Почему в деле РЖД утечка после хакерской атаки не доказала вину организации?

Суд не приравнял распространение данных после атаки к доказанной недостаточности защиты. Это вывод о доказательствах, а не освобождение всех жертв взлома от ответственности.

Civius, юридическая компания Мария Кузнецова, старший юрист; правовая позиция на 2026-07-09

Короткий ответ

В рассмотренном деле РЖД суду оказалось недостаточно самого факта, что после хакерской атаки распространили данные работников. Из одного этого обстоятельства не следовало, что организация не приняла необходимых мер защиты. Кассация поддержала отказ в привлечении к ответственности.

Это позиция АС Московского округа от 10 июня 2026 года по делу № А40-263206/2025. Она касается доказывания вины в конкретном споре. Правила «при атаке хакеров оператор ни за что не отвечает» из неё не следует.

Что именно нужно разделять

Первый вопрос – произошла ли утечка и какие сведения стали доступны посторонним. Второй – какие обязанности выполняла организация и что в её действиях либо бездействии подтверждает нарушение. Сам факт неблагоприятного результата не даёт полного ответа на второй вопрос.

Обязанность обеспечивать безопасность обработки сохраняется: её устанавливает статья 19 Закона № 152-ФЗ. Но наличие этой обязанности ещё не заменяет исследование конкретных принятых мер и обстоятельств атаки.

Как использовать этот вывод на практике

Организации важно восстановить, какая защита действовала до инцидента, какие действия предприняли после его обнаружения и чем это подтверждается. Политика безопасности, настройка доступов и фактическая работа с ними – разные части объяснения. Одной фразы «нас взломали» так же недостаточно для полноценной позиции, как одной фразы «утечка произошла» для описания всех её причин.

При сравнении с другими делами смотрите на доказательства. Если там установлены незакрытые доступы или неустранённые уязвимости, обстоятельства уже отличаются от ситуации, в которой недостаточность мер не доказали. Название атакованной компании не делает вывод переносимым на любую организацию.

Если нужно применить ответ к Вашей ситуации или документам, Проверить сайт на соответствие 152-ФЗ: юрист проверит вводные и учтёт обстоятельства, которые короткий ответ не охватывает.