Выявив факт утечки (инцидент) с персональными данными, юридическое лицо проявило пассивность в доказывании должного принятия мер к пресечению инцидента, за что было подвергнуто ответственности (дело А40-351064/2025).
Управление Роскомнадзора по ЦФО (далее — заявитель, Управление) обратилось в Арбитражный суд города Москвы с заявлением о привлечении ООО «Ю» (далее — ответчик, Общество) к административной ответственности по ч.14 ст. 13.11 КОАП РФ.
По результатам рассмотрения дела суд принял Решение о привлечении Общества к административной ответственности по ч.14 ст. 13.11 КОАП РФ и назначил наказание в виде административного штрафа в размере 400 000 руб. (Четыреста тысяч рублей 00 копеек).
Общество обжаловало Решение суда 1-й инстанции в Девятый арбитражный апелляционный суд. Апелляционная инстанция постановила решение Арбитражного суда г.Москвы оставить без изменения, апелляционную жалобу — без удовлетворения.
В кассационную инстанцию Общество не обратилось.
Общество — популярная онлайн-школа.
Из текста Решения суда фактические обстоятельства следующие.
В Федеральную службу по надзору в сфере связи, информационных технологий и массовых коммуникаций (далее Федеральная служба) в соответствии с п. 1 ч. 3.1 ст. 21 закона от 27.07.2006 № 152-ФЗ « О персональных данных» (далее закон № 152-ФЗ) поступило уведомление от ООО «Ю» (далее также Оператор) о факте неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов персональных данных (далее — Уведомление).
В соответствии с пунктом 1 Положения о Федеральной службе по надзору в сфере связи, информационных технологий и массовых коммуникаций, утвержденного Постановлением Правительства РФ от 16.03.2009 N 228, Федеральная служба является уполномоченным федеральным органом исполнительной власти по защите прав субъектов персональных данных.
Уведомление сформировано Оператором на портале Роскомнадзора (направлено 24.06.2025 в 10 ч. 40 мин., присвоен номер, ключ), из которого следует, что неустановленные лица получили несанкционированный доступ к информационной системе Оператора, в том числе, к персональным данным зарегистрированных пользователей в объеме: фамилия, имя, номер телефона, электронная почта. Согласно представленной Оператором информации датой выявления инцидента является 23.06.2025.
Федеральная служба направляет письмо в Управление Роскомнадзора по ЦФО, которое поступило 28.07.2025, содержащее информацию о признаках неправомерной или случайной передачи ООО «Ю» (далее также Оператор) персональных данных, повлекшей нарушение прав субъектов персональных данных, находящихся в базе персональных данных информационной системы Оператора.
Управление Роскомнадзора по ЦФО на основании пункта 3 Положения об Управлении Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Центральному федеральному округу, утвержденного приказом Роскомнадзора от 30.05.2025 N 126, осуществляет функции по контролю и надзору за соответствием обработки персональных данных требованиям законодательства Российской Федерации в области персональных данных на территории Центрального федерального округа.
На основании письма Федеральной службы от 28.07.2025 главным специалистом-экспертом отдела контроля и надзора за соблюдением законодательства в сфере персональных данных Управления вынесено определение от 10.09.2025 о возбуждении дела об административном правонарушении и проведении административного расследования.
Должностным лицом Управления 06.11.2025 проведена проверка способом «осмотр» информационной системы ООО «Ю» ИСПДн «Битрикс 24» и осуществлен выборочный поиск персональных данных, содержащихся в скомпрометированной базе данных, размещенной на сайте в сети «Интернет» (по адресу https://t.me/_______ ). В частности, указанный интернет — ресурс при отображении браузером содержит персональные данные 31 клиента Оператора, включающие его фамилию, имя, номер телефона, адрес электронной почты.
Должностное лицо Управления пришло к выводу об установлении факта неправомерного доступа к ИСПДн Оператора, повлекшего за собой распространение неограниченному кругу лиц персональных данных клиентов и исполнителей Оператора, а именно более 300 000 субъектов персональных данных, путем их размещения на сайте в сети Интернет с нарушением требований части 1 статьи 6, статьи 7 Закона № 152-ФЗ.
В связи с этим уполномоченным должностным лицом Управления Роскомнадзора по ЦФО в отношении ООО «Ю» 13.11.2025 составлен протокол об административном правонарушении.
Таковы фактические обстоятельства. Причем важно то, что инцидент выявлен самим Оператором (Уведомление от него зарегистрировано на портале Роскомнадзора).
Вывод суда: установлен факт неправомерного доступа к ИСПДн Оператора, с нарушением требований ч. 1 ст. 6, ст. 7 Закона N 152-ФЗ. Основываясь на протоколе, суд в качестве события административного правонарушения признал признаки самого инцидента (неправомерного доступа).
Рассмотрим текст ч.14 статьи 13.11 КоАП: «Действия (бездействие) оператора, повлекшие неправомерную передачу (предоставление, распространение, доступ) информации, включающей персональные данные…». Предусмотрена ответственность не за сам факт обнаружения неправомерного доступа, а за те действия (бездействие), которые повлекли неправомерный доступ к персональным данным.
Для применения этой статьи к установленным обстоятельствам следует оценить действия Оператора совершенные,
— ДО выявления инцидента и
— меры принятые к устранению несанкционированного доступа после выявления инцидента.
Установленный порядок следующий.
I. В силу ч.1 ст. 19 закона №152-ФЗ Оператор при обработке персональных данных обязан принимать организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним. Обеспечение безопасности персональных данных достигается, в том числе, обнаружением фактов несанкционированного доступа к персональным данным и принятием мер к их устранению (ч.2 ст. 19 закона №152-ФЗ).
Безопасность персональных данных при их обработке в информационной системе обеспечивается с помощью системы защиты персональных данных (п.2 Постановления Правительства от 01.11.2012 г. № 1119). Безопасность персональных данных при их обработке в информационной системе обеспечивает оператор этой системы, который обрабатывает персональные данные, или лицо, осуществляющее обработку персональных данных по поручению оператора на основании заключаемого с этим лицом договора (уполномоченное лицо). Договор между оператором и уполномоченным лицом должен предусматривать обязанность уполномоченного лица обеспечить безопасность персональных данных при их обработке в информационной системе (п.2 ПП №1119, п. 3,4,5 ст. 6 закона № 152-ФЗ).
То есть, для оценки действий Оператора в период ДО выявления инцидента, следует исследовать его действия по созданию Системы защиты персональных данных.
Наличие Системы защиты персональных данных подтверждает пакет документов Оператора. Это Политика обработки и Положение о защите персональных данных работников, клиентов и других субъектов, модель угроз, акт классификации информационной системы, акт о внедрении сертифицированных средств защиты информации, регламент реагирования на инциденты (в течение 24 часов — уведомление Роскомнадзора, а в течение 72 часов - предоставление результатов расследования). Правила по поддержанию режима и реагированию на инциденты — это часть системы защиты персональных данных.
Оператор при рассмотрении дела должен был предоставить суду доказательства наличия Системы защиты персональных данных, обратить внимание суда на тот факт, что реагирование на инциденты — это составная часть системы защиты персональных данных и именно Оператор, выполняя установленные правила, выявил инцидент.
Это исключает, как возможность считать выявление инцидента событием административного правонарушения, так и вину Оператора. В решении суда нет сведений о предоставлении Оператором такого пакета документов.
II. В Решении суда 1 инстанции установлено: «Согласно представленной Оператором информации датой выявления инцидента является 23.06.2025».
Важно то, что Факт неправомерной передачи персональных данных
-во-первых, назван инцидентом;
-во-вторых, установлен Оператором.
Значение слова инцидент: От лат. incidens, incidentis — случающийся. Случай, случайность, недоразумение, происшествие. В соответствие со ст.1 закона № 116-ФЗ О промышленной безопасности «инцидент — отказ или повреждение технических устройств, применяемых на опасном производственном объекте, отклонение от установленного режима технологического процесса».
Информационная система персональных данных (ИСПДн) — совокупность содержащихся в базах данных персональных данных и информационных технологий и технических средств, обеспечивающих обработку персональных данных (п.10 ст. 3 закона №152-ФЗ).
Оператор сообщил, что неустановленные лица получили несанкционированный доступ к информационной системе персональных данных (ИСПДн) Оператора. То есть, или повреждено техническое средство, на котором установлена информационная система, или в самой информационной технологии имеются отклонения от режима.
С момента выявления инцидента на Оператора возлагаются две обязанности. Во-первых, уведомить уполномоченный орган об инциденте, во-вторых, устранить нарушения.
Для оценки мер принятых к устранению несанкционированного доступа должны быть исследованы действия Оператора по устранению нарушений и к этим действиям (бездействию) может быть применена мера ответственности.
Обязанности Оператора установлены п. 1 ч. 3.1 ст. 21 Закона N 152-ФЗ. Оператор обязан уведомить уполномоченный орган по защите прав субъектов персональных данных:
1) в течение двадцати четырех часов
— о произошедшем инциденте,
-о предполагаемых причинах, повлекших нарушение прав субъектов персональных данных, и
-предполагаемом вреде, нанесенном правам субъектов персональных данных,
-о принятых мерах по устранению последствий соответствующего инцидента;
2) в течение семидесяти двух часов о результатах внутреннего расследования выявленного инцидента, а также предоставить сведения о лицах, действия которых стали причиной выявленного инцидента (при наличии).
Таким образом, Оператор обязан в Федеральную службу предоставить два Уведомления.
1. Об инциденте (первичное);
2. О результатах внутреннего расследования выявленного инцидента (дополнительное).
Уведомление об инциденте Обществом представлено (выявлено 23.06.2025, уведомили 24.06.2025 в 10 ч. 40 мин.). В материалах дела отсутствуют сведения о предоставлении дополнительного Уведомления, но закон не запрещает предоставлять два Уведомления одновременно.
Алгоритм действий Оператора во взаимодействии с Федеральной службой в случае выявления инцидента регламентирован п. 1 ч. 3.1 ст. 21, статьями 18.1, 19 Закона N 152-ФЗ, Приказом Роскомнадзора от 14 ноября 2022 г № 187, Приказом Роскомнадзора от 27 октября 2022 года № 178 «Об утверждении требований к оценке вреда…», Приказом ФСБ России от 13.02.2023 N 77 «Об утверждении порядка взаимодействия операторов с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации, включая информирование ФСБ России о компьютерных инцидентах, повлекших неправомерную передачу (предоставление, распространение, доступ) персональных данных».
Взаимодействие Оператора с Федеральной службой осуществляется в форме направления оператором в Федеральную службу уведомления, содержащего:
-информацию о произошедшем инциденте (далее — первичное уведомление);
-информацию о результатах внутреннего расследования выявленного инцидента (далее — дополнительное уведомление).
При рассмотрении дела судом должны быть исследованы следующие обстоятельства.
Из Первичного уведомления сведения о принятых мерах по устранению последствий инцидента:
— перечень принятых оператором организационных и технических мер по устранению последствий инцидента;
— взаимодействие, осуществленное через Национальный координационный центр по компьютерным инцидентам (далее — НКЦКИ), с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации (ГосСОПКА) для оказания содействия в реагировании на выявленный компьютерный инцидент, повлекший неправомерную передачу (предоставление, распространение, доступ) персональных данных, и привлечения сил ГосСОПКА с использованием каналов информационного взаимодействия (п.п. 4.8 п. 4 Положения о НКЦКИ).
Из Дополнительного уведомления сведения
1) о результатах внутреннего расследования выявленного инцидента (информация о причинах, повлекших нарушение прав субъектов персональных данных, и вреде, нанесенном правам субъектов персональных данных, о дополнительно принятых мерах по устранению последствий соответствующего инцидента (при наличии), а также о решении оператора о проведении внутреннего расследования с указанием его реквизитов);
2) о лицах, действия которых стали причиной выявленного инцидента (при наличии) (фамилия, имя, отчество (при наличии) должностного лица оператора с указанием должности (если причиной инцидента стали действия сотрудника Оператора), фамилия, имя, отчество (при наличии) физического лица, индивидуального предпринимателя или полное наименование юридического лица, действия которых стали причиной выявленного инцидента, IP-адрес компьютера или устройства, предполагаемое местонахождение таких лиц и (или) устройств (если причиной инцидента стали действия посторонних лиц) и иные сведения о выявленном инциденте, имеющиеся в распоряжении оператора).
Правилами установлен алгоритм взаимодействия Оператора и Федеральной службы по устранению нарушений законодательства, допущенных при выявлении инцидента.
В случае направления оператором неполных или некорректных сведений Федеральная служба направляет запрос оператору о представлении недостающих сведений.
Недостающие сведения предоставляются оператором в течение трех рабочих дней со дня получения запроса.
В случае если по истечении семидесяти двух часов дополнительное уведомление в адрес Федеральной службы не поступило, то Федеральной службой оператору направляется требование о необходимости представить сведения о результатах внутреннего расследования выявленного инцидента.
В Решении суда отсутствуют сведения о направлении запроса и (или) требования от Федеральной службы в адрес Оператора.
В чем проявляется должное поведение Оператора при выявлении инцидента? Во-первых, в уведомлении уполномоченного органа об инциденте, во-вторых, в устранении нарушения.
Уведомление об инциденте Оператором направлено в Федеральную службу. Устранение нарушения подтверждается отсутствием сведений о направлении запроса и (или) требования от Федеральной службы в адрес Оператора.
В чем ошибка Оператора?
Во-первых, он не ходатайствовал о заслушивании объяснений представителя Федеральной службы касательно запросов и требований.
Во-вторых, не убедил суд в достаточности мер, принятых им по устранению последствий соответствующего инцидента.
Меры, принятые Оператором, должны привести к пресечению возможности несанкционированного доступа к информационной системе персональных данных (ИСПДн) Оператора. Его полномочия — организационные и технические меры внутри Общества.
Вывод суда: установлен факт неправомерного доступа к ИСПДн Оператора, с нарушением требований ч. 1 ст. 6, ст. 7 Закона N 152-ФЗ.
Но важно то, что этот факт выявлен самим Оператором 23.06.2025 как инцидент.
Только в том случае, если доказаны факты не выполнения Оператором запроса и (или) требования Федеральной службы, то это свидетельствует о невыполнении Оператором возложенных на него обязанностей и проявление бездействия. За бездействие положена ответственность по ч.14 статья 13.11 КоАП.
Федеральная служба может докладывать в Управление только после проведения предварительного контроля и в случае невыполнения Оператором запроса и (или) требования. Но в тексте Решения суда таких сведений нет.
III. Запрещение стороннему сайту продолжать использовать неправомерно полученную информацию о персональных данных из ИСПДн Оператора не входит в обязанности Оператора. Это сфера деятельности Управления.
О чем свидетельствуют фактические данные (из текста решения суда)?
Опубликованная база данных на сайте в Интернете содержит персональные данные из Информационной системы персональных данных (ИСПДн) Оператора — Общества «Ю».
Установлены факты совпадения сведений о персональных данных Клиентов Оператора — Общества «Ю», содержащихся в ИСПДн Оператора, со сведениями, размещенными в сети Интернет по адресу https://t.me/_______. Совпадения выявлены должностным лицом Управления 06.11.2025.
Проведение мер пресекательного характера касательно сайта в сети Интернет возложены на Управление (ч. 4,5 ст. 15.5 закона от 27.07.2006 №149-ФЗ «Об информации, информационных технологиях и о защите информации», Постановление Правительства РФ от 19.08.2015 № 857). К ним отнесены: иск, заявленный Управлением, о защите прав субъектов персональных данных, Решение суда о признании информации, размещенной на странице сайта https://t.me/_______, информацией, обрабатываемой с нарушением законодательства РФ в области персональных данных, требование к владельцу сайта об устранении нарушения.
Таким образом, при выявлении инцидента Оператор не подлежит ответственности если,
-докажет наличие Системы защиты персональных данных, и то, что выявление инцидента — это составная часть системы защиты персональных данных;
-своевременно предоставит Уведомления (первичное и дополнительное) и ответит на запрос и (или) требование Федеральной службы;
-а также, за действия стороннего сайта в Интернете, содержащего персональные данные из Информационной системы персональных данных (ИСПДн) Оператора.
Рейтинг публикации:
«
Уважаемая Ольга Юрьевна, спасибо, что обратили внимание на этот прецедент и сделали разбор ошибок, но на мой взгляд, сама система юридическая конструкция «защиты» персональных данных, на самом деле ничего и никого не защищает, никому не помогает, и на самом деле является исключительно бюрократической системой наказания операторов за действия третьих лиц.
Ни Роскомнадзор, ни кто-то другой, на самом деле ничем не помогают в предотвращении подобных инцидентов, а просто наказывают и без того пострадавших операторов.
Именно поэтому, ещё в самом начале бессмысленной и беспощадной кампании по «защите» персональных данных, я и настаивал не на приведении структуры данных Праворуба к запутанным «стандартам» РКН, а на полном отказе от использования любых ПД в системе авторизации и аутентификации пользователей портала, разделив служебные данные идентификации пользователей и внешние данные (ФИО, контакты) пользователей, которые могут быть размещены и показаны исключительно самими пользователями, причём только за плату, что является безусловным подтверждением их разрешения на обработку и обнародование ПД.
Самое смешное, или наоборот - грустное во всей нынешней системе «защиты» ПД, что никакие драконовские меры и чудовищные санкции, на самом деле не защищают самих пользователей от утечки их ПД из банков, страховых компаний, различных социальных и фискальных служб, гостиниц, перевозчиков, и прочих информационных систем, а только создают видимость «непримиримой борьбы» с неустановленными хакерами, хотя вероятность утечек баз данных через их админов гораздо выше и отнюдь не гипотетическая — в интернете можно купить «досье» практически на любого человека (smoke)
Уважаемый Иван Николаевич, полагаю, пока не будет реальной персональной ответственности — дисциплинарной, административной, уголовной и, что особенно важно, материальной — проблема принципиально не изменится. Когда за утечку отвечает не только организация в виде очередного многотысячного или многомиллионного штрафа, а конкретное должностное лицо, допустившее нарушение, появляется реальный стимул защищать данные. Иначе получается борьба с тенью: штрафуем организацию, меняем регламенты, принимаем новые требования — а персональные данные как утекали, так и продолжают утекать.
Уважаемый Иван Николаевич, Вы абсолютно правы, защита «является исключительно бюрократической системой наказания операторов за действия третьих лиц.
Ни Роскомнадзор, ни кто-то другой, на самом деле ничем не помогают в предотвращении подобных инцидентов, а просто наказывают и без того пострадавших операторов».
Дела о привлечении к административной ответственности юридических лиц
в связи с осуществлением ими предпринимательской деятельности, отнесенные федеральным законом к компетенции арбитражных судов, рассматриваются по общим правилам искового производства (ст. 202 АПК). Одной из задач является формирование уважительного отношения к закону и суду (ст. 2 АПК).
Дело в том, что п. 14 статьи 13.11 КоАП установлен штраф на юр лиц в размере от 10-ти миллионов рублей. А организация-оператор — это микроорганизация. Суд мог бы повлиять на нее в предоставлении доказательств.
Суд определяет обстоятельства, имеющие значение для правильного рассмотрения дела (ст.133 АПК). Суд в определение о подготовке дела к судебному разбирательству указывает на действия, которые надлежит совершить лицам, участвующим в деле (ст. 134 АПК).
Одно из обстоятельств, которое необходимо было выяснить суду, — это выполнение оператором обязанности по организационным и техническим мерам для защиты персональных данных от неправомерного или случайного доступа к ним (ст. 19 закона О персональных данных). Суд должен был предложить оператору представить доказательства по этому обстоятельству. Я полагаю, оператор представил бы пакет документов. Другое обстоятельство — это меры принятые к устранению инцидента. Но они отражаются в Уведомлении, представленном в Федеральную службу и суд мог бы даже запросить их в Федеральной службе.
Поэтому рассмотрение этого дела не формирует уважительного отношения к закону и суду (мое личное мнение).