Кто несет ответственность, если умный дом клиента был взломан через уязвимость в приложении

Юридический анализ: ответственность за взлом умного дома через уязвимость в приложении

Вопрос о том, кто несёт ответственность при взломе умного дома через уязвимость в приложении, является многоаспектным и требует рассмотрения с нескольких правовых позиций законодательства Республики Беларусь.

1. Уголовная и административная ответственность лица, совершившего взлом (хакера)

Непосредственным виновником взлома является лицо, осуществившее несанкционированный доступ к компьютерной информации системы умного дома. Его действия квалифицируются по нормам Уголовного кодекса Республики Беларусь от 9 июля 1999 г. № 275-З и Кодекса Республики Беларусь об административных правонарушениях от 6 января 2021 г. № 91-З.

Уголовная ответственность наступает по статье 349 УК РБ — «Несанкционированный доступ к компьютерной информации»:

«Несанкционированный доступ к компьютерной информации, сопровождающийся нарушением системы защиты, совершённый из корыстной заинтересованности либо повлекший по неосторожности причинение существенного вреда, наказывается штрафом, или лишением права занимать определённые должности, или арестом, или ограничением свободы, или лишением свободы».

(Уголовный кодекс РБ, ст. 349)

Дополнительную квалификацию может получить и статья 352 УК РБ — «Неправомерное завладение компьютерной информацией», если злоумышленник копировал, перехватывал или иным образом неправомерно завладел данными, что повлекло причинение существенного вреда.

(Уголовный кодекс РБ, ст. 352)

Административная ответственность предусмотрена статьёй 23.4 КоАП РБ:

«Несанкционированный доступ к информации, хранящейся в компьютерной системе, сети или на машинных носителях, сопровождающийся нарушением системы защиты, влечёт наложение штрафа в размере от двадцати до тридцати базовых величин».

(КоАП РБ, ст. 23.4)

2. Гражданско-правовая ответственность разработчика/продавца приложения

Помимо ответственности самого хакера, важным является вопрос о том, несёт ли ответственность разработчик (продавец) приложения за наличие уязвимости, которая позволила осуществить взлом.

Согласно статье 933 Гражданского кодекса Республики Беларусь от 7 декабря 1998 г. № 218-З (Общие основания ответственности за причинение вреда):

«Вред, причинённый личности или имуществу гражданина, либо вред, причинённый имуществу юридического лица, подлежит возмещению в полном объёме лицом, причинившим вред».

Применительно к недостаткам товара (работы, услуги) действует статья 944 ГК РБ — «Вред, причинённый вследствие недостатков товара, работы или услуги». Согласно данной норме, вред, причинённый жизни, здоровью или имуществу гражданина либо имуществу юридического лица вследствие конструктивных, рецептурных или иных недостатков товара (работы, услуги), а также вследствие недостоверной или недостаточной информации о товаре (работе, услуге), подлежит возмещению:

• изготовителем (исполнителем, продавцом) — по выбору потерпевшего;
• если вред причинён в течение срока службы товара (работы, услуги), а если срок службы не установлен — в течение 10 лет со дня передачи товара (выполнения работы, оказания услуги).

Уязвимость в приложении может рассматриваться как недостаток товара (услуги), если она возникла вследствие ошибок в проектировании, программировании или тестировании программного продукта. В этом случае разработчик приложения может быть привлечён к гражданско-правовой ответственности и обязан возместить причинённый вред.

3. Защита прав потребителей

Дополнительную защиту прав клиента обеспечивает Закон Республики Беларусь «О защите прав потребителей», который:

• обязывает продавца (изготовителя, исполнителя) предоставлять потребителю достоверную и полную информацию о товаре (услуге), включая информацию о его безопасности;
• предусматривает ответственность за предоставление недостоверной или недостаточной информации о товаре (услуге), если это повлекло причинение вреда;
• устанавливает право потребителя на безопасность товара (услуги) в течение установленного срока службы (годности).

Если разработчик приложения не уведомил пользователя об известных рисках безопасности, не обеспечил своевременное обновление для устранения уязвимостей или не предоставил информацию о необходимых мерах защиты, это усиливает его ответственность.

4. Договорная ответственность

Если между клиентом и разработчиком (поставщиком услуг) заключён договор, в котором предусмотрены обязательства по обеспечению безопасности и защите данных, то нарушение этих обязательств влечёт ответственность в соответствии с условиями договора и статьёй 366 ГК РБ (Ответственность за неисполнение обязательства):

«Должник обязан возместить кредитору убытки, причинённые неисполнением или ненадлежащим исполнением обязательства».

5. Смешанная ответственность и распределение вины

На практике суд может применить принцип смешанной ответственности (статья 952 ГК РБ — «Смешанный вред»):

• Если сам пользователь не предпринял разумных и доступных мер безопасности (например, не изменил пароль по умолчанию, не установил обновления, доступные ему), суд может уменьшить размер возмещения с учётом вины самого потерпевшего.
• Если разработчик знал или должен был знать об уязвимости и не устранил её своевременно, его доля ответственности увеличивается.
• Если третье лицо (хакер) совершило умышленные преступные действия, это не освобождает разработчика от ответственности за недостатки товара (услуги), но может стать основанием для регрессного требования разработчика к виновному лицу.

Резюме

Таким образом, в законодательстве Республики Беларусь предусмотрена многоуровневая система ответственности: хакер несёт уголовную (или административную) ответственность за несанкционированный доступ, а разработчик приложения может быть привлечён к гражданско-правовой ответственности за вред, причинённый вследствие недостатков программного продукта (уязвимости). Конкретное распределение ответственности зависит от обстоятельств дела, степени вины каждого участника и условий договора.