Оператор персональных данных отвечает перед Роскомнадзором и субъектами за утечку, даже если она произошла через инфраструктуру IT-подрядчика: это Верховный Суд РФ (ВС РФ) подтвердил в постановлении от 21.01.2026 № 5-АД25-119-К2. Но ч. 5 ст. 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» прямо говорит, что обработчик по поручению отвечает перед оператором, поэтому штраф, расходы на расследование и уведомления можно переложить на подрядчика регрессным иском по ст. 15, 393 ГК РФ. Опубликованной практики по таким искам мы не нашли: исход зависит от поручения и от того, докажет ли подрядчик вину самого оператора.
Скачать образец иска оператора персональных данных к IT-подрядчику о возмещении убытков в Word
Готовый шаблон: подставьте свои данные вместо полей в квадратных скобках.
Не хотите заполнять вручную? В «Документах Про» этот документ можно сгенерировать целиком под вашу ситуацию: с вашими данными, расчётами и ссылками на нормы. Готовый документ скачивается в Word и сразу готов к подаче.
Коротко: регресс оператора к подрядчику
| Вопрос | Ответ (на октябрь 2026 г.) |
|---|---|
| Основание ответственности подрядчика | ч. 5 ст. 6 Закона № 152-ФЗ, ст. 15, 393 ГК РФ |
| Вина подрядчика-предпринимателя | не требуется, отвечает до непреодолимой силы (п. 3 ст. 401 ГК РФ) |
| Что взыскивать | штраф по ст. 13.11 КоАП РФ, компенсации субъектам, расследование, уведомления, неустойка по договору |
| Главный риск | собственная вина оператора и непринятие мер к уменьшению убытков (ст. 404 ГК РФ) |
| Досудебный порядок | претензия, 30 календарных дней (ч. 5 ст. 4 АПК РФ) |
| Суд | арбитражный, по месту нахождения ответчика (ст. 35 АПК РФ) или по договорной подсудности |
| Госпошлина | по пп. 1 п. 1 ст. 333.21 НК РФ: при цене иска 3,6 млн руб. 133 000 руб. |
| Давность | три года (ст. 196 ГК РФ) |
Правовая основа
Поручение оператора это договор (или акт госоргана), по которому другое лицо обрабатывает персональные данные от имени оператора (ч. 3 ст. 6 Закона № 152-ФЗ). Закон требует, чтобы в поручении были:
- перечень данных, действий с ними и цели обработки;
- конфиденциальность, требования ч. 5 ст. 18 и ст. 18.1 Закона № 152-ФЗ;
- предоставление оператору документов о принятых мерах по его запросу;
- требования к защите по ст. 19, включая уведомление оператора об инцидентах по ч. 3.1 ст. 21.
По ч. 5 ст. 6 перед субъектом за обработчика отвечает оператор, а обработчик отвечает перед оператором (для иностранного обработчика ч. 6 ст. 6 вводит ответственность обоих перед субъектом).
Штрафы оператора после Федерального закона от 30.11.2024 № 420-ФЗ (вступил в силу 30.05.2025) для юрлиц такие: ч. 11 ст. 13.11 КоАП РФ (неуведомление Роскомнадзора об инциденте) 1–3 млн руб.; утечка данных 1 000–10 000 субъектов (ч. 12) 3–5 млн руб., 10 000–100 000 (ч. 13) 5–10 млн руб., свыше 100 000 (ч. 14) 10–15 млн руб.; при повторности (ч. 15, 18) оборотный штраф 1–3 % выручки, но не более 500 млн руб.
Почему оператор не может сослаться на подрядчика перед регулятором
Постановлением судьи ВС РФ от 21.01.2026 № 5-АД25-119-К2 оставлен в силе штраф 100 000 руб. по ч. 1 ст. 13.11 КоАП РФ, назначенный Министерству труда и социальной защиты РФ. Данные работников и их родственников попали в интернет; защита ссылалась на проникновение через инфраструктуру подрядчика. ВС РФ этот довод отклонил: обязанности по ст. 18.1, 19 и 22.1 Закона № 152-ФЗ, включая внутренний контроль и аудит, лежат на операторе, а доказательств принятия таких мер нет.
Для регресса это означает две вещи. Штраф ложится на оператора независимо от того, через кого произошла утечка, и вернуть деньги можно только по договору. А довод о непринятых мерах подрядчик использует против оператора, ссылаясь на его собственную вину.
Можно ли взыскать административный штраф как убытки
Можно, хотя по утечкам персональных данных опубликованной практики нет, поэтому вопрос остаётся спорным. Опираться приходится на общие позиции Судебной коллегии по экономическим спорам ВС РФ (СКЭС):
- Определение СКЭС от 30.11.2017 № 307-ЭС17-11637 (дело № А21-5325/2016). Перевозчика оштрафовали в Беларуси, потому что отправитель не передал фитосанитарный сертификат. Суд округа не увидел причинной связи, СКЭС отменила акты: если договором не установлено иное, риск отсутствия документов несёт отправитель и он обязан возместить убытки, «в том числе суммы административных штрафов». Дело направлено на новое рассмотрение с поручением проверить вину самого перевозчика по ст. 404 ГК РФ.
- Определение СКЭС от 14.08.2019 № 309-ЭС19-6011 (дело № А60-39029/2018). Торговую сеть оштрафовали на 300 000 руб. за некачественный творог, сеть получила эту сумму с поставщика по условию договора, а УФАС посчитал это запрещённым возмещением расходов. СКЭС указала, что законодательство не исключает взыскания уплаченного штрафа в качестве убытков с другого лица, и отменила постановление УФАС.
Для персональных данных в иске нужно показать, что утечка произошла в зоне контроля подрядчика (открытое хранилище, непропатченный сервер, учётные данные его сотрудника), а нарушенная обязанность записана в поручении. Слабое место: КоАП РФ наказывает оператора за собственное бездействие, и подрядчик скажет, что штраф вызван не только его нарушением.
Как суды определяют размер штрафа и почему это важно для иска
Размер убытков зависит от защиты оператора в административном деле. В 2026 году дела по ч. 13 и 14 ст. 13.11 КоАП РФ в отношении коммерческих операторов рассматривали арбитражные суды по заявлениям Роскомнадзора:
- Решение АС города Москвы от 05.03.2026 по делу № А40-351064/2025: утечка из CRM-системы оператора, более 300 000 субъектов, ч. 14. В предупреждении суд отказал, но, сославшись на ст. 4.1.2 КоАП РФ и статус микропредприятия, назначил 400 000 руб. при минимуме санкции 10 млн.
- Решение АС г. Санкт-Петербурга и Ленинградской области от 10.03.2026 по делу № А56-4733/2026: хакерская атака, данные 70 000 субъектов, ч. 13. Правонарушение совершено впервые, и суд заменил штраф предупреждением по ст. 4.1.1 КоАП РФ.
Подрядчик будет доказывать, что оператор не принял разумных мер к уменьшению убытков (п. 1 ст. 404 ГК РФ): не просил о предупреждении, о снижении по ч. 3.2 ст. 4.1 или ст. 4.1.2 КоАП РФ, не обжаловал акт. Приложите к иску отзыв и жалобы из административного дела.
Договор с подрядчиком: что проверить до подачи иска
Название договора (сопровождение CRM, хостинг, SaaS, разработка) значения не имеет. Важно другое:
- Есть ли поручение по ч. 3 ст. 6. Если состав данных, действия и требования к защите не записаны, подрядчик заявит, что обязанностей по защите на себя не брал. Тогда опора только на общие условия о качестве услуг и конфиденциальности.
- Срок уведомления об инциденте. Закон требует условия об уведомлении оператора, но срок не задаёт. У оператора 24 часа на уведомление Роскомнадзора (п. 1 ч. 3.1 ст. 21), так что договорный срок для подрядчика должен быть короче. Если подрядчик промолчал и оператора оштрафовали ещё и по ч. 11 ст. 13.11, этот штраф тоже заявляйте как убытки.
- Ограничение ответственности. Лимиты в IT-договорах встречаются постоянно. Соглашение, заключённое заранее, ничтожно только в части умышленного нарушения (п. 4 ст. 401 ГК РФ). Если лимит есть, ищите признаки умысла: игнорирование предупреждений об уязвимости, отказ от аудита.
- Неустойка и убытки. По общему правилу ст. 394 ГК РФ убытки взыскиваются в части, не покрытой неустойкой. Взыскать штраф сверх неустойки по SLA можно, только если договор прямо так говорит.
- Заверения об обстоятельствах. Если подрядчик заверял о соответствии требованиям к защите или о наличии аттестата, есть дополнительное основание по ст. 431.2 ГК РФ. Подробнее о механизме в статье «Заверения об обстоятельствах и возмещение потерь».
Какие доказательства собрать
- договор с поручением, SLA, переписка о мерах защиты и об инциденте;
- уведомления в Роскомнадзор по ч. 3.1 ст. 21 Закона № 152-ФЗ и отчёт о внутреннем расследовании;
- заключение специалиста: логи, точка входа, кто администрировал скомпрометированный ресурс;
- акт по делу об административном правонарушении, платёжное поручение об уплате штрафа, документы о прочих расходах.
Если подрядчик оспаривает причину утечки, заявляйте компьютерно-техническую экспертизу (ст. 82 АПК РФ) с узкими вопросами: через какой ресурс получен доступ, кто им управлял, соответствовала ли настройка договору. Общие правила такого ходатайства разобраны в материале «Ходатайство о назначении экспертизы».
Иск оператора к подрядчику: что в образце и как заполнить
Фабула образца: подрядчик, сопровождающий CRM и облачное хранилище онлайн-ритейлера, оставил резервную копию базы открытой и не сообщил об инциденте. Блоки: обстоятельства и уплата штрафа; нарушенные пункты поручения; обоснование с позициями СКЭС и ответом на довод о вине оператора; расчёт с условием об убытках сверх неустойки; экспертиза. Претензионный порядок подробно разобран в статье «Досудебный претензионный порядок по АПК».
Вопросы и ответы
Отвечает ли подрядчик, если утечку устроили хакеры?
Да, если доступ получен через ресурс, который подрядчик обязан был защищать. Предприниматель отвечает без вины и освобождается только при непреодолимой силе, то есть чрезвычайных и непредотвратимых обстоятельствах (п. 3 ст. 401 ГК РФ). Атаку через незакрытую уязвимость или открытое хранилище к таким обстоятельствам отнести сложно.
Можно ли взыскать штраф, если оператор его ещё не уплатил?
Пункт 2 ст. 15 ГК РФ допускает взыскание будущих расходов, но надёжнее подавать иск после вступления акта в силу и уплаты штрафа.
Что если в поручении не было требований к защите?
Тогда оператор сам нарушил ч. 3 ст. 6 Закона № 152-ФЗ, и это сильный довод подрядчика по ст. 404 ГК РФ. Иск возможен на основе условий о качестве услуг и конфиденциальности, но с риском снижения возмещения.
Можно ли взыскать компенсации, выплаченные субъектам?
Да, если они выплачены по решению суда или обоснованному требованию. Это реальный ущерб (п. 2 ст. 15 ГК РФ), возникший из ответственности оператора за обработчика по ч. 5 ст. 6 Закона № 152-ФЗ.
Частые ошибки
- Иск без поручения в материалах дела. Суд должен видеть, какую обязанность по защите взял подрядчик.
- Нет доказательств причинной связи. Акт о штрафе не показывает канал утечки: нужны логи и заключение специалиста.
- Неустойка и полные убытки без условия об этом в договоре. По ст. 394 ГК РФ суд зачтёт неустойку.
- Пассивная защита в административном деле. Подрядчик скажет, что оператор не просил о предупреждении и снижении штрафа.
- Молчание о лимите ответственности. Его нужно оспаривать через п. 4 ст. 401 ГК РФ.
Чек-лист
- Поручение соответствует ч. 3 ст. 6 Закона № 152-ФЗ.
- Собраны логи, отчёт о расследовании, уведомления в Роскомнадзор.
- Акт о штрафе вступил в силу, штраф уплачен, в деле заявлялось о его снижении.
- Проверены лимит ответственности и соотношение неустойки и убытков.
- Претензия направлена, прошло 30 дней.
- Подготовлены вопросы эксперту.
Вывод для практики
Регрессный иск держится на трёх опорах: поручение с требованиями к защите, техническое доказательство канала утечки и активная защита в административном деле. Общая картина штрафов за утечки описана в статье «Утечки персональных данных в 2026 году: оборотные штрафы», а логика взыскания штрафа как убытков с виновного лица близка к спорам, разобранным в статье «Убытки с бывшего директора за налоговые доначисления».
Соберите иск к подрядчику по материалам вашего дела в «Документы Про»: с расчётом убытков, нормами и вопросами эксперту. Результат в Word.
Источники
- Федеральный закон от 27.07.2006 № 152-ФЗ, ст. 6, ст. 21
- КоАП РФ, ст. 13.11; Федеральный закон от 30.11.2024 № 420-ФЗ
- ГК РФ: ст. 394, ст. 401, ст. 404, ст. 431.2
- АПК РФ, ст. 4; НК РФ, ст. 333.21
- Постановление ВС РФ от 21.01.2026 № 5-АД25-119-К2
- Определения СКЭС ВС РФ: от 30.11.2017 № 307-ЭС17-11637, от 14.08.2019 № 309-ЭС19-6011
- Решения: АС г. Москвы, № А40-351064/2025, АС СПб и ЛО, № А56-4733/2026
Статья носит информационный характер и не заменяет консультацию юриста: перспектива регрессного иска зависит от условий договора с подрядчиком, технических доказательств и материалов административного дела.
