Ответственность за утечку базы данных: что грозит за слив персональных данных?

Утечка клиентской базы, распространение внутренних документов или слив персональных данных сотрудников — все это может иметь серьезные юридические последствия как для компании, так и для конкретных лиц. Адвокат Петрик Виталий Витальевич объясняет, какая ответственность предусмотрена в Украине и что делать, если вас подозревают в утечке данных.

Коротко главное

• Незаконный сбор, хранение или распространение персональных данных без согласия лица наказывается по ст. 182 УК (до 3 лет лишения свободы).
• Несанкционированный доступ к компьютерным системам с целью получения данных — отдельное преступление по ст. 361 УК.
• Компания, допустившая утечку, несет административную ответственность по ЗУ «О защите персональных данных».
• Ответственность может нести как непосредственный исполнитель слива, так и руководитель или системный администратор за небрежность.
• При подозрении в сливе данных — не давайте показаний без адвоката и не предоставляйте доступ к своим устройствам добровольно.

Какая уголовная ответственность за слив персональных данных?

В Украине несколько статей УК могут применяться в зависимости от способа и обстоятельств утечки:

• Ст. 182 УК — нарушение неприкосновенности частной жизни: незаконный сбор, хранение, использование или распространение конфиденциальной информации о лице без его согласия. Санкция — штраф до 850 НМДГ, исправительные работы или лишение свободы до 3 лет. При совершении служебным лицом или с использованием компьютерных систем — до 5 лет.
• Ст. 361 УК — несанкционированное вмешательство в работу компьютерных систем: если утечка произошла из-за взлома систем или взлома учетной записи. Санкция — до 5 лет лишения свободы, при отягчающих обстоятельствах — до 10 лет.
• Ст. 364 УК — злоупотребление властью или служебным положением: если к утечке причастен служащий, имевший доступ к данным по должности.

Кто может быть привлечен к ответственности?

К уголовной ответственности могут быть привлечены:

• Непосредственный исполнитель — лицо, которое фактически скопировало и передало данные третьим лицам.
• Системный администратор или IT-специалист — если утечка произошла из-за небрежной настройки систем защиты или умышленного доступа.
• Руководитель компании или ответственный за защиту данных — за допуск к базе без ограничений или непредоставление надлежащих средств защиты.
• Постороннее лицо — хакер или посредник, который получил и использовал слитые данные.

Какая административная ответственность компании?

Кроме уголовной ответственности конкретных лиц, компания несет административную ответственность по ЗУ «О защите персональных данных». Уполномоченный Верховной Рады (Омбудсмен) имеет полномочия проверять соблюдение требований и налагать предписания. При утечке, затронувшей персональные данные клиентов или сотрудников, компания обязана уведомить Омбудсмена и пострадавших лиц.

Что делать, если вас подозревают в сливе данных?

1. Не давайте показаний без адвоката — любые объяснения до консультации с адвокатом могут быть использованы против вас.
2. Не предоставляйте добровольный доступ к устройствам — ноутбук, телефон или корпоративный компьютер можно передать только по решению суда.
3. Не обсуждайте ситуацию с коллегами — они могут быть допрошены как свидетели.
4. Сохраните свои логи и переписку, которые могут подтвердить отсутствие вашего умысла или доступа к соответствующим системам.
5. Обратитесь к адвокату как можно раньше — тактика защиты формируется с первых часов.

Что делать компании после обнаружения утечки?

• Зафиксируйте факт и обстоятельства утечки: дата, объем, тип данных, источник.
• Изолируйте пораженную систему и сохраните логи.
• Привлеките юриста к принятию любых публичных заявлений.
• Уведомьте Омбудсмена и пострадавших лиц в разумный срок.
• Подайте заявление в полицию или Киберполицию, если утечка произошла из-за внешнего взлома.

Частые вопросы

Есть ли разница между случайной и умышленной утечкой?

Да, и существенная. Уголовная ответственность по ст. 182 УК предусматривает умысел. При случайной утечке из-за небрежности ответственность, как правило, административная, а не уголовная — но это зависит от обстоятельств и позиции следствия.

Может ли пострадавшее лицо подать гражданский иск?

Да. Лицо, чьи персональные данные были незаконно распространены, имеет право на возмещение морального и имущественного вреда в гражданском суде (ст. 23 ЗУ «О защите персональных данных»).

Может ли уволенный работник слить базу клиентов?

Это распространенное нарушение. Если такое произошло — фиксируйте доказательства, подайте заявление в полицию и обратитесь к адвокату по поводу гражданского иска о возмещении убытков.

Распространяется ли ответственность на иностранные компании, обрабатывающие данные украинцев?

Украинское законодательство о защите персональных данных распространяется на всех, кто обрабатывает данные граждан Украины, независимо от места регистрации компании.

Читайте также: Несанкционированное вмешательство в работу систем (ст. 361 УК): защита | Корпоративный киберинцидент: юридические действия после взлома | Услуги адвоката

Подозревают в сливе базы данных или утечке персональных данных?

Адвокат Петрик Виталий Витальевич оказывает правовую помощь по делам о киберпреступлениях, защите персональных данных и уголовной защите в сфере IT.

• Телефон: +38 (096) 878-07-36
• Email: info@advokat-petrik.com
• Адрес: Киев, Голосеевский проспект, 132, БЦ РЕЛЕ

Статья носит информационный характер и не является юридической консультацией. Для оценки вашей конкретной ситуации обратитесь к адвокату.