Персональные данные All year round

⚖️ Апелляция по делу Орион Телеком: предупреждение не соответствует закону, но менять его уже поздно

📌 Апелляционная жалоба Орион Телеком постановлением Четвертого ААС по делу № А19-25808/2025 отклонена, решение АС Иркутской области от 12.05.2026 (ч.13 ст.13.11 КоАП РФ, предупреждение) оставлено без изменения. Резолютивную и мотивировочную части первой инстанции мы уже разбирали, теперь о том, что добавила апелляция.

1️⃣ Главный довод жалобы о действии закона во времени отклонен. Оператор настаивал на квалификации по ч.1 ст.13.11 КоАП, поскольку несанкционированный доступ произошел в период с 24 по 26.05.2025, до вступления в силу ч.13 (30.05.2025), а публикация базы 29.07.2025 лишь следствие ранее совершенного доступа. В подкрепление приводилась переквалификация с ч.13 на ч.1 по делам группы в Красноярске и Хакасии. Апелляция поддержала первую инстанцию: состав материальный, правонарушение окончено в момент распространения ПД 29.07.2025 в 21:55, проникновение в инфраструктуру и создание записей в базе - лишь подготовительные действия, а практика других судов не обязательна. Парадокс серии сохраняется: за один инцидент компании группы в других регионах ушли на ч.1, материнская структура осталась на ч.13.

2️⃣ С 01.01.2026 дела по ст.13.11 КоАП возвращены судам общей юрисдикции, но заявление РКН принято арбитражным судом 27.10.2025, в период действия редакции 420-ФЗ. Дело, принятое с соблюдением правил подсудности, рассматривается по существу (ч.1 ст.39 АПК РФ) - та же логика, что ранее применил Третий ААС в хакасском деле группы.

3️⃣ Отказ в экспертизе и привлечении специалистов правомерен, степень вины - правовой вопрос и компетенция суда. Отчет BI.ZONE снова сработал против оператора: активная учетка уволенного в 2022 году сотрудника, несменяемые пароли, ПО с критическими уязвимостями, некорректная конфигурация системы безопасности. Ссылки на профессионализм BO Team, утвержденную модель угроз и сертифицированную СЗИ не помогли - внешняя атака не снимает с оператора обязанностей по ст.19 152-ФЗ.

4️⃣ Самое важное в постановлении - РКН в дополнении к отзыву указал, что санкция ч.13 ст.13.11 КоАП предупреждения вообще не предусматривает, и просил заменить его штрафом (₽5-10 млн). Апелляция согласилась по существу. Совокупности условий ст.3.4 и 4.1.1 КоАП нет, утечка ПД 36 544 субъектов сама по себе является существенным нарушением прав граждан и создает угрозу охраняемым интересам, в том числе безопасности государства. Плюс ссылка на п.33 Обзора ВС РФ № 3 (2025) - статус микропредприятия сам по себе замену штрафа не обосновывает. Вывод суда прямой: назначение предупреждения не соответствует требованиям закона.

5️⃣ Но изменить наказание нельзя, т.к. правонарушение не длящееся, годичный срок давности (ч.1 ст.4.5 КоАП) исчисляется с 29.07.2025 и истек 29.07.2026 - аккурат между заседаниями 21.07 и 11.08 (разбирательство дважды откладывалось). За пределами срока давности суд не вправе обсуждать более строгое наказание (п.13.1 ППВАС № 10), с истечением срока согласился и представитель РКН. Поэтому не соответствующее санкции предупреждение осталось в силе.

💡Оператор, обжалуя предупреждение, едва не получил вместо него штраф до ₽10 млн - от разворота спасло только истечение срока давности в ходе апелляции. Для практики важнее другое: апелляция прямо указала, что при утечке такого масштаба путь к замене штрафа предупреждением закрыт в принципе, угроза охраняемым интересам презюмируется самим объемом скомпрометированных данных. Если эта позиция закрепится, предупреждения по ч.13 первого года применения нормы останутся исключением, а не правилом. Впереди возможная кассация в АС Восточно-Сибирского округа, срок - два месяца.

👁 PA | 💬 Max | ❤️ ЯМ | 🗣️ ВК