ВС: сбой защиты у подрядчика не освобождает оператора

Государственный орган оштрафовали за неправомерно открытый доступ к информационной системе с персональными данными.

3 сентября 2026 г.≈ 3 минут чтения
Civius, юридическая компания Елена Соколова, юрист

Что произошло

Государственный орган оштрафовали за неправомерно открытый доступ к информационной системе с персональными данными. Ссылка на действия злоумышленников не освободила оператора, потому что суд отдельно оценивал его собственную обязанность организовать защиту.

Почему это важно

По теме: Как проверить сайт и процессы на соответствие 152-ФЗ · Как проверить, какие персональные данные фактически собирает сайт?.

В поручении техническому подрядчику закрепите порядок закрытия доступа и проверки исправлений. Оператору нужны подтверждения собственного контроля, а не только письмо исполнителя о завершении работ.

Проверку доступа проведите из роли обычного пользователя и сохраните результат: какие сведения были видны без необходимых прав. После исправления повторите тот же сценарий, чтобы подтвердить устранение проблемы. Обязанности оператора и претензии к подрядчику оценивайте раздельно. Возможность потребовать что-либо от исполнителя не объясняет, почему сам оператор считал систему защищённой и как контролировал доступ до обнаружения нарушения и после него.

Сайты для незаконного оборота данных: введена уголовная ответственностьХранение интернет-данных: обязанность относится к определённым операторамУтечки персональных данных: ответственность усиливаетсяОтзыв согласия на персональные данные предложили сделать прощеПосредник не ответил за отключение зарубежной техподдержкиОтветственность за нарушение правил авторизации прошла Совет ФедерацииПоправки в КоАП о штрафах за нарушения при открытии счетов ОПК приняты в I чтенииСуды разъяснили критерии эквивалентности: товар с иной характеристикой аналогом не признаетсяПроект требований ФСТЭК к защите персональных данныхСбой интернета и срыв подписания контракта: что учёл судПодтвержденный сбой подписи помог отменить включение в РНПФТС предложила расширить таможенный мониторингЗа выдуманные ИИ судебные акты ответчика оштрафовалиРоскомнадзор утвердил порядок сообщений об утечках данныхМинздрав пояснил пределы доступа к данным регистра пациентовМинцифры получило порядок контроля зарубежных баз отдельных системСовместные радиочастоты: проект для операторов
Что проверять в личном кабинете и закрытых разделах сайта?Что проверить в CRM и договорах с подрядчиками по 152-ФЗ?Достаточно ли одной политики для соответствия сайта 152-ФЗ?Как проверить, какие персональные данные фактически собирает сайт?Может ли автоматический сканер подтвердить соответствие сайта требованиям 152-ФЗ?Как составить карту потоков персональных данных?Можно ли хранить заявки с сайта бессрочно?Объединение политик данных и использование мессенджеровУровень защиты системы с данными работниковРост и размер обуви: биометрия или обычные данныеДанные пользователей связи в договоре по 223-ФЗЗашифрованные персональные данные по почтеОтветственность за данные в облачной CRMУничтожение архивных документов с персональными даннымиШтраф подрядчику после приёмки работСветовая вывеска НКО: основное средство или расходыОсвобождает ли взлом подрядчика оператора от ответственности за утечку?Нужно ли одинаково подробно называть облачного провайдера в политике и согласии SaaS?Кто получает согласия на рекламу при рассылке через подрядчика?Исключает ли автоматическая работа базы статус обработчика у IaaS-провайдера?При каких условиях допустим субобработчик по приведённой позиции Роскомнадзора?Можно ли запросить у обработчика подтверждение защиты до начала обработки данных?Кто оплачивает аудит обработчика в описанной договорной модели?