⚖️ Утечка персональных данных.
⚖️ Утечка персональных данных. Учимся на чужих... Постановление Арбитражного суда Московского округа от 10.06.2026 по делу № А40-263206/2025 Кассационная инстанция поддержала оператора. Позиция Роскомнадзора в кассации: "распространение персональных данных прямое следствие того, что ОАО «РЖД» не были реализованы меры по соблюдению принципов и правил обработки персональных данных, их конфиденциальности, а успешная реализация атаки третьими лицами лишь подтверждает недостаточность правовых, организационных и технических мер, принятых оператором" у тебя украли - сам виноват Позиция РЖД к кассации: "факты несоблюдения требований статей 8, 18.1 Закона о персональных данных не установлены, субъективная сторона правонарушения управлением не доказана" Меры по защите, которые могут быть полезны всем: ✅ допуск пользователей к работе в информационных системах и прекращение такого допуска регулируется отдельным ЛНА - "Порядком предоставления доступа к информационным системам" ✅ доступ работников к ИСПДн - на основании учетных данных - по идентификатору и паролю пользователя ✅ протоколирование действий пользователей ✅ ограничение срока действия пароля (90 дней) ✅ регулярный аудит учетных записей доступа ✅ актуализация перечня лиц, имеющих доступ и (или осуществляющих) обработку персональных данных Ещё раз напомним стратегию защиты РЖД: 👉 не направлять в РКН уведомления об утечке/инциденте 👉 в ответ на запрос РКН ответить отказом - инцидент не выявлен ("компьютерные атаки, а также доступ неустановленных лиц к информационным системам ОАО «РЖД» не зафиксированы") 👉 принять у себя внеплановую выездную проверку либо насладиться административным расследованием 👉 направить в НКЦКИ ФСБ России и в МВД сообщение о преступлении 👉 защищаться в суде Такую стратегию защиты можно себе позволить, только если у оператора всё на 5+ в вопросах ПДн. ⚖️ Для сравнения можно оценить другой свежий кейс Решение Арбитражного суда Республики Хакасия от 22 мая 2026 г. по делу N А74-10378/2025 В данном кейсе РКН и суд установили небрежность(!) "общества в отношении требований информационной безопасности": 💬 пароли к учетным записям не менялись, учетные записи уволенных сотрудников не деактивировались, использовалось ПО с критическими уязвимостями, некорректная конфигурация системы безопасности в операционной системе, не было обеспечено отдельное, закрытое (вне структуры с выходом в сеть "Интернет") хранение персональных данных. 💬 Уволенный пользователь мог повышать свои привилегии без ввода пароля, сам пароль мог быть подобран по словарю либо простым перебором, не изменялся с 2019 г. В кейсе РЖД ни РКН, ни суд не установил каких-либо нарушений в сфере ПДн со стороны РЖД. В отличие от РЖД, общество-нарушитель таки было привлечено к ответственности, отделалось предупреждением - применены ч.2 ст.3.4 и ч.1 ст.4.1.1 КоАП РФ. Протокол был составлен РКН по ч.13 ст.13.11 КоАП РФ (со штрафом до 10 млн.). Суд переквалифицировал на ч.1 ст.13.11, поскольку на дату инцидента - миллионная редакция ст.13.11 ещё не вступила в силу. Да, Роскомнадзор "сидит" в хакерских каналах (закрытых!), отслеживает туда сливаемое и возбуждается административными делами. Прикрыть точки слива в Telegram? Удалить оттуда слитые базы ПДн? Видимо, эти вопросы не по кафедре Роскомнадзора... "Довод общества о том, что на Управление Роскомнадзора возложена обязанность по блокировке запрещенного контента в мессенджере Telegram, отклоняется судом, как не имеющий правового значения в целях квалификации действий именно общества" ПравоВУЗа в Макс | в Телеграм