Кто несет ответственность, если провайдер облачных услуг не обеспечил резервное копирование

Юридический ответ: Ответственность провайдера облачных услуг за необеспечение резервного копирования данных

Общая правовая основа

В законодательстве Республики Беларусь отсутствует специальная норма, регулирующая исключительно «облачные услуги». Однако ответственность провайдера за необеспечение резервного копирования данных может наступать в рамках нескольких правовых режимов — договорного, деликтного (внедоговорного), административного и уголовного.

1. Договорная (гражданско-правовая) ответственность

Отношения между заказчиком и провайдером облачных услуг регулируются Гражданским кодексом Республики Беларусь от 7 декабря 1998 г. №218-З (далее — ГК РБ) как договором возмездного оказания услуг (глава 39 ГК РБ).

Ключевые принципы:

• Надлежащее исполнение обязательств. Согласно общим положениям ГК РБ, обязательства должны исполняться надлежащим образом в соответствии с условиями обязательства и требованиями законодательства. Односторонний отказ от исполнения обязательства не допускается.
• Возмещение убытков. Лицо, право которого нарушено, может требовать полного возмещения причинённых ему убытков, включая реальный ущерб и упущенную выгоду (статья 14 ГК РБ).
• Ответственность за неисполнение денежного обязательства. Согласно статье 366 ГК РБ, за пользование чужими денежными средствами вследствие их неправомерного удержания, уклонения от их возврата, иной просрочки в их уплате либо неосновательного получения или сбережения за счёт другого лица подлежат уплате проценты на сумму этих средств. Размер процентов определяется ставкой рефинансирования Национального банка Республики Беларусь.

Источник: Гражданский кодекс Республики Беларусь от 7 декабря 1998 г. №218-З, статья 366 — http://www.pravo.by

Таким образом, если обязанность по резервному копированию данных была прямо предусмотрена в договоре на оказание облачных услуг (SLA — Service Level Agreement), провайдер несёт ответственность за её неисполнение в виде:

• возмещения причинённых убытков;
• уплаты неустойки (штрафа, пени), если она предусмотрена договором или законодательством;
• уплаты процентов за пользование чужими денежными средствами (ст. 366 ГК РБ).

2. Ответственность за нарушение требований к защите информации

В Республике Беларусь действует Закон Республики Беларусь от 28 декабря 2009 г. №113-З «Об информации, информатизации и защите информации», который устанавливает:

• обязанности обладателей информации и операторов информационных систем по обеспечению защиты информации;
• требования к организации обработки, хранения и защиты информации, в том числе при использовании информационных систем и сетей;
• ответственность за нарушение требований законодательства в сфере информации и информатизации.

Если провайдер облачных услуг выступает как оператор информационной системы, на него возлагается обязанность по обеспечению сохранности (в том числе резервного копирования) обрабатываемых данных. Невыполнение этих требований может повлечь:

• административную ответственность по Кодексу Республики Беларусь об административных правонарушениях от 6 января 2021 г. №91-З (далее — КоАП РБ);
• гражданско-правовую ответственность перед заказчиком (владельцем данных).

3. Административная ответственность

Кодекс Республики Беларусь об административных правонарушениях от 6 января 2021 г. №91-З содержит составы правонарушений в сфере информационной безопасности, включая:

• нарушения правил эксплуатации информационных систем;
• нарушения требований к защите информации;
• иные правонарушения, которые могут охватывать необеспечение резервного копирования как часть нарушений требований к защите информации.

Источник: Кодекс Республики Беларусь об административных правонарушениях от 6 января 2021 г. №91-З, Глава 23 — etalonline.by

Конкретный размер штрафа зависит от квалификации правонарушения и субъекта (должностное лицо, юридическое лицо).

4. Уголовная ответственность

В случаях, когда необеспечение резервного копирования повлекло уничтожение, блокирование или модификацию компьютерной информации и причинило существенный вред, может наступать уголовная ответственность по Уголовному кодексу Республики Беларусь от 9 июля 1999 г. №275-З:

• Статья 349 — несанкционированный доступ к компьютерной информации, повлёкший по неосторожности причинение существенного вреда;
• Статья 212 — хищение имущества путём модификации компьютерной информации;
• иные статьи главы 31 УК РБ («Преступления против информационной безопасности»).

Источник: Уголовный кодекс Республики Беларусь от 9 июля 1999 г. №275-З, статья 349 — etalonline.by

5. Кто конкретно несёт ответственность?

6. Важные оговорки

1. Договор имеет приоритетное значение. Если в договоре на оказание облачных услуг обязанность по резервному копированию не была предусмотрена, доказать ответственность провайдера будет значительно сложнее. В этом случае ответственность может наступать только за нарушение общих требований законодательства о защите информации.

2. Форс-мажор. Провайдер может быть освобождён от ответственности, если потеря данных произошла вследствие обстоятельств непреодолимой силы (пожар, наводнение, стихийное бедствие), если иное не предусмотрено законом или договором.

3. Ограничение ответственности. Многие провайдеры включают в договоры оговорки об ограничении ответственности (например, возмещение не более стоимости услуг за определённый период). Однако такие оговорки могут быть признаны недействительными, если они противоречат законодательству или ущемляют права потребителя.

Резюме

Провайдер облачных услуг несёт ответственность за необеспечение резервного копирования данных в следующих случаях:

• если обязанность по резервному копированию прямо предусмотрена договором — в порядке гражданско-правовой (договорной) ответственности с возмещением убытков, уплатой неустойки и процентов по ст. 366 ГК РБ;
• если провайдер является оператором информационной системы и не выполнил требования законодательства о защите информации — в порядке административной ответственности по КоАП РБ;
• при причинении существенного вреда вследствие уничтожения или модификации данных — в порядке уголовной ответственности по статьям 349 и иным УК РБ.

Определяющим фактором при квалификации является содержание договора на оказание услуг и наличие вины провайдера в неисполнении обязательств по сохранности данных.

⚠️ Примечание: В базе законодательства не удалось найти конкретные статьи Закона «Об информации, информатизации и защите информации» в полном объёме. Рекомендуется обратиться к тексту Закона Республики Беларусь от 28 декабря 2009 г. №113-З для уточнения конкретных обязанностей операторов информационных систем и мер ответственности за их нарушение.