lock_person Юридичні наслідки витоку даних у компанії

Витік персональних даних, email-адрес, фінансової інформації чи паролів — це не лише репутаційна катастрофа, а й юридична відповідальність. У цій статті розберемо, що вважати витоком, хто відповідає за його наслідки, які дії обов’язково потрібно зробити та які штрафи загрожують компаніям в Україні та за кордоном.

folder_shared Що вважається витоком даних

Витік — це несанкціонований доступ, копіювання, передача або знищення персональних чи конфіденційних даних, які зберігає компанія. Це може бути як зовнішня кібератака, так і помилка співробітника: лист з конфіденційною інформацією не туди, публікація бази даних, втрата флешки, неправильне налаштування доступів у CRM чи AWS.

gavel Законодавча відповідальність за витік

В Україні діє Закон «Про захист персональних даних», а для міжнародного бізнесу — також GDPR. Відповідальність буває адміністративна, дисциплінарна, цивільна та кримінальна. У разі виявлення витоку Уповноважений із захисту персональних даних може провести перевірку, зобов’язати усунути порушення або накласти штраф. Потерпілі клієнти також мають право подати позов до суду.

• Штрафи — до 34 000 грн (в Україні);
• Компенсація збитків за позовом постраждалого;
• Позбавлення права обробки даних;
• Кримінальна відповідальність — якщо є ознаки зловмисності.

report Обов’язкові дії після інциденту

Після встановлення факту витоку компанія має діяти негайно: визначити обсяг, заблокувати вектор атаки, зафіксувати докази, інформувати користувачів, а також — відповідний орган державної влади. У ЄС це робиться протягом 72 годин. В Україні — одразу після виявлення. Ігнорування повідомлення про інцидент може призвести до більш жорстких санкцій.

account_balance Хто несе відповідальність у компанії

Юридично відповідальним є керівник компанії або уповноважений з обробки даних (Data Protection Officer). Якщо не призначено відповідального — вся відповідальність лягає на директора. У разі недбалості або свідомого ігнорування заходів безпеки — це може призвести до персональної відповідальності, зокрема кримінальної або фінансової.

quiz Популярні питання

link Корисні посилання

• Уповноважений ВРУ — захист персональних даних
• GDPR ст. 33 — Повідомлення про витік
• CERT-UA — інциденти кібербезпеки
• Законопроєкт №8087 — кібербезпека
• Privacy.org — Міжнародна організація з цифрової безпеки