Утечка персональных данных через подрядчика: кто несет ответственность в 2026 году

Передача базы клиентов, кадровых файлов, медицинских сведений или CRM на внешнее сопровождение давно стала обычной частью бизнеса. Но как только инцидент происходит у разработчика, колл-центра, интегратора или облачного провайдера, у заказчика возникает один и тот же вопрос: где заканчивается зона контроля оператора и начинается ответственность подрядчика за утечку данных. В 2026 году этот вопрос стал еще жестче с практической точки зрения, потому что спор теперь почти всегда выходит за рамки внутреннего разбирательства и затрагивает уведомление Роскомнадзора, договорные убытки, административные риски и возможные требования самих субъектов персональных данных.

Для бизнеса проблема не теоретическая. Формально оператором персональных данных чаще всего остается компания, которая собирает сведения у клиентов, работников или контрагентов. Даже если фактическая компрометация произошла у внешнего исполнителя, именно оператор первым оказывается перед регулятором и перед людьми, чьи сведения утекли. Поэтому ответственность подрядчика за утечку данных нельзя оценивать отдельно от статуса оператора, содержания договора и того, как было оформлено поручение обработки третьим лицам.

Почему ответственность подрядчика за утечку данных не отменяет обязанностей оператора

Базовые правила закреплены в Федеральном законе от 27.07.2006 № 152-ФЗ «О персональных данных». По смыслу статьи 3 оператором является лицо, которое организует и или осуществляет обработку персональных данных, а также определяет цели обработки, состав данных и действия с ними. Именно поэтому передача части функций наружу не лишает заказчика статуса оператора. Если компания собирает данные клиентов для исполнения договора, ведения учета, кадрового оформления или маркетинга, она продолжает отвечать за законность обработки, даже когда хранение или техническая поддержка вынесены на аутсорсинг.

Статья 6 Закона № 152-ФЗ допускает поручение обработки третьим лицам, но только при наличии правового основания и при соблюдении условий, которые оператор обязан определить заранее. Иначе говоря, подрядчик не становится самостоятельным владельцем массива данных просто потому, что он получил к нему доступ. Он действует в тех пределах, которые указаны в договоре или отдельном поручении, а оператор обязан убедиться, что объем доступа, цели, срок и меры защиты описаны не формально, а применимо к реальной инфраструктуре.

Отсюда и главный юридический вывод. Ответственность подрядчика за утечку данных может быть прямой перед оператором по договору, а в некоторых случаях и перед государством либо субъектом данных, если нарушение допущено самим исполнителем. Но это не освобождает оператора от собственных обязанностей по Закону № 152-ФЗ, подзаконным актам и требованиям к безопасности информации. Для компании это означает двойной риск: внешний исполнитель может нарушить договор, а оператор одновременно может нарушить публично-правовые обязанности.

На практике спор часто развивается в двух плоскостях. Сначала возникает вопрос о законности самой передачи данных подрядчику и о том, насколько корректно было оформлено поручение обработки третьим лицам. Затем уже оценивается, кто именно допустил инцидент, какие меры защиты были предусмотрены и можно ли переложить убытки на исполнителя. Если этот анализ не проведен заранее, дело нередко переходит в плоскость арбитражного спора, где приходится доказывать не только факт утечки, но и причинную связь между действиями подрядчика и потерями заказчика.

Какие нормы права определяют ответственность подрядчика за утечку данных в 2026 году

Ключевое регулирование по-прежнему складывается из нескольких блоков. Первый блок образует Закон № 152-ФЗ. Он определяет основания обработки, обязанности оператора, правила передачи данных другому лицу и общий подход к обеспечению безопасности. Второй блок составляют требования к защите персональных данных при их обработке в информационных системах, включая статью 19 Закона № 152-ФЗ и принятые в ее развитие подзаконные акты Правительства РФ и уполномоченных органов. Третий блок связан с административной ответственностью по КоАП РФ. Четвертый касается гражданско-правовых последствий по ГК РФ, когда заказчик взыскивает убытки, неустойку или требует возмещения расходов из-за нарушения условий договора.

Если говорить о гражданско-правовой части, важны общие положения ГК РФ об обязательствах и убытках. В зависимости от конструкции договора применяются статьи главы 25 ГК РФ об ответственности за нарушение обязательств, статья 393 об убытках, статья 401 о вине в нарушении обязательства, а при наличии договорной неустойки и положения статьи 330. Для споров о возврате выплаченного вознаграждения, расторжении или отказе от договора значение имеют также нормы о соответствующем типе договора: возмездном оказании услуг, подряде, лицензионной модели, смешанном договоре.

Административная часть зависит от состава нарушения. В делах об обработке персональных данных нередко применяются статьи КоАП РФ, предусматривающие ответственность за нарушение законодательства в этой сфере, а при специальных обстоятельствах могут дополнительно возникать вопросы о нарушении требований к защите информации. Важно учитывать, что составы различаются. Один состав связан с отсутствием правового основания, другой с нарушением обязанностей оператора, третий с неправомерным распространением или несоблюдением условий безопасности. Поэтому ответственность подрядчика за утечку данных не определяется одной универсальной нормой. Всегда нужно смотреть, кто именно был обязан совершить конкретное действие и кто его не совершил.

Если оператор ведет постоянную договорную работу с несколькими сервисными организациями, безопаснее выстраивать этот контур не точечно, а как часть общего абонентского юридического обслуживания, когда типовые договоры, соглашения о конфиденциальности, порядок допуска к данным и претензионная работа проверяются в единой системе, а не после инцидента.

Когда ответственность подрядчика за утечку данных действительно можно возложить на исполнителя

Сам по себе факт доступа подрядчика к базе еще не означает его автоматическую вину. Для заказчика принципиально важно доказать, что утечка произошла в зоне контроля исполнителя и стала следствием нарушения обязанностей, которые были на него возложены. Если договор с IT-подрядчиком составлен поверхностно, без конкретизации мер защиты, режима доступа, правил хранения резервных копий, запрета на субподряд и порядка уведомления об инциденте, спор быстро упирается в недостаточность доказательств.

Юридически сильная позиция обычно строится на нескольких элементах. Во-первых, должно быть видно, что подрядчик получил данные на законном основании и в ограниченном объеме. Во-вторых, обязанности исполнителя должны быть сформулированы предметно, а не общей фразой о соблюдении законодательства. В-третьих, сам инцидент должен быть технически и документально связан именно с действиями или бездействием исполнителя. Без этого ответственность подрядчика за утечку данных останется предположением.

Судебная перспектива заметно лучше, если в материалах есть не только переписка об инциденте, но и документы, которые показывают, как именно должна была быть выстроена защита. Полезное значение имеют акты допуска к системе, журналы событий, SLA, регламенты администрирования, политика разграничения прав, акты оказанных услуг, отчеты по уязвимостям, внутренняя переписка о смене паролей или ключей доступа. Если подрядчик привлекал субисполнителя, а договор этого не допускал либо не регулировал, это тоже может стать существенным фактом для спора.

В ряде ситуаций обсуждается солидарная ответственность оператора, когда вред причинен несколькими лицами или когда требования заявлены одновременно к оператору и исполнителю. Такой подход нельзя считать автоматическим правилом для любого инцидента, но игнорировать его рискованно. Для пострадавшего субъекта данных не всегда принципиально, кто именно допустил технический сбой. Он будет исходить из того, кому передавал сведения и кто организовал обработку. Именно поэтому ответственность подрядчика за утечку данных нередко рассматривается параллельно с вопросом о пределах ответственности самого оператора.

Что должно быть в договоре, если обработка передается внешнему исполнителю

Большая часть проблем появляется еще на стадии оформления отношений. Компания подписывает договор с IT-подрядчиком на обслуживание CRM, интеграцию телефонии, поддержку сайта, хостинг или кадровую систему, но текст договора написан как для обычной технической услуги. Для спора этого почти всегда недостаточно. Нужен блок условий, который отражает именно обработку персональных данных и режим доступа к ним.

Закон № 152-ФЗ требует, чтобы лицо, осуществляющее обработку по поручению оператора, соблюдало принципы и правила обработки, конфиденциальность персональных данных, а также обеспечивало безопасность при обработке. Но конкретное содержание этих обязанностей должно быть раскрыто в договоре. Иначе возникает типичная проблема: у оператора есть формальное основание передачи, но нет инструмента для взыскания убытков и нет доказательственной базы, что исполнитель нарушил именно согласованные требования.

• цель обработки, состав передаваемых данных, круг субъектов и перечень допустимых действий с данными;
• обязанность соблюдать конфиденциальность, ограничивать доступ сотрудников и не передавать данные субподрядчикам без согласия заказчика;
• конкретные организационные и технические меры защиты, включая порядок управления доступом, резервного копирования, хранения логов и реагирования на инциденты;
• срок уведомления заказчика о признаках компрометации, обязанности по содействию при расследовании и предоставлению материалов для уведомления регулятора;
• условия об ответственности: убытки, договорная неустойка, право на аудит, основания для одностороннего отказа или расторжения.

Если компания использует аутсорсинг в кадровом блоке, особое значение имеет разделение доступа к персональным данным работников. Здесь ошибки особенно чувствительны, потому что затрагивают паспортные сведения, адреса, данные о семье, зарплате и иногда медицинские документы. Когда подрядчик подключен к кадровому контуру, полезно сочетать договорную настройку с внутренней ревизией документов и процедур. В такой ситуации может потребоваться не только обновление договоров, но и кадровый аудит, чтобы проверить локальные акты, согласия, порядок доступа и фактический маршрут персональных данных внутри компании.

Как оценивается вина и какие доказательства имеют решающее значение

В спорах этой категории самая слабая позиция у той стороны, которая ограничивается ссылкой на сам факт публикации базы в сети или на сообщение от третьих лиц. Для регулятора и суда этого недостаточно. Нужно отделить сам инцидент от его юридической причины. Ответственность подрядчика за утечку данных обычно доказывается через совокупность технических и договорных обстоятельств.

Если утечка произошла через уязвимость в сервисе подрядчика, важны логи доступа, акты внутреннего расследования, переписка службы безопасности, результаты форензики, данные о том, кто и когда менял настройки, какие учетные записи были активны, кто имел права администратора. Если речь идет о человеческом факторе, значение приобретают приказы о допуске сотрудников исполнителя, соглашения о конфиденциальности, обучение персонала, журнал выдачи доступов и сведения об отзыве учетных записей у уволенных работников.

Отдельный спорный вопрос связан с тем, насколько заказчик сам соблюдал обязательные требования. Если оператор передал подрядчику избыточный массив данных, не ограничил права доступа, не проверил архитектуру хранения или годами не пересматривал условия обработки, исполнитель почти всегда будет ссылаться на соучастие самого оператора в возникновении инцидента. Поэтому проверка подрядчика на защиту данных важна не как формальность перед подписанием договора, а как способ показать, что оператор действовал добросовестно и разумно.

На практике полезно заранее фиксировать не только сам выбор подрядчика, но и основания, по которым ему доверен доступ к массиву данных. Если компания проводила оценку инфраструктуры, анализировала меры защиты, требовала подтверждающие документы, проверяла наличие регламентов и порядок доступа персонала, это помогает и в отношениях с регулятором, и в последующем взыскании убытков. И наоборот, отсутствие любой предварительной оценки превращает спор о том, есть ли ответственность подрядчика за утечку данных, в спор о недобросовестной организации обработки со стороны самого заказчика.

Административные и гражданские последствия после инцидента

После утечки компания почти всегда сталкивается с двумя группами последствий. Первая связана с публичной обязанностью оператора реагировать на инцидент, взаимодействовать с Роскомнадзором и устранять нарушение. Вторая касается частноправовых отношений между заказчиком и подрядчиком, где возникает вопрос о возмещении убытков, возврате части оплаты, договорной неустойке, расторжении договора и репутационном ущербе в отношениях с клиентами и партнерами.

Для бизнеса важно понимать, что даже очевидная вина исполнителя не приостанавливает обязанностей оператора. Если данные собирал заказчик, он не может занять позицию стороннего наблюдателя и ждать, пока подрядчик сам урегулирует ситуацию. По этой причине ответственность подрядчика за утечку данных часто развивается параллельно с необходимостью самого оператора документально подтвердить свои действия после выявления инцидента.

Вопрос	Оператор	Подрядчик
Законность обработки и передачи данных	Определяет цели, состав данных, правовое основание и пределы передачи	Действует в рамках полученного поручения и не вправе выходить за его пределы
Безопасность обработки	Обязан организовать систему защиты и выбрать надлежащего исполнителя	Обязан соблюдать установленные договором и законом меры безопасности
Уведомление и взаимодействие при инциденте	Несет публичные обязанности как оператор	Должен незамедлительно сообщить об инциденте и предоставить сведения для расследования, если это предусмотрено договором и характером поручения
Убытки и договорная ответственность	Может требовать возмещения при доказанном нарушении подрядчика	Отвечает в пределах закона и условий договора, если установлены нарушение, вина и причинная связь

Гражданско-правовые требования нужно считать аккуратно. Суды обычно критично относятся к абстрактным ссылкам на репутационные потери. Гораздо лучше подтверждаются расходы на техническое расследование, экстренное восстановление системы, дополнительную защиту, уведомление клиентов, переработку инфраструктуры, а также убытки, которые прямо вытекают из расторжения контрактов или наложенных санкций со стороны контрагентов. Если заявляется ответственность подрядчика за утечку данных, расчет убытков должен быть привязан к документам, а не к общему недовольству качеством услуги.

Как снизить риск спора еще до утечки и что делать после нее

Профилактика в этой сфере строится не на одной бумаге о конфиденциальности, а на совокупности юридических и организационных решений. Если доступ к персональным данным есть у нескольких внешних исполнителей, имеет смысл провести ревизию всех договоров и понять, где реально оформлено поручение обработки третьим лицам, а где компания фактически раскрывает данные без надлежащей правовой конструкции. Этот разрыв встречается гораздо чаще, чем кажется: например, в отношениях с интеграторами CRM, сервисами колл-трекинга, подрядчиками по рекламе и кадровому аутсорсингу.

• пересмотреть действующие договоры и выделить всех исполнителей, которые фактически получают доступ к персональным данным;
• проверить, есть ли отдельное поручение обработки третьим лицам либо достаточный договорный блок с описанием целей, состава данных и мер защиты;
• оценить, подтверждена ли документально проверка подрядчика на защиту данных, включая порядок допуска сотрудников и реагирования на инциденты;
• закрепить в договоре обязанность исполнителя немедленно сообщать об инциденте и предоставлять материалы для внутреннего расследования;
• заранее определить порядок расчета убытков и договорной ответственности, чтобы не спорить о базовых вещах уже после компрометации базы.

После инцидента приоритет смещается с общих формулировок на фиксацию обстоятельств. Важно собрать технические следы, переписку, версии конфигураций, журналы доступа, уведомления от провайдера, внутренние акты и объяснения сотрудников. Если этого не сделать в первые дни, часть доказательств исчезнет при очередном обновлении системы или смене настроек. Тогда ответственность подрядчика за утечку данных будет сложнее доказать даже при очевидном нарушении со стороны исполнителя.

Когда обработка затрагивает бренд, клиентскую базу, цифровые продукты или коммерчески ценные массивы, инцидент нередко пересекается не только с режимом персональных данных, но и с вопросами коммерческой тайны, исходного кода, баз данных и прав на контент. В таких ситуациях правовая позиция часто выстраивается на стыке нескольких направлений, включая защиту интеллектуальной собственности, если подрядчик получил доступ к результатам интеллектуальной деятельности вместе с персональными данными пользователей.

Роль юриста в споре с подрядчиком и в выстраивании защиты на 2026 год

Юридическая работа в подобных делах начинается не с иска и не с претензии. Сначала нужно правильно квалифицировать отношения сторон. Один и тот же подрядчик на бумаге может быть исполнителем услуг, оператором отдельных процессов, лицом, обрабатывающим данные по поручению, или смешанным участником сразу нескольких обязательств. От квалификации зависит, как будет строиться ответственность подрядчика за утечку данных, какие нормы применять к спору и какие доказательства запрашивать в первую очередь.

Затем анализируется массив документов. Проверяются договор с IT-подрядчиком, приложения, технические задания, акты, регламенты доступа, условия о конфиденциальности, переписка об инциденте, внутренние политики оператора и документы по безопасности. Отдельно оценивается, не создал ли сам заказчик ситуацию, при которой исполнитель получил избыточный доступ или работал без четких границ поручения. Это важно не только для суда, но и для защиты позиции перед регулятором.

Если конфликт переходит в претензионную стадию, задача юриста не сводится к требованию «возместить все потери». Нужно разделить суммы по правовой природе, исключить неподтвержденные требования, определить применимое право и подсудность, проверить претензионный порядок, если он предусмотрен договором или законом. При необходимости готовится и отдельная позиция по вопросу о том, есть ли солидарная ответственность оператора в отношениях с пострадавшими лицами, и как минимизировать риск двойного взыскания.

Для бизнеса 2026 года правильный подход состоит не в поиске универсального ответа на вопрос, кто виноват при любой утечке, а в построении проверяемой системы распределения обязанностей. Когда оформлено поручение обработки третьим лицам, проведена проверка подрядчика на защиту данных, а договор с IT-подрядчиком содержит конкретные требования к безопасности и уведомлению об инциденте, спор становится управляемым. В такой конструкции ответственность подрядчика за утечку данных уже не выглядит абстрактной категорией. Она превращается в предмет доказывания с понятными документами, пределами обязанностей и реальными способами защиты интересов оператора.

Если вам нужна надежная команда юристов с большим практическим опытом, обращайтесь в ООО ЮК Шмелева и партнеры. Заявку можно оставить на сайте нашей юридической компании или позвонить по телефону 8 (800) 201 56 52. Отзывы о нашей работе можно посмотреть на Яндекс.Картах.