: административная ответственность за нарушение правил обработки и обеспечения безопасности ПДн (состав и размер штрафа зависят от характера нарушения).
• ТК РФ ст. 86–90: дополнительные обязанности работодателя при обработке ПДн работников.

Типичные ошибки, которые приводят к штрафам

• Передача ПДн через незащищенные каналы (обычная эл. почта/мессенджеры без шифрования, публичные файлообменники).
• Отсутствие или формальность договора поручения обработки с четкими мерами безопасности и запретами.
• Нет оценки и документирования рисков (модель угроз, категорирование систем, правила доступа).
• Не проводится аудит и контроль подрядчика, не ведутся логи, нет проверки субподрядчиков.
• Задержка с реагированием на инцидент и уведомлением надзорного органа/субъектов ПДн (когда это требуется).

Чек‑лист защиты: что сделать уже сейчас

• Инвентаризация потоков ПДн: кто, какие данные и по каким каналам передает.
• Перевод на защищенные каналы: шифрование на передаче и хранении, VPN, почтовые шлюзы DLP, запрет открытых облаков.
• Договорная база: актуализировать договоры поручения, запрет несанкционированных мессенджеров/почты, регламенты инцидентов и SLA уведомления.
• Доступы по принципу необходимости: минимизация, сегментация, журналирование и регулярная ревизия прав.
• Обучение и ответственность: инструктаж сотрудников и подрядчика, тестовые фишинговые рассылки, локальные акты о дисциплинарной ответственности.
• План реагирования: роли, контакты, порядок локализации, фиксации и уведомления; периодические учения.

Договор с подрядчиком: какие пункты спасают в суде

Что решил суд в этом деле и почему это важно

• Факт утечки: потеря 1400 строк ПДн сотрудников и их родственников при передаче через незащищенный канал подрядчика.
• Позиция надзора и судов: оператор не обеспечил надлежащие меры – не установил запрет на небезопасные каналы, не организовал контроль, не доказал достаточность инструктажа.
• Вывод: подрядчик нарушил регламенты, но ответственность перед государством и субъектами ПДн несет оператор; эта позиция подтверждается судебной практикой, включая акценты Верховного Суда РФ на обязанности оператора по выбору и контролю исполнителя.

Алгоритм действий при инциденте утечки

• Локализация: немедленно остановить передачу по небезопасному каналу, изолировать затронутые системы.
• Фиксация: собрать логи, хеш‑суммы, скриншоты, перечень затронутых записей без лишнего распространения ПДн.
• Оценка влияния: категории ПДн, объем, риски для субъектов, география, участие третьих лиц.
• Уведомления: проинформировать руководство, юридический блок; уведомить надзорный орган и субъектов ПДн, если это требуется законом и внутренними регламентами.
• Устранение причин: перевести обмен на защищенные каналы, отозвать избыточные доступы, применить дополнительные меры защиты.
• Профилактика: обновить политики, провести обучение, пересмотреть договоры с подрядчиками.

Ответы на вопросы

Ссылки на законы

• Федеральный закон от 27.07.2006 № 152‑ФЗ «О персональных данных» (ст. 18.1, 19, положения о поручении обработки)
• КоАП РФ, ст. 13.11
• Трудовой кодекс РФ (ст. 86–90)
• ГК РФ, ст. 1064 (возмещение вреда)