📑 Что считать моментом утечки персональных данных?
📑 Что считать моментом утечки персональных данных? Партнер Наталья Коваленко комментирует два различных подхода судов в отношении одного и того же оператора ПДн. ⚖️ В деле № А19-25808/2025 АС Иркутской области и Четвертый арбитражный апелляционный суд признали ООО «Орион Телеком» виновным по ч. 13 ст. 13.11 КоАП РФ за утечку данных 36 544 абонентов, опубликованных хакерской группировкой в Telegram-канале 29.07.2025. Cуды указали, что деяние считается оконченным в момент неправомерной передачи, предоставления, распространения или доступа к данным, то есть в момент их публикации, а не в момент более раннего проникновения в информационную систему в период с 24 по 26 мая 2025 года. Само проникновение в информационную систему суды назвали лишь подготовительным действием, не образующим объективную сторону правонарушения. 🔍 Напротив, в деле № А74-10378/2025 АС Республики Хакасия по факту утечки данных того же оператора пришел к противоположному выводу. Суд установил, что неправомерный доступ третьих лиц к информационной системе произошел 24 мая 2025 года, то есть до вступления в силу ч. 13 ст. 13.11 КоАП РФ, и на этом основании переквалифицировал действия общества на более «мягкую» ч. 1 ст. 13.11 КоАП РФ. По мнению суда, правонарушение, предусмотренное ч. 13 ст. 13.11 КоАП РФ, считается оконченным в момент, когда действия (бездействие) оператора повлекли любое из перечисленных в статье последствий (неправомерная передача (предоставление, распространение, доступ) информации). Таким образом, по мнению суда, в данном случае вменяемое обществу нарушение является оконченным при наступлении последствий в виде несанкционированного доступа к персональным данным, находящимся у общества, состоявшегося 24 мая 2025 года. Это расхождение показывает, что судебная практика по квалификации утечек ПДн не единообразна, и итоговая квалификация может критически зависеть от того, что суд признает моментом окончания правонарушения, сам взлом или последующую публикацию похищенных данных. 🛑 Для операторов ПДн это означает, что дата фактической публикации украденных данных сохраняет решающее значение для риска привлечения к ответственности по ч. 13 ст. 13.11 КоАП РФ и исход спора может отличаться в зависимости от суда и представленных доказательств о хронологии инцидента. ➖➖➖➖➖ 📧 В случае возникновения вопросов, связанных с утечкой персональных данных, партнер «Пепеляев Групп» Наталья Коваленко (N.Kovalenko@pgplaw.ru) готова на них ответить.