Кто несет ответственность, если провайдер облачных услуг не обеспечил соответствие локальным законам о данных

Ответственность провайдера облачных услуг за несоблюдение локальных законов о данных в Республике Беларусь

1. Общая правовая основа

В Республике Беларусь основным нормативным правовым актом, регулирующим отношения в сфере персональных данных, является Закон Республики Беларусь от 7 мая 2021 г. № 99-З «О защите персональных данных». Лица, виновные в нарушении законодательства о защите персональных данных, несут ответственность в соответствии с законодательством Республики Беларусь.

Провайдер облачных услуг, осуществляющий обработку, хранение и предоставление персональных данных на территории Республики Беларусь, признаётся оператором (или уполномоченным лицом оператора) в смысле указанного Закона и, следовательно, несёт предусмотренную законодательством ответственность за несоблюдение требований локального законодательства о данных.

2. Административная ответственность

Согласно статье 23.7 Кодекса Республики Беларусь об административных правонарушениях (от 6 января 2021 г. № 91-З) «Нарушение законодательства о защите персональных данных»:

Часть 1. Умышленные незаконные сбор, обработка, хранение или предоставление персональных данных физического лица либо нарушение его прав, связанных с обработкой персональных данных, —

влекут наложение штрафа в размере до пятидесяти базовых величин.

Часть 2. Деяния, предусмотренные частью 1 настоящей статьи, совершённые повторно в течение одного года после наложения административного взыскания за такие же нарушения, —

влекут наложение штрафа в более крупном размере.

Таким образом, провайдер облачных услуг как юридическое лицо (а равно его должностные лица) может быть привлечён к административной ответственности за незаконные сбор, обработку, хранение или предоставление персональных данных.

Источник: Кодекс Республики Беларусь об административных правонарушениях, ст. 23.7 — etalonline.by

3. Уголовная ответственность

Если несоблюдение мер защиты персональных данных повлекло тяжкие последствия, наступает уголовная ответственность.

Согласно статье 203² Уголовного кодекса Республики Беларусь (от 9 июля 1999 г. № 275-З) «Несоблюдение мер обеспечения защиты персональных данных»:

Несоблюдение мер обеспечения защиты персональных данных лицом, осуществляющим обработку персональных данных, повлёкшее по неосторожности их распространение и причинение тяжких последствий, —

наказывается штрафом, или лишением права занимать определённые должности или заниматься определённой деятельностью, или ограничением свободы на срок до трёх лет, или лишением свободы на тот же срок.

Данная норма применяется к должностным лицам и иным работникам провайдера облачных услуг, которые обязаны обеспечивать защиту персональных данных, но не приняли надлежащих мер.

Источник: Уголовный кодекс Республики Беларусь, ст. 203² — etalonline.by

4. Дополнительная уголовная ответственность за несанкционированный доступ

Если нарушение связано с несанкционированным доступом к компьютерной информации (в том числе к данным, размещённым в облачной инфраструктуре), применяется статья 349 Уголовного кодекса Республики Беларусь «Несанкционированный доступ к компьютерной информации»:

Несанкционированный доступ к компьютерной информации, сопровождающийся нарушением системы защиты, совершённый из корыстной заинтересованности либо повлёкший по неосторожности причинение существенного вреда, —

наказывается штрафом, или лишением права занимать определённые должности или заниматься определённой деятельностью, или арестом, или ограничением свободы на срок до трёх лет, или лишением свободы на тот же срок.

Источник: Уголовный кодекс Республики Беларусь, ст. 349 — etalonline.by

5. Гражданско-правовая ответственность

Помимо административной и уголовной ответственности, провайдер облачных услуг несёт гражданско-правовую (деликтную) ответственность за причинение вреда субъекту персональных данных. В соответствии с общими нормами Гражданского кодекса Республики Беларусь (от 7 декабря 1998 г. № 218-З), лицо, причинившее вред личности или имуществу гражданина, обязано возместить этот вред в полном объёме.

6. Распределение ответственности между провайдером и заказчиком (владельцем данных)

Важно: Ответственность может распределяться между провайдером и заказчиком (клиентом) в зависимости от условий договора и фактического распределения обязанностей по обработке и защите данных. Если заказчик выступает в роли оператора персональных данных, а провайдер — в роли уполномоченного лица оператора, то оба могут нести солидарную или раздельную ответственность в зависимости от степени вины каждого.

7. Вывод

Основную ответственность за несоответствие локальным законам о данных несёт провайдер облачных услуг — как лицо, непосредственно осуществляющее обработку, хранение и предоставление персональных данных на территории Республики Беларусь. При этом:

• административная ответственность наступает по ст. 23.7 КоАП РБ (штраф до 50 базовых величин);
• уголовная ответственность должностных лиц провайдера — по ст. 203² и ст. 349 УК РБ при наступлении тяжких последствий или несанкционированном доступе;
• гражданско-правовая ответственность — в виде возмещения причинённого вреда субъектам персональных данных.

Вместе с тем, заказчик (клиент) облачных услуг также может быть привлечён к ответственности как оператор персональных данных, если он не обеспечил надлежащий выбор провайдера, не установил в договоре необходимых требований к защите данных или не осуществлял контроль за их исполнением.