За утечку персональных данных у подрядчика отвечает оператор
Верховный суд подтвердил, что за утечку персональных данных у подрядчика отвечает оператор. Разбор решения и как защититься документами и своевременным уведомлением РКН.
21 января 2026 года Верховный суд оставил в силе штраф компании, у которой персональные данные утекли по вине подрядчика (постановление № 5-АД25-119-К2). Суд рассудил просто. Раз вы оператор персональных данных по 152-ФЗ, отвечаете вы, даже если данные обрабатывал кто-то другой. Для любого бизнеса, который передаёт данные клиентов или сотрудников на сторону, будь то хостинг, CRM, бухгалтерия на аутсорсе или сервис рассылок, это повод перепроверить свои бумаги.
Что решил суд
Госучреждение допустило утечку данных сотрудников, они оказались на нескольких сайтах. Оператор попытался переложить вину на подрядчика, который эти данные обрабатывал. Суд не согласился и сформулировал три вывода, которые теперь касаются каждого.
Первый. Оператор отвечает за подрядчика. В постановлении сказано прямо, что «ответственность перед гражданами за действия такого третьего лица несёт именно оператор персональных данных». Кто физически трогал данные, значения не имеет. Передать подрядчику можно сами данные, а ответственность за них всё равно остаётся на вас.
Второй. Меры защиты нужно подтверждать документами. Суд указал, что «отсутствие документальных подтверждений свидетельствовало об отсутствии системной работы по защите персональных данных». Значит, защищать данные мало. Надо ещё письменно фиксировать, как вы контролируете подрядчиков, проводите аудиты и проверяете, что меры работают. Нет бумаг, и для суда защиты тоже нет.
Третий. Роскомнадзор нужно уведомлять вовремя. В этом деле оператор подтвердил утечку только после того, как регулятор сам прислал запрос. Опоздание с уведомлением суд засчитал отдельным нарушением, вдобавок к основному.
Сколько стоит утечка персональных данных
С 30 мая 2025 года действуют новые штрафы по Федеральному закону № 420-ФЗ. Для компаний суммы серьёзные. За незаконную передачу данных от одной до десяти тысяч человек штрафуют на 3–5 млн рублей. За утечку специальных категорий, например сведений о здоровье или национальности, уже на 10–15 млн. Если вдобавок не сообщить об утечке в Роскомнадзор, добавится ещё от 1 до 3 млн.
Отдельно закон ввёл оборотный штраф за повторные и крупные утечки биометрии и спецкатегорий. Его считают как процент от годовой выручки, от 1 до 3%, и доходит он до 500 млн рублей. Прикинуть свой риск можно нашим калькулятором штрафов.
Что реально защищает оператора
После этого решения на первый план выходит доказуемость. Компании нужно уметь показать бумагами, что она вела системную работу по защите персональных данных. Стоит проверить три вещи.
Договор поручения с подрядчиком. В нём прописывают требования к защите данных. Раньше на такой договор смотрели как на формальность, теперь он часть доказательной базы. Но одной подписи мало. Закон требует, чтобы вы ещё и проверяли, как подрядчик эти требования соблюдает.
Внутренние документы и записи. Политика обработки, регламенты, следы проверок и аудитов. Их суд смотрит первыми, когда решает, была ли у компании системная работа.
Готовый порядок уведомления Роскомнадзора. Времени закон отводит совсем немного, на первичное сообщение об инциденте есть сутки. Не разберётесь заранее, и срок сгорит в первый же день. Проверить, обязаны ли вы уведомлять регулятор, можно бесплатным тестом.
Нужно ли уведомлять РКН? — пройти тест
Пошаговый разбор формы уведомления есть в отдельном гайде.
Пошаговый гайд «Как подать уведомление в Роскомнадзор» — что вписать в каждое поле формы, с примерами под вашу сферу, 990 ₽. Открыть гайд
Частые вопросы
Отдали данные подрядчику. Кто отвечает за утечку?
Отвечает оператор, то есть вы. Верховный суд подтвердил, что договор не перекладывает ответственность на подрядчика, а обязывает вас его контролировать.
Что считается доказательством, что мы защищали данные?
Документы. Политика обработки, регламенты, договоры поручения с требованиями к защите, записи о контроле и аудитах подрядчиков. Устные заверения суд во внимание не берёт.
Что грозит, если не уведомить Роскомнадзор об утечке?
Отдельный штраф от 1 до 3 млн рублей для компании. Плюс это отягощает основное дело, ровно как вышло в разобранном решении.
Начните с двух слабых мест, на которых чаще всего проигрывают. Это договоры с подрядчиками и готовность быстро уведомить Роскомнадзор. Разберитесь с ними, пока не пришла проверка.