Освобождает ли хакерская атака компанию от ответственности за утечку?

Хакерская атака не даёт автоматического освобождения. Для ответственности компании оцениваются её обязанности и меры, а действия злоумышленника рассматриваются отдельно.

Civius, юридическая компания Дарина Алексеева, юрист; правовая позиция на 2023-06-13

Короткий ответ

Нет, автоматически не освобождает. В обзоре практики июня 2023 года приведены дела, где ссылка на неправомерный доступ посторонних не помогла оператору избежать ответственности.

Но автор отдельно подчёркивает: установить факт утечки и доказать вину организации – разные задачи.

Что должна была сделать компания

Статья 19 Закона № 152-ФЗ требует необходимых правовых, организационных и технических мер защиты. Для оценки важно, какие меры были обязательны для соответствующей системы и как их реально выполнили.

Вина юридического лица по КоАП РФ не должна подменяться одной фразой «раз утекло, значит виновато». Нужно учитывать возможность соблюдения требований и принятые меры.

Почему заявление на хакера не решает весь спор

Оно касается действий злоумышленника. Обязанности оператора по собственной защите при этом не исчезают.

Поэтому при разбирательстве нужны не только сведения об атаке, но и документы о действовавших мерах, настройках доступа, устранении известных проблем и обстоятельствах инцидента.

Автор критиковал практику, в которой конкретные упущения компании не получали достаточной оценки. Это не обещание, что один отчёт о взломе отменит штраф, а требование разбирать реальные основания ответственности.

Размеры санкций из обзора 2023 года не стоит использовать для современного инцидента без проверки применимой редакции.

Если нужно применить ответ к Вашей ситуации или документам, Проверить сайт на соответствие 152-ФЗ: юрист проверит вводные и учтёт обстоятельства, которые короткий ответ не охватывает.