Верховный суд РФ признал оператора персональных данных единственным ответственным лицом за утечку, исключив возможность переложения ответственности на подрядчика

Суть спора: Министерство труда и социальной защиты РФ допустило утечку почти 1500 записей персональных данных своих сотрудников и членов их семей. В открытый доступ попали ФИО, даты и места рождения, паспортные данные, а также реквизиты банковских карт. В ходе разбирательства Минтруд настаивал на том, что взлом и несанкционированный доступ к данным произошли по вине организации-подрядчика, обеспечивавшей работу инфраструктуры, и допускал, что атака могла исходить от зарубежных спецслужб.

Выводы суда: Верховный суд признал решение нижестоящих инстанций законным, указав, что статус оператора персональных данных является определяющим: именно оператор несет публично-правовую ответственность за сохранность данных и контроль за действиями подрядчиков (обработчиков). Тот факт, что ведомство не проводило аудит защиты инфраструктуры подрядчика и узнало об инциденте лишь после запроса контролирующего органа, свидетельствует о непринятии исчерпывающих мер для предотвращения утечки.
При этом в решении подчеркивается, что переложить ответственность на подрядчика можно только при наличии доказательств осуществления действенного контроля за его работой и закрепления в договоре четких процедур защиты (актов проверок, аудитов), чего Минтрудом представлено не было .

✅️ Этим решением ВС РФ подтвердил презумпцию вины оператора: даже если атака технически совершена через подрядчика, ответственность перед государством и гражданами несет владелец информационной системы.

Постановление ВС РФ от 21 января 2026 года по делу №5-АД25-119-К2

#практика #персданные