Что считается утечкой персональных данных

Понятие «утечка персональных данных» удобно объяснять через действия, названные в ст. 13.11 КоАП РФ: неправомерную передачу, предоставление, распространение и доступ. Поэтому утечка не сводится к публикации большой базы. Если сведения стали доступны постороннему без законного основания, нарушение возможно и без открытой публикации. Оценивать нужно сам доступ и условия, при которых человек его получил.

Отправная точка для разглашения — ст. 7 152-ФЗ. Она обязывает сохранять конфиденциальность и оператора, то есть лицо, организующее обработку данных, и других лиц, получивших к ним доступ. Субъект персональных данных — человек, которого касаются сведения. Раскрытие третьему лицу без его согласия запрещено, если федеральный закон не предусматривает иного. Следовательно, само наличие у сотрудника доступа к информации ещё не означает права сообщать её кому угодно.

При этом появление нового получателя не всегда является утечкой. Сначала нужно установить, было ли согласие человека на раскрытие либо предусмотренное федеральным законом основание. Затем сопоставить это основание с фактической передачей: кому открыли сведения и что именно ему сообщили. Общего утверждения о согласии на обработку недостаточно, чтобы объяснить правомерность любого последующего раскрытия. Здесь оценивается именно передача конкретному получателю.

Намеренность тоже не служит единственной границей нарушения. Часть 11 ст. 13.11 КоАП РФ прямо упоминает неправомерную или случайную передачу, повлекшую нарушение прав людей, которых касаются данные. Эта часть устанавливает ответственность за невыполнение обязанности уведомить уполномоченный орган, а не даёт универсальное определение утечки. Однако из её текста видно: случайный характер передачи не позволяет просто исключить происшествие из правовой оценки.

Что является главной причиной утечки персональных данных, по этим нормам определить нельзя: частота отдельных причин в них не указана. Закон связывает последствия как с действиями, так и с бездействием оператора. Для бумажных носителей ч. 6 ст. 13.11 КоАП РФ отдельно описывает несоблюдение условий сохранности, повлекшее неправомерный или случайный доступ и другие перечисленные последствия. Это конкретный предусмотренный законом случай, а не утверждение о самой распространённой причине.

Размер происшествия имеет значение для ответственности. Части 12–14 ст. 13.11 КоАП РФ различают случаи по числу людей и идентификаторов. При подсчёте идентификаторов учитывают уникальные обозначения сведений, относящихся к человеку и содержащихся в информационной системе оператора. Части 16 и 17 отдельно касаются специальных категорий и биометрических данных. Эти различия помогают выбрать применимое положение, но не превращают любое нарушение обработки в утечку.

Например, обработка без нужного письменного согласия описана в ч. 2 ст. 13.11 КоАП РФ. Из одного такого нарушения ещё не следует, что сведения кому-то раскрыли. Для ответа на вопрос об утечке нужно установить факт неправомерной передачи или доступа; для оценки ответственности — также признаки соответствующей части статьи. Поэтому разглашение, случайное открытие доступа и нарушение правил получения согласия нельзя смешивать в одно событие без выяснения того, что произошло.