Почему РЖД удалось избежать штрафа за утечку персональных данных

Девятый арбитражный апелляционный суд вынес постановление, которое может изменить подход к ответственности за утечки персональных данных. Роскомнадзор требовал привлечь ОАО «РЖД» к административной ответственности по ч. 1 ст. 13.11 КоАП РФ за неправомерный доступ к информации, повлекший распространение 17 млн строк персональных данных. Суд первой инстанции поддержал регулятора, исходя из логики: раз данные оказались в открытом доступе – значит, что оператор не обеспечил их сохранность. Однако апелляция полностью отменила это решение.

Ключевым аргументом стало наличие возбужденного уголовного дела по ст. 272 УК РФ («Неправомерный доступ к компьютерной информации»). Суд учел, что инцидент стал следствием целенаправленных действий граждан недружественных государств и аффилированных с ними хакерских объединений, а не уязвимостями системы ИБ оператора. Кроме того, «РЖД» представило доказательства наличия комплексной системы защиты информации, соответствующей требованиям ФСТЭК и ФСБ, а также подтвердило, что оперативно направило информацию об инциденте в НКЦКИ ФСБ России и подало заявление в ГУ МВД России.

«Дело РЖД - это редкий случай, когда суд не просто формально пересмотрел материалы, а детально погрузился в контекст инцидента. Ключевым стало разделение т.н. «факта утечки», образующего объективную сторону правонарушения, и роли оператора, определяющей наличие либо отсутствие его вины. В обоснование своей позиции компания сослалась на возбуждение уголовного дела по факту внешней атаки, наличие работоспособной системы защиты и отсутствие у регулятора замечаний к используемым средствам защиты. Опыт этого дела не означает, что теперь оператор вправе снять с себя ответственность и абстрагироваться от претензий регуляторов, ссылаясь на ужесточение внешних угроз. Но для компаний, которые действительно внедрили комплексные меры безопасности и могут это документально подтвердить, появляется реальный судебный инструмент защиты» - комментирует юрист ЮК Центральный округ» Арина Стёпина.

Ссылка на постановление апелляции