Кто виноват, если утечка персональных данных произошла у вашего провайдера: как закон и практика смотрят на распределение ответственности

Сегодня бизнес редко обрабатывает персональные данные исключительно своими силами. Облачные сервисы, дата-центры, CRM-платформы и другие подрядчики стали обычной частью ИТ-инфраструктуры компаний. Вместе с этим растет и количество инцидентов, связанных с утечками персональных данных.

В такой ситуации у многих возникает закономерный вопрос: если утечка произошла на стороне подрядчика, кто будет нести ответственность?

На первый взгляд кажется логичным, что отвечать должен тот, кто допустил нарушение в своей инфраструктуре. Однако российское законодательство и складывающаяся судебная практика исходят из иной логики. Передача обработки персональных данных внешнему исполнителю не означает автоматическую передачу ответственности за соблюдение требований законодательства о персональных данных.

В этой статье разберем, как распределяется ответственность между оператором и провайдером, почему передача обработки на аутсорсинг не освобождает бизнес от претензий регулятора и как привлечь подрядчика к ответственности, если инцидент произошел по его вине.

ОПЕРАТОР И ПОДРЯДЧИК: КТО ЗА ЧТО ОТВЕЧАЕТ ПРИ ОБРАБОТКЕ ДАННЫХ

Для правильного распределения ответственности за утечку персональных данных необходимо прежде всего определить роли участников обработки.

Согласно п. 2 ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — 152-ФЗ) оператором является государственный орган, юридическое или физическое лицо, которое самостоятельно или совместно с другими лицами организует и (или) осуществляет обработку персональных данных, а также определяет цели обработки, состав обрабатываемых данных и действия, совершаемые с ними.

На практике оператором обычно выступает именно бизнес, который собирает данные клиентов, пользователей, работников или контрагентов для решения собственных задач.

Именно он определяет, зачем нужны персональные данные, какие сведения будут собираться, как долго они будут храниться и кому могут передаваться.

При этом оператор не обязан выполнять все операции только собственными силами, он вправе поручить обработку персональных данных другому лицу на основании договора или иного предусмотренного законом основания (ч. 3 ст... ✂