Когда происходит крупная утечка данных, под ударом оказывается не только компания, но и её топ-менеджмент. Генеральный директор (CEO), IT-директор (CTO) и директор по безопасности (CISO) несут персональную ответственность за инцидент. Законодательство развивается в сторону ужесточения наказаний для должностных лиц. Ответственность руководителя за утечку данных может варьироваться от административного штрафа до дисквалификации и уголовного преследования, а также субсидиарной ответственности всем личным имуществом в случае банкротства компании.
Руководитель организации по закону отвечает за организацию обработки персональных данных. Даже если он делегировал эти функции (назначил DPO), он обязан контролировать процесс. Суды все чаще занимают позицию, что отсутствие бюджета на ИБ или игнорирование докладов безопасников — это халатность директора, за которую он должен отвечать лично.
Административная ответственность (КоАП РФ)
Директор является должностным лицом. Штрафы для него лично (отдельно от компании) по ст. 13.11 КоАП РФ составляют:
- За утечку данных — до 800 000 рублей (с учетом новых поправок о повышенной ответственности).
- За невыполнение предписаний регулятора — штрафы и дисквалификация.
Дисквалификация (запрет занимать руководящие должности на срок до 3 лет) — это конец карьеры для топ-менеджера.
Уголовные риски
Хотя за саму утечку (как факт) чаще наказывают административно, сопутствующие действия могут подпасть под УК РФ:
- Халатность (ст. 293 УК РФ). Если директор знал об уязвимости, но не выделил ресурсы на её устранение, и это повлекло тяжкие последствия (крупный ущерб).
- Сокрытие информации (ст. 237 УК РФ). Если утечка создала угрозу для жизни людей, а директор скрыл факт аварии.
- Злоупотребление полномочиями (ст. 201 УК РФ). Если действия директора (например, продажа базы) нанесли вред компании.
Субсидиарная ответственность и убытки
Самый финансово болезненный риск. Если компания получит оборотный штраф (например, 500 млн руб.) и обанкротится, кредиторы могут потребовать привлечь директора к субсидиарной ответственности.
Чтобы заставить директора платить из своего кармана, нужно доказать его недобросовестность или неразумность:
- Отсутствие системы защиты информации при наличии рисков.
- Игнорирование требований регуляторов.
- Экономия на безопасности в ущерб интересам компании.
Как защитить руководителя?
Мы помогаем выстроить «Personal Liability Shield» (Щит личной ответственности):
- Делегирование. Грамотное оформление приказов и должностных инструкций, распределяющих ответственность на профильных замов (CTO, CISO).
- Фиксация решений. Протоколирование совещаний, где директор ставит задачи по ИБ и выделяет бюджет.
- D&O Страхование. Помощь в оформлении полисов страхования ответственности директоров, покрывающих в том числе кибер-риски.
Ответственность руководителя за утечку данных — это реальность. Мы помогаем директорам доказать, что они действовали как добросовестные и разумные лидеры, предпринявшие все зависящие от них меры.
- Юридическая помощь в решении проблемных ситуаций
- Консультации юриста онлайн проводятся Пн-Пт, с 10:00 до 18:00 часов