Сибирскому провайдеру погрозили пальцем за утечку данных десятков тысяч пользователей

[Arhammon]

Оборотные штрафы - фикция, если их применять даже чебурнета не останется...

[Angry_DPO]

А если не применять, то как заставить бизнес вкладываться в ИБ? Ну и не оборотные они, для начала. Штраф от выручки за год применяется при повторной массовой утечке. За первую - суммы высокие, но не "оборотные". Я что-то не верю, что крупного провайдера разорил бы штраф в 3-5 лямов, который они должны были получить. Это не смертельно для бизнеса такого масштаба. А сейчас им просто сказали, окей чуваки, можете и дальше пароли не менять, утечка данных ваших пользаков никого не колышет...

[vadimr]

Вроде бы как статья 13.11 везде подразумевает прямой умысел в нарушении требований законодательства по обработке данных, поэтому применять её к самим по себе последствиям взлома нельзя. Неприятная история, конечно, но нигде в законе не прописана периодичность смены паролей.

[Angry_DPO]

Правильная логика, но на практике она не работает. В случае утечек ПД на практике работает "объективное вменение": утекло - значит, виноват. Единственное исключение - кейс с утечкой РЖД, где апелляционная инстанция прямо указала, что РКН вообще не доказал, что РЖД нарушило требования ФЗ-152, что привело к утечке. Но это единственный кейс.

[skwo73]

Между тем, Орион Телеком на своем сайте заявляет, что якобы компании группы признаны невиновными в распространении персональных данных.

в принципе они правы - сами они не распространяли эти данные - взлом был.

[Angry_DPO]

Они могут считать себя невиновными. Но суд-то вынес решение о привлечении к ответственности, значит, суд их невиновными не признал, а как раз наоборот :)))

[skwo73]

Они могут считать себя невиновными. Но суд-то вынес решение о привлечении к ответственности, значит, суд их невиновными не признал, а как раз наоборот :)))

очень странное заявление от юриста. они написали в чем считают себя невиновными, и я пожалуй соглашусь с ними, если текст соответствует написанному вами, так как заниматься распространением ПД им не имеет смысла в принципе. решение о виновности было скорее всего за не соблюдении требований по хранению ПД или что-то подобном.

[Angry_DPO]

Они буквально пишут, что суд признал их невиновными в распространении ПД. В то время как суд буквально решил "Привлечь Общество с ограниченной ответственностью «Орион Телеком» (ОГРН 1122468002898, ИНН 2466247790, адрес: 664047, Иркутская область, г. Иркутск, ул. 21 Партизанская, д. 84) к административной ответственности, предусмотренной частью 13 статьи 13.11 Кодекса Российской Федерации об административных правонарушениях, и назначить наказание в виде предупреждения". Ч. 13 ст. 13.11 КоАП РФ: Действия (бездействие) оператора, повлекшие неправомерную передачу (предоставление, распространение, доступ) информации, включающей персональные данные от десяти тысяч до ста тысяч субъектов персональных данных и (или) от ста тысяч до одного миллиона идентификаторов, если эти действия (бездействие) не содержат признаков уголовно наказуемого деяния. То есть суд признал, что действия или бездействие Ориона повлекли неправомерную передачу, в т.ч. распространение перс.даных их клиентов.