Пост канала
⚖️ Клинику оштрафовали по ч.16 ст.13.11 КоАП за утечку данных пациентов, ссылка на кибератаку не помогла 🔸Мировой судья судебного участка №252 Москвы признал ООО "Медицинская клиника "НАКФФ" виновным по ч.16 ст.13.11 КоАП (неправомерная передача специальных категорий ПД) по делу №5-1258/2026, постановление вступило в силу 15.09.2026. Санкция для юрлиц от 10 до 15 млн ₽, суд снизил штраф с учетом статуса среднего предприятия, не назвав норму. Сумма и даты в опубликованной копии обезличены. 🔸По данным защиты, клиника сама выявила несанкционированный доступ к ИСПД МИС Медиалог и 1С:ЗУП, в тот же день уведомила РКН и обратилась в полицию с заявлением о преступлении. В уведомлении о результатах внутреннего расследования клиника сообщила, что атака велась из внутреннего периметра инфраструктуры, а виновные не установлены. База с данными пациентов и работников появилась в Telegram, в ней были результаты анализов, сведения о назначении наркотических препаратов и психотропных веществ, о переливании крови и констатации смерти. При осмотре выборочным поиском в ИСПД клиники нашли сведения о 27 пациентах из утекшей базы. 🔸Защита не оспаривала событие, но настаивала на отсутствии вины. По ее словам, клиника выполняла требования ПП №1119 и приказа ФСТЭК №21, утечка стала результатом кибератаки, а протокол не называет мер, которые она могла, но не приняла. Доводы об отсутствии вины суд отклонил со ссылкой на ч.2 ст.2.1 КоАП, указав, что надлежащих доказательств принятия всех зависящих мер не представлено. Отдельно в постановлении сказано, что факт несанкционированного доступа "не имеет значения для квалификации". 🔸Суд по сути исходил из того, что клиника должна подтвердить принятие всех мер, хотя по ч.3 ст.1.5 КоАП лицо не обязано доказывать свою невиновность. Какие меры она могла, но не приняла, не названо, ст.19 Закона №152-ФЗ не упоминается. Нарушенными названы лишь ч.2 ст.10 и ст.7 Закона, то есть оператору вменены необеспечение конфиденциальности и сама передача данных, а не нарушение конкретных требований к их защите. Арбитражные суды по делу РЖД, напротив, требовали от РКН доказать конкретные непринятые меры. Мирового судью эта практика не связывает, но контраст заметный. 🔸Дело возбуждали по ч.14 ст.13.11 (свыше 100 тыс. субъектов или 1 млн идентификаторов), хотя, по данным защиты, в атакованных ИСПД было не более 10 тыс. субъектов. Протокол составили уже по ч.16, и отдельного документа о переквалификации, по мнению суда, не требуется. Порога по объему у ч.16 нет, а довод защиты о численности суд не оценивал. 🔸Довод о том, что база лежала на единственной странице в Telegram в закрытом доступе, суд не разобрал. Ссылки вида t.me/c/... обычно ведут в закрытые каналы и группы, однако в постановлении размещение названо открытым доступом. На наш взгляд, для ч.16 это не решающее, состав охватывает любую неправомерную передачу, включая доступ. 🔸Защита заявляла о наличии смягчающих обстоятельств и ссылалась на уведомление РКН, обращение в полицию и усиление защиты после инцидента, но суд смягчающих не установил, эти факты не обсуждая. В замене штрафа предупреждением по ст.4.1.1 КоАП отказано. Угрозу вреда суд усмотрел не в последствиях, а в "пренебрежительном отношении" организации к публично-правовым обязанностям. В арбитражных делах ПКР Аналитика, Комлайн и ГК Орион об утечках обычных ПД дела, напротив, заканчивались предупреждением. 🔸Для медорганизаций выводы неутешительные. Утечка сведений о здоровье, по логике суда, квалифицируется по ч.16 независимо от объема, а ссылки на кибератаку и общие заявления о соблюдении требований безопасности суд счел недостаточными. Уведомления РКН по ч.3.1 ст.21 Закона №152-ФЗ обязательны, и их содержание входит в доказательную базу. 👁 PA | 💬 Max | 🗣️ ВК
Открыть в MAX- Просмотры
- 540
- ER
- 0,7%
- Реакции
- 4