01 / О КЛИЕНТЕ
Компания специализируется на продаже профессионального оборудования для печати чеков, билетов и сканирующих устройств. Выручка 300+ миллионов рублей.
02 / КОНТЕКСТ ПРОЕКТА
Информация об обнаружении базы данных компании в Telegram поступила в Роскомнадзор от НКЦКИ. Клиент был привлечен к участию в деле на стадии проверки обстоятельств предполагаемой утечки персональных данных.
Регулятор квалифицировал инцидент по ч. 12 ст. 13.11 КоАП РФ. Норма предполагает неправомерную передачу информации, включающую персональные данные от 1 000 до 10 000 субъектов и (или) от 10 000 до 100 000 идентификаторов. Штраф для ЮЛ от 3 до 5 млн. руб.
Клиент обратился к нам уже в ходе административного расследования.
Сам факт обнаружения базы в Telegram не позволял однозначно определить, какие именно данные и в каком объеме «утекли», кому они принадлежали и каким образом оказались в канале.
Необходимо было:
проанализировать материалы административного расследования;
квалифицировать обстоятельства инцидента с точки зрения закона;
разграничить факт инцидента и состав административного правонарушения по ч. 12 ст. 13.11 КоАП РФ.
03 / ЧТО ТРЕБОВАЛОСЬ
Основной задачей было сформировать доказательственную позицию, позволяющую обосновать невозможность квалификации инцидента по ч. 12 ст. 13.11 КоАП РФ и минимизировать связанные с этим финансовые и репутационные риски.
Для этого требовалось установить:
каким образом возникла предполагаемая утечка и при каких обстоятельствах база данных оказалась в Telegram;
какие сведения фактически содержались в обнаруженном массиве данных;
кому принадлежали эти сведения и относились ли они к персональным данным субъектов;
каков фактический объем доступной информации;
имелись ли основания считать действия компании неправомерной передачей персональных данных;
какие обстоятельства имеют значение именно для квалификации по ч. 12 ст. 13.11 КоАП РФ;
какие доказательства необходимо представить Роскомнадзору для обоснования позиции компании.
04 / ПОТЕНЦИАЛЬНЫЕ РИСКИ
Недостаточно обоснованная позиция
компании и ошибки при проведении внутреннего расследования могли помешать дальнейшей переквалификации инцидента.
Основной риск заключался в привлечении компании к ответственности по ч. 12 ст. 13.11 КоАП РФ и назначении штрафа до 5 млн. руб.
В начале проекта выяснилась угроза привлечения к административной ответственности по ч. 2 ст. 13.11 КоАП РФ в связи с определенной позицией Роскомнадзора.
Репутационная составляющая: факт административного расследования мог повлиять на восприятие компании клиентами и партнерами.
Необходимо было в короткие сроки сформировать единую позицию защиты интересов компании, основанную на доказательственных фактах и документах.
05 / ЧТО МЫ СДЕЛАЛИ
1. Проанализировали материалы административного расследования
Провели комплексный анализ материалов, которыми располагал Роскомнадзор, а также обстоятельств предполагаемой утечки и представленных доказательств. Отдельно проанализировали, какие факты положены в основу возможной квалификации по ч. 12 ст. 13.11 КоАП РФ и достаточно ли их для подтверждения всех юридически значимых элементов соответствующего состава.
2. Провели правовой анализ обстоятельств инцидента
Сопоставили фактические обстоятельства предполагаемой утечки с различными составами административных правонарушений в сфере персональных данных. Разграничили основания для применения ч. 12 и ч. 1 ст. 13.11 КоАП РФ и обосновали, что установленный объем и характер данных не позволяет квалифицировать действия компании как неправомерную передачу информации, подпадающую под ч. 12 ст. 13 КоАП РФ.
3. Сформировали доказательственную позицию компании
На основании проведенного анализа подготовили мотивированные правовые заключения и пояснения для Роскомнадзора. В позиции последовательно обосновали, почему обстоятельства инцидента не позволяют квалифицировать действия компании по более тяжкому составу и какие фактические данные это подтверждают. При этом позиция строилась не только на формальном толковании нормы, но и на анализе конкретных обстоятельств предполагаемой утечки и доказательств, находившихся в распоряжении регулятора.
4. Представили позицию при взаимодействии с Роскомнадзором
Подготовленные материалы были использованы в рамках административного расследования для обоснования иной правовой квалификации произошедшего. В результате Роскомнадзор не применил ч. 12 ст. 13.11 КоАП РФ, а переквалифицировал состав на ч. 1 той же статьи. Для юридического лица действующая редакция ч. 1 предусматривает штраф от 150 тыс. до 300 тыс. руб., то есть существенно меньший объем ответственности по сравнению с ч. 12.
06 / РЕЗУЛЬТАТЫ ДЛЯ КЛИЕНТА
Ключевым результатом стала переквалификация предполагаемого правонарушения с ч. 12 на ч. 1 ст. 13.11 КоАП РФ. При этом назначенный по ч. 1 штраф был минимальным.
В результате удалось:
избежать штрафа до 5 млн. руб. по ч. 12 ст. 13.11 ;
исключить основание для применения ч. 2 ст. 13.11 КоАП РФ с назначением штрафа до 700 тыс. рублей;
исключить основание для применения оборотного штрафа в размере от 20-500 млн. руб. по ч. 15 ст. 13.11 КоАП РФ при повторном привлечении к ответственности по ч. 12 ст. 13.11 КоАП РФ;
минимизировать репутационные риски перед клиентами и контрагентами, связанные с расследованием предполагаемой утечки;
сохранить стабильность операционной деятельности компании.
07 / ПРАКТИЧЕСКАЯ ЗНАЧИМОСТЬ ПРОЕКТА
1. Обнаружение базы данных и факт предполагаемой утечки еще не определяют применимую норму КоАП РФ
Юридическая квалификация зависит от конкретных обстоятельств инцидента и того, насколько они соответствуют признакам конкретного состава административного правонарушения.
2. Важно установить юридически значимые параметры произошедшего
При расследовании "утечки" имеет значение не только сам факт передачи или доступа к данным, но и состав и объем информации, количество субъектов или идентификаторов, обстоятельства и способ передачи данных, а также иные обстоятельства, от которых зависит квалификация нарушения.
Поэтому при взаимодействии с Роскомнадзором принципиально важно проверять обоснованность вменяемого состава на основании установленных обстоятельств инцидента.
3. Приводить доводы, отвечающие интересам компании
При расследовании важно избежать доводов, которые бы помогали в основном деле, но одновременно могли бы стать доказательством совершения самостоятельных нарушений, например, ссылки на то, что “утекшие” данные являются общедоступными.
4. Сбор доказательств
Для защиты интересов компании важно своевременно собрать и структурировать необходимые материалы, которые позволяют восстановить обстоятельства инцидента и показать регулятору их правовое значение.
В административном расследовании имеет значение не только наличие технических данных, но и то, насколько последовательно они подтверждают заявленную компанией позицию.
Квалифицированное сопровождение подобных ситуаций и своевременный правовой анализ на стадии административного расследования может существенно изменить объем ответственности, вменяемый регулятором, и тем самым повлиять на финансовую нагрузку и дальнейшие риски для бизнеса.
