Privacy Advocates

⚖️ Предупреждение Орион Телеком по ч.13 ст.13.11 КоАП за утечку: разбираем позицию суда 📌 Как обещали в посте по резолютивной части, изучили мотивировочную часть решения АС Иркутской области от 12.05.2026 по делу № А19-25808/2025: ч.13 ст.13.11 КоАП РФ, 36 544 субъекта ПД, утечка опубликована в Telegram-канале 29.07.2025. Рассмотрим ключевые позиции суда: 1️⃣ Дата правонарушения = дата публикации базы (29.07.2025 21:55), а не дата проникновения в инфраструктуру. При этом защита Орион Телеком настаивала, что первая активность хакеров - 30.05.2025, то есть до вступления в силу ч.13 ст.13.11 КоАП РФ (введена ФЗ от 30.11.2024 № 420-ФЗ). Суд отверг: состав материальный, правонарушение окончено в момент неправомерной передачи информации. 2️⃣ Статус потерпевшего по уголовному делу не освобождает от админответственности. В рамках объединённого дела № 12501040048126361 расследуются преступления по ч.1 ст.272, ч.1 ст.273 и ч.1 ст.272.1 УК РФ, в котором Орион Телеком - потерпевший. Но ст.272.1 УК криминализирует действия злоумышленников, а ст.13.11 КоАП - невыполнение оператором обязанностей по защите ПД. Составы разграничены (та же логика, что и в делах Комлайн и ПКР Аналитика, но противоположная решению по делу РЖД). 3️⃣ Отказ в судебной экспертизе о степени вины, т.к. вопрос носит правовой характер, определение вины - компетенция суда, а не эксперта. 4️⃣ Отчёт BI.ZONE снова сыграл против оператора (как и в деле Комлайн): 🔸 учётка уволенного в 2022 году сотрудника активна, пароль не менялся с 2019; 🔸 группа fullsudo - повышение привилегий до root без ввода пароля; 🔸 ПО с критическими уязвимостями; 🔸 root-пароль уязвим к словарной атаке; 🔸 проникновение 30.05.2025, обнаружение - только 12.06.2025 при падении системы. 5️⃣ Замена штрафа на предупреждение по ст.4.1.1 КоАП РФ. Несмотря на санкцию ч.13 ст.13.11 - от 5 до 10 млн ₽, суд учёл статус МСП и первичность нарушения. Отдельно отверг довод Роскомнадзора о неприменимости ст.4.1.1 вне ФЗ № 248-ФЗ: "процедура выявления факта правонарушения не относится к обстоятельствам, учитываемым при назначении наказания", иное нарушало бы принцип равенства всех перед законом (ст.1.4 КоАП). В деле Комлайн суд учёл систематические инвестиции в инфобез, а здесь наоборот - мотивировка предупреждения построена исключительно на статусе МСП и первичности, никакого зачёта мер защиты нет. 💡И материнский Орион Телеком (ч.13), и дочерний Комлайн (ч.12) получили предупреждения за один инцидент. Совокупная санкционная вилка - до 13 млн ₽, фактически - 0 ₽. Но защитный эффект статуса МСП разовый, т.к. при повторе замены на предупреждение уже не будет. 👁 PA | 💬 Max | ❤️ ЯМ | 🗣️ ВК

🏛️Минцифры подготовило проект постановления об упрощении процедуры обезличивания ПД 🔸Персональные данные (ПД), обезличивание которых заключается в подготовке на их основе статистических показателей, могут передаваться в ГИС по обработке обезличенных данных без использования специального ПО и без системы межведомственного электронного взаимодействия (СМЭВ), сказано в опубликованном Минцифры для обсуждения проекте постановления правительства. 🔸Оператор ПД может в этих случаях использовать собственное ПО, но должен информировать Минцифры о «применяемых параметрах» обезличивания. 🔸Предусматривается возможность группировки обезличенных ПД «по определённому признаку». Такой признак может быть фактически любым, следует из пояснительной записки к документу, в частности, обезличенные ПД могут привязываться к месту их сбора. Оговаривается только условие: последующая обработка таких данных не должна позволить идентифицировать того, кому ПД принадлежат. 👁 PA | 💬 Max | ❤️ ЯМ | 🗣️ ВК