Privacy Advocates

⚖️ Платформу для изучения иностранных языков Italki оштрафовали на ₽1 млн за нелокализацию данных россиян 🔸 21.05.2026 Арбитражный суд г. Москвы вынес решение по делу № А40-272718/2025. Иностранная компания Italki HK Limited (Гонконг) привлечена к ответственности по ч. 8 ст. 13.11 КоАП РФ и оштрафована на ₽1 млн. 🔸Платформа для изучения иностранных языков собирала персональные данные российских пользователей (имя, e-mail, телефон, адрес, платёжная информация, IP, cookies), храня их в базах данных на серверах в США. Это прямое нарушение требования о локализации ПД граждан РФ на территории России (ч. 5 ст. 18 152-ФЗ). 🔸05.02.2025 РКН направил компании запрос о соблюдении требований локализации. Срок ответа - 10 рабочих дней. Бумажное письмо вернулось отправителю, однако электронное было доставлено. По состоянию на 20.06.2025 ответ в РКН так и не поступил. 29.08.2025 составлен протокол об АП. В судебное заседание ответчик не явился. 👁 PA | 💬 Max | ❤️ ЯМ | 🗣️ ВК

⚖️ Предупреждение Орион Телеком по ч.13 ст.13.11 КоАП за утечку: разбираем позицию суда 📌 Как обещали в посте по резолютивной части, изучили мотивировочную часть решения АС Иркутской области от 12.05.2026 по делу № А19-25808/2025: ч.13 ст.13.11 КоАП РФ, 36 544 субъекта ПД, утечка опубликована в Telegram-канале 29.07.2025. Рассмотрим ключевые позиции суда: 1️⃣ Дата правонарушения = дата публикации базы (29.07.2025 21:55), а не дата проникновения в инфраструктуру. При этом защита Орион Телеком настаивала, что первая активность хакеров - 30.05.2025, то есть до вступления в силу ч.13 ст.13.11 КоАП РФ (введена ФЗ от 30.11.2024 № 420-ФЗ). Суд отверг: состав материальный, правонарушение окончено в момент неправомерной передачи информации. 2️⃣ Статус потерпевшего по уголовному делу не освобождает от админответственности. В рамках объединённого дела № 12501040048126361 расследуются преступления по ч.1 ст.272, ч.1 ст.273 и ч.1 ст.272.1 УК РФ, в котором Орион Телеком - потерпевший. Но ст.272.1 УК криминализирует действия злоумышленников, а ст.13.11 КоАП - невыполнение оператором обязанностей по защите ПД. Составы разграничены (та же логика, что и в делах Комлайн и ПКР Аналитика, но противоположная решению по делу РЖД). 3️⃣ Отказ в судебной экспертизе о степени вины, т.к. вопрос носит правовой характер, определение вины - компетенция суда, а не эксперта. 4️⃣ Отчёт BI.ZONE снова сыграл против оператора (как и в деле Комлайн): 🔸 учётка уволенного в 2022 году сотрудника активна, пароль не менялся с 2019; 🔸 группа fullsudo - повышение привилегий до root без ввода пароля; 🔸 ПО с критическими уязвимостями; 🔸 root-пароль уязвим к словарной атаке; 🔸 проникновение 30.05.2025, обнаружение - только 12.06.2025 при падении системы. 5️⃣ Замена штрафа на предупреждение по ст.4.1.1 КоАП РФ. Несмотря на санкцию ч.13 ст.13.11 - от 5 до 10 млн ₽, суд учёл статус МСП и первичность нарушения. Отдельно отверг довод Роскомнадзора о неприменимости ст.4.1.1 вне ФЗ № 248-ФЗ: "процедура выявления факта правонарушения не относится к обстоятельствам, учитываемым при назначении наказания", иное нарушало бы принцип равенства всех перед законом (ст.1.4 КоАП). В деле Комлайн суд учёл систематические инвестиции в инфобез, а здесь наоборот - мотивировка предупреждения построена исключительно на статусе МСП и первичности, никакого зачёта мер защиты нет. 💡И материнский Орион Телеком (ч.13), и дочерний Комлайн (ч.12) получили предупреждения за один инцидент. Совокупная санкционная вилка - до 13 млн ₽, фактически - 0 ₽. Но защитный эффект статуса МСП разовый, т.к. при повторе замены на предупреждение уже не будет. 👁 PA | 💬 Max | ❤️ ЯМ | 🗣️ ВК