«Орион Телеком» вновь избежал штрафа из-за истекших сроков годности нарушения
Телеком оператор «Орион Телеком» избежал получения штрафа за майские утечки данных, благодаря истекшим срокам годности нарушения. До этого компания подала апелляццию, из-за которой организация могла выплатить до 10 млн рублей.
Суд отклонил апелляцию «Орион Телеком» по делу об утечке данных. Решение арбитражного суда о предупреждении в качестве меры наказания остается в силе. Об этом сообщили в Telegram-канале Privacy Advocates.
Ранее SecPost писал о том, что «Орион Телекому» удалось избежать штрафа за утечку данных. Роскомнадзор (РКН) посчитал, что компания повинна в нарушении части 13 статьи 13.11 КоАП РФ.
Также исполнительный директор «Орион Телеком» Денис Якунин в интервью рассказал редакции, что ущерб компании из-за атаки составил несколько десятков миллионов рублей.
Суд посчитал, что правонарушение было окончено 29.07.2025 в 21:55, когда персональные данные уже были распространены. Несанкционированный же доступ с 24 по 26 мая 2025 года и создание записей в базе суд расценил как подготовительные действия. Исходя из этого, орган применил ч. 13 ст. 13.11 КоАП РФ (утечки данных), вступившую в силу с 30 мая 2025 года.
Несмотря на то, что с 01.01.2026 дела по ст. 13.11 КоАП РФ вернулись в суды общей юрисдикции, дело осталось в арбитраже, так как заявление РКН было принято 27.10.2025, когда действовали соответствующие правила подсудности. Суд не стал назначать экспертизу, а вопрос о степени вины отнес к правовой оценке. При этом орган учел данные отчета BI.ZONE, в которых указывались ошибки оператора: действующая учетная запись уволенного еще в 2022 году сотрудника, старые пароли, ПО с уязвимостями и т. д. Ссылки оператора на работу BO Team и утвержденную модель угроз не помогли, так как внешняя атака не снимает с оператора ответственности по ст. 19 152-ФЗ.
Апелляция согласилась с РКН, что предупреждение не соответствует санкции, налагаемой за утечку данных, — на месте предупреждения должен быть штраф величиной в 5–10 млн рублей. По мнению же суда, оснований для замены штрафа предупреждением не было: утечка затронула 36 554 субъекта персональных данных, что суд расценил как существенное нарушение прав граждан.
Тем не менее назначение штрафа уже невозможно, поскольку срок давности для такого нарушения суд исчислил с 29.07.2025 и признал истекшим уже 29.07.2026. Именно поэтому после истечения срока давности апелляция не могла заменить предупреждение на более строгое наказание.
