Відповідальність за витік бази даних: що загрожує за злив персональних даних?

Витік клієнтської бази, розповсюдження внутрішніх документів або злив персональних даних співробітників – все це може мати серйозні юридичні наслідки як для компанії, так і для конкретних осіб. Адвокат Петрик Віталій Віталійович пояснює, яка відповідальність передбачена в Україні і що робити, якщо вас підозрюють у витоку даних.

🔑 Коротко головне

• Незаконний збір, зберігання або розповсюдження персональних даних без згоди особи карається за ст. 182 КК (до 3 років позбавлення волі).
• Несанкціонований доступ до комп’ютерних систем з метою отримання даних – окремий злочин за ст. 361 КК.
• Компанія, що допустила витік, несе адміністративну відповідальність за ЗУ “Про захист персональних даних”.
• Відповідальність може нести як безпосередній виконавець зливу, так і керівник або системний адміністратор за недбалість.
• При підозрі у зливі даних – не давайте показань без адвоката і не надавайте доступ до своїх пристроїв добровільно.

Яка кримінальна відповідальність за злив персональних даних?

В Україні кілька статей КК можуть застосовуватися залежно від способу і обставин витоку:

• Ст. 182 КК – порушення недоторканності приватного життя: незаконний збір, зберігання, використання або розповсюдження конфіденційної інформації про особу без її згоди. Санкція – штраф до 850 НМДГ, виправні роботи або позбавлення волі до 3 років. При вчиненні службовою особою або з використанням комп’ютерних систем – до 5 років.
• Ст. 361 КК – несанкціоноване втручання в роботу комп’ютерних систем: якщо витік стався через зламування систем або злом облікового запису. Санкція – до 5 років позбавлення волі, за обтяжуючих обставин – до 10 років.
• Ст. 364 КК – зловживання владою або службовим становищем: якщо до витоку причетний службовець, що мав доступ до даних за посадою.

Хто може бути притягнутий до відповідальності?

До кримінальної відповідальності можуть бути притягнуті:

• Безпосередній виконавець – особа, яка фактично скопіювала і передала дані третім особам.
• Системний адміністратор або IT-фахівець – якщо витік стався через недбале налаштування систем захисту або навмисний доступ.
• Керівник компанії або відповідальний за захист даних – за допуск до бази без обмежень або ненадання належних засобів захисту.
• Стороння особа – хакер або посередник, який отримав і використав злиті дані.

Яка адміністративна відповідальність компанії?

Окрім кримінальної відповідальності конкретних осіб, компанія несе адміністративну відповідальність за ЗУ “Про захист персональних даних”. Уповноважений Верховної Ради (Омбудсмен) має повноваження перевіряти дотримання вимог і накладати приписи. При витоку, що зачепив персональні дані клієнтів або співробітників, компанія зобов’язана повідомити Омбудсмена і постраждалих осіб.

Що робити, якщо вас підозрюють у зливі даних?

1. Не давайте показань без адвоката – будь-які пояснення до консультації з адвокатом можуть бути використані проти вас.
2. Не надавайте добровільний доступ до пристроїв – ноутбук, телефон або корпоративний комп’ютер можна передати лише за рішенням суду.
3. Не обговорюйте ситуацію з колегами – вони можуть бути допитані як свідки.
4. Збережіть свої логи і переписку, що може підтвердити відсутність вашого умислу або доступу до відповідних систем.
5. Зверніться до адвоката якомога раніше – тактика захисту формується з перших годин.

Що робити компанії після виявлення витоку?

• Зафіксуйте факт і обставини витоку: дата, обсяг, тип даних, джерело.
• Ізолюйте уражену систему і збережіть логи.
• Залучіть юриста до прийняття будь-яких публічних заяв.
• Повідомте Омбудсмена і постраждалих осіб у розумний строк.
• Подайте заяву до поліції або Кіберполіції, якщо витік стався через зовнішній злам.

Часті питання

Чи є різниця між випадковим і навмисним витоком?

Так, і суттєва. Кримінальна відповідальність за ст. 182 КК передбачає умисел. При випадковому витоку через недбалість відповідальність, як правило, адміністративна, а не кримінальна – але це залежить від обставин і позиції слідства.

Чи може постраждала особа подати цивільний позов?

Так. Особа, чиї персональні дані були незаконно розповсюджені, має право на відшкодування моральної та майнової шкоди в цивільному суді (ст. 23 ЗУ “Про захист персональних даних”).

Чи може звільнений працівник злити базу клієнтів?

Це є поширеним порушенням. Якщо таке сталося – фіксуйте докази, подайте заяву до поліції і зверніться до адвоката щодо цивільного позову про відшкодування збитків.

Чи поширюється відповідальність на іноземні компанії, що обробляють дані українців?

Українське законодавство про захист персональних даних поширюється на всіх, хто обробляє дані громадян України, незалежно від місця реєстрації компанії.

Читайте також: Несанкціоноване втручання в роботу систем (ст. 361 КК): захист | Корпоративний кіберінцидент: юридичні дії після злому | Послуги адвоката

Підозрюють у зливі бази даних або витоку персональних даних?

Адвокат Петрик Віталій Віталійович надає правову допомогу у справах про кіберзлочини, захист персональних даних та кримінальний захист у сфері IT.

• Телефон: +38 (096) 878-07-36
• Email: info@advokat-petrik.com
• Адреса: Київ, Голосіївський проспект, 132, БЦ РЕЛЕ

Стаття має інформаційний характер і не є юридичною консультацією. Для оцінки вашої конкретної ситуації зверніться до адвоката.