Иск оператора ПД к IT-подрядчику об убытках после утечки: образец

Когда нужен этот иск

Иск подаёт оператор персональных данных, которого оштрафовали по ст. 13.11 КоАП РФ за утечку, произошедшую через инфраструктуру IT-подрядчика: компании, которая сопровождает CRM, хостит сайт, хранит резервные копии или разрабатывает систему и при этом обрабатывает персональные данные по поручению оператора. Перед регулятором оператор отвечает сам: в постановлении от 21.01.2026 № 5-АД25-119-К2 Верховный Суд РФ отклонил довод о том, что злоумышленник проник через подрядчика, и оставил штраф в силе. Поэтому вернуть деньги можно только гражданско-правовым требованием к подрядчику.

Образец составлен для типичной ситуации: онлайн-ритейлер передал подрядчику сопровождение CRM и облачного хранилища, подрядчик разместил резервную копию базы в хранилище без аутентификации и не сообщил об инциденте. Оператора оштрафовали на 3 млн руб. по ч. 12 ст. 13.11 КоАП РФ (утечка данных 8 400 субъектов). В иске заявлены штраф, расходы на расследование и уведомление покупателей как убытки, а также договорная неустойка за неуведомление, и сразу заявлено ходатайство о компьютерно-технической экспертизе.

Иск подаётся после того, как акт о штрафе вступил в силу и штраф уплачен, и после соблюдения претензионного порядка.

Правовое основание

• ч. 3 ст. 6 Закона № 152-ФЗ: содержание поручения оператора. В нём должны быть перечень данных и действий, цели, обязанность соблюдать конфиденциальность, требования ч. 5 ст. 18, ст. 18.1 и ст. 19, обязанность предоставлять оператору документы о мерах защиты и уведомлять его об инцидентах по ч. 3.1 ст. 21.
• ч. 5 ст. 6 Закона № 152-ФЗ: перед субъектом за обработчика отвечает оператор, а обработчик отвечает перед оператором. Это ключевая норма иска.
• ст. 15, 393 ГК РФ: полное возмещение убытков, включая реальный ущерб.
• п. 3 ст. 401 ГК РФ: подрядчик-предприниматель отвечает без вины, освобождение возможно только при непреодолимой силе.
• ст. 394 ГК РФ: по общему правилу убытки взыскиваются в части, не покрытой неустойкой; полностью сверх неустойки только при прямом условии договора.
• ст. 404 ГК РФ: основной довод защиты подрядчика, смешанная вина и непринятие мер к уменьшению убытков.
• ст. 13.11 КоАП РФ в редакции Федерального закона от 30.11.2024 № 420-ФЗ: ч. 11 (неуведомление Роскомнадзора, 1–3 млн руб.), ч. 12–14 (утечка в зависимости от числа субъектов, от 3 до 15 млн руб.), ч. 15 и 18 (оборотные штрафы при повторности).
• ч. 5 ст. 4, ст. 35, 82, 125, 126 АПК РФ: претензия, подсудность, экспертиза, требования к иску.

Позиция о взыскании административного штрафа как убытков взята из определений СКЭС ВС РФ от 30.11.2017 № 307-ЭС17-11637 и от 14.08.2019 № 309-ЭС19-6011. Оба дела не про персональные данные, но содержат общий вывод: закон не исключает взыскания уплаченного штрафа как убытков с лица, из-за которого он наложен.

Сроки

Претензионный срок 30 календарных дней со дня направления претензии, если договор не устанавливает иной (ч. 5 ст. 4 АПК РФ). Без соблюдения этого порядка иск вернут или оставят без рассмотрения.

Исковая давность общая, три года (ст. 196 ГК РФ). Чтобы не спорить о моменте начала течения, рассчитывайте срок от даты, когда оператор узнал об утечке и о том, через чью инфраструктуру она произошла.

Важно и время до иска: в деле об административном правонарушении нужно успеть заявить ходатайства о предупреждении (ст. 4.1.1 КоАП РФ) или о снижении штрафа (ч. 3.2 ст. 4.1, ст. 4.1.2 КоАП РФ). Если этого не сделать, подрядчик скажет, что оператор не принял разумных мер к уменьшению убытков.

Госпошлина

Иск имущественный, госпошлина считается по пп. 1 п. 1 ст. 333.21 НК РФ. При цене иска от 1 000 001 до 10 000 000 руб. она составляет 55 000 руб. плюс 3 % суммы свыше 1 000 000 руб. В образце цена иска 3 600 000 руб. (убытки 3 400 000 руб. и неустойка 200 000 руб.), пошлина 133 000 руб.

Что обязательно указать

1. Поручение и его конкретные пункты: какую меру защиты подрядчик обязался обеспечить и в какой срок уведомлять об инциденте. Общая ссылка на «обязанность обеспечивать безопасность» слабее, чем пункт о том, где и с какой аутентификацией хранятся резервные копии.
2. Канал утечки: заключение специалиста, журналы доступа, указание учётной записи, которой создан скомпрометированный ресурс. Акт о штрафе сам по себе этого не доказывает.
3. Акт о штрафе и доказательство его уплаты, а также сведения о том, как оператор защищался в административном деле.
4. Расчёт каждой суммы с первичными документами: договоры с компанией, расследовавшей инцидент, и с подрядчиком по рассылке уведомлений, акты, платёжные поручения.
5. Условие договора о взыскании убытков сверх неустойки. Без него суд применит ст. 394 ГК РФ и зачтёт неустойку.
6. Упреждающий ответ на довод о вине оператора: требования к защите включены в поручение, оператор запрашивал у подрядчика документы о мерах, уведомил Роскомнадзор в срок.

Типичные ошибки

• В деле нет поручения или оно не содержит требований к защите. Тогда подрядчик сошлётся на нарушение ч. 3 ст. 6 Закона № 152-ФЗ самим оператором.
• Заявлена неустойка по SLA и полная сумма убытков без договорного основания для такого взыскания.
• Не оспорен договорный лимит ответственности. Заранее заключённое соглашение об ограничении ответственности ничтожно в части умышленного нарушения (п. 4 ст. 401 ГК РФ), и это нужно обосновать, а не умолчать о лимите.
• Не заявлена экспертиза, хотя подрядчик отрицает, что утечка произошла через его инфраструктуру.
• Иск подан до вступления акта о штрафе в силу: размер убытков становится спорным.
• В иск включён штраф по ч. 11 ст. 13.11 КоАП РФ без доказательств, что оператор не узнал об инциденте именно из-за молчания подрядчика.

Позиция судов

Опубликованной практики по регрессным искам операторов к обработчикам мы не нашли, поэтому вопрос остаётся спорным, а иск строится на общих нормах.

Для оценки рисков полезны три группы актов. Первая: постановление ВС РФ от 21.01.2026 № 5-АД25-119-К2, где ссылка на подрядчика не освободила Министерство труда и социальной защиты РФ от штрафа по ч. 1 ст. 13.11 КоАП РФ, потому что оно не доказало принятие мер по ст. 18.1, 19 и 22.1 Закона № 152-ФЗ. Тот же довод подрядчик использует в регрессном споре. Вторая: определения СКЭС № 307-ЭС17-11637 и № 309-ЭС19-6011 о допустимости взыскания штрафа как убытков; в первом СКЭС отдельно указала на необходимость проверить вину самого истца по ст. 404 ГК РФ. Третья: решения арбитражных судов по ч. 13 и 14 ст. 13.11 КоАП РФ 2026 года (дела № А40-351064/2025 и № А56-4733/2026), где штраф снижали с учётом статуса микропредприятия или заменяли предупреждением. Они показывают, что размер штрафа во многом зависит от защиты оператора.

Связанные документы

• Ходатайство о назначении экспертизы: если экспертизу нужно заявить отдельным документом, а не в тексте иска.
• Досудебный претензионный порядок по АПК: как направить претензию подрядчику и подтвердить её получение.
• Ходатайство о снижении неустойки по ст. 333 ГК РФ: чего ожидать от подрядчика в отношении договорной неустойки.

Подробный разбор

Как распределяется ответственность между оператором и подрядчиком, какие условия договора проверить до подачи иска и как подрядчик будет защищаться ссылкой на вину оператора, разобрано в статье «Регресс оператора персональных данных к IT-подрядчику после утечки».

Подготовить иск под ваше дело

Соберите иск оператора к подрядчику по материалам вашего дела в «Документы Про»: с расчётом убытков, нормами Закона № 152-ФЗ и ГК РФ и вопросами эксперту. Результат в Word. Уже есть черновик? Сервис доработает документ и усилит аргументацию, а позицию в суде представляет юрист.