Юридическая ответственность за утечку данных: как избежать штрафов и репутационных рисков

Аннотация

Для IT‑стартапов работа с персональными данными — норма. Однако утечка информации, будь то пароли, контактные данные или пользовательские действия, может повлечь серьёзные последствия: от крупных штрафов до репутационного краха. В статье рассказываем, какая ответственность предусмотрена в Казахстане, как действовать при инциденте и как юридически обезопасить проект.

---

Что считается утечкой данных?

Утечка — это несанкционированный доступ, публикация, копирование, передача или уничтожение персональной информации. Это может произойти из-за:

• взлома или кибератаки;

• ошибки в конфигурации сервера;

• халатности сотрудника;

• недостаточного контроля доступа.

---

Ответственность за утечку в РК

Административная

По КоАП РК, статья 79-1:

• штраф на должностных лиц — до 500 МРП;

• на юридических лиц — до 3000 МРП;

• при повторных нарушениях — приостановление деятельности.

Гражданская

• обязанность компенсировать причинённый ущерб пользователям;

• возможно коллективное требование через суд.

Уголовная

При доказанном умысле или тяжких последствиях (например, массовая утечка паспортных данных) может наступать уголовная ответственность (ст. 147 УК РК).

---

Международные риски (если вы работаете с иностранцами)

• Нарушение GDPR (ЕС): штраф до 20 млн евро или 4% годового оборота;

• Нарушение законов США (CCPA, HIPAA) — отдельная ответственность по штатам;

• Возможные блокировки от платформ (Apple, Google, Facebook и др.).

---

Юридическая профилактика утечек

1. Политика обработки персональных данных

• Должна быть размещена на сайте;

• Содержать цель, объём, сроки хранения, меры безопасности;

• Обязателен механизм получения согласия.

2. Договоры с подрядчиками

• Подрядчики (разработчики, хостинг, CRM) обязаны обеспечивать защиту данных;

• Включайте раздел об ответственности и компенсации за утечку.

3. NDA с командой

• Все сотрудники и фрилансеры должны подписывать соглашения о конфиденциальности;

• Рекомендуется указывать сумму штрафа или компенсации.

4. Внутренние регламенты

• У кого есть доступ к каким данным;

• Журналы доступа;

• Механизмы немедленного реагирования на инциденты.

---

Что делать при утечке?

1. Фиксировать инцидент — технически (логи), юридически (акт, уведомление);

2. Сообщить уполномоченному органу РК в течение 3 рабочих дней;

3. Уведомить пострадавших пользователей;

4. Принять меры для устранения причины утечки;

5. Подготовить юридическую позицию на случай претензий.

---

Реальные примеры

• В 2023 году в РК один из онлайн‑магазинов был оштрафован за утечку данных клиентов (телефоны, адреса) на 2000 МРП;

• Несколько казахстанских стартапов получили письма‑претензии от пользователей ЕС по GDPR, несмотря на то что проект не был «официально» нацелен на Европу.

---

Заключение

Ответственность за утечку данных — не абстракция, а реальный юридический и финансовый риск. Для стартапа с ограниченными ресурсами последствия могут быть критическими. Именно поэтому защита персональной информации должна быть встроена в процесс с самого начала. А юридические меры — не менее важны, чем технические.

---

Вопросы и ответы

1. Кто несёт ответственность за утечку — основатель или компания?
Компания, но при вине конкретного лица — и должностное лицо.

2. Если база пользователей была на сервере подрядчика, кто отвечает?
Ответственность может быть солидарной. Важно, что прописано в договоре.

3. Нужно ли регистрировать политику обработки данных?
Нет, но она должна быть доступна и оформлена надлежащим образом.

4. Можно ли обойтись без сбора согласий?
Нет. Согласие — ключ к легальности обработки данных.

5. Можно ли использовать Google Analytics без согласия?
Только если исключён сбор идентифицирующих данных.

6. Нужно ли уведомлять пользователей при утечке?
Да, это часть стандартов добросовестной обработки.

7. Если пользователь сам разгласил данные — кто виноват?
Ответственность наступает, если утечка произошла по вине системы.

8. Как доказать отсутствие вины?
Журналы доступа, меры безопасности, документы об обучении персонала.

9. Какую информацию обязательно защищать?
ФИО, ИИН, адрес, телефон, email, IP, платежные данные, логи поведения.

10. Что делать после инцидента?
Устранять последствия, уведомлять органы, улучшать политику защиты.