Ответственность при взломе умного дома через уязвимость в приложении

Общая правовая оценка ситуации

Взлом умного дома через уязвимость в приложении затрагивает сразу несколько правовых сфер: уголовное право (преступление в сфере компьютерной информации), гражданское право (деликтная ответственность, качество услуг) и законодательство о защите прав потребителей. Ответственность может распределяться между несколькими лицами в зависимости от их вины и причинно-следственной связи.

1. Уголовная ответственность злоумышленника (хакера)

Лицо, осуществившее несанкционированный доступ к системе умного дома через уязвимость в приложении, подлежит уголовной ответственности по следующим статьям Уголовного кодекса Республики Беларусь от 9 июля 1999 г. № 275-З:

Статья 349. Несанкционированный доступ к компьютерной информации

«Несанкционированный доступ к компьютерной информации, сопровождающийся нарушением системы защиты (несанкционированный доступ к компьютерной информации), совершенный из корыстной заинтересованности либо повлекший по неосторожности причинение существенного вреда»

Наказывается штрафом, или лишением права занимать определённые должности, или арестом, или ограничением свободы, или лишением свободы. При квалификации по данной статье учитывается, что доступ был несанкционированным (без согласия владельца) и сопровождался нарушением системы защиты — что прямо применимо к взлому через уязвимость приложения.

Статья 350. Уничтожение, блокирование или модификация компьютерной информации

Если в результате взлома злоумышленник изменил, заблокировал или уничтожил данные (например, настройки устройств умного дома, учётные записи), дополнительно применяется:

«Умышленные уничтожение, блокирование, приведение в непригодное состояние компьютерной информации, разрушение, блокирование либо нарушение работы компьютерной системы, сети или машинного носителя либо модификация компьютерной информации при отсутствии признаков преступления против собственности»

2. Гражданско-правовая ответственность разработчика приложения

Разработчик (или поставщик) приложения для управления умным домом может нести гражданско-правовую ответственность перед клиентом, если уязвимость, через которую был осуществлён взлом, обусловлена недостатками оказанной услуги или проданного товара (программного продукта).

Гражданский кодекс Республики Беларусь от 7 декабря 1998 г. № 218-З

В соответствии с общими положениями о возмещении вреда (глава 58 ГК), лицо, причинившее вред, обязано его возместить. При этом:

• Если приложение было предоставлено как платная услуга (подписка, лицензия), и в нём содержалась уязвимость, которая не была устранена в разумный срок, разработчик может нести ответственность за ненадлежащее качество услуги.
• Если приложение продавалось как товар (в составе комплекта умного дома), применяются нормы о ответственности продавца за недостатки товара — клиент вправе требовать соразмерного уменьшения цены, безвозмездного устранения недостатков или расторжения договора с возвратом уплаченной суммы.

Законодательство о защите прав потребителей

Если клиент является потребителем (приобрёл приложение или услугу для личного, не предпринимательского использования), применяется Закон Республики Беларусь «О защите прав потребителей». Потребитель вправе требовать:

• возмещения реального ущерба (стоимость повреждённого оборудования, расходы на восстановление системы);
• компенсации морального вреда (ст. 14 Закона «О защите прав потребителей»);
• безвозмездного устранения недостатков программного продукта.

Важно: разработчик может быть освобождён от ответственности, если докажет, что уязвимость не могла быть обнаружена при обычных мерах безопасности на момент выпуска приложения (отсутствие вины), либо что вред причинён вследствие непреодолимой силы или грубой неосторожности самого потребителя.

3. Ответственность самого клиента (пользователя)

Клиент (владелец умного дома) может частично разделять ответственность, если:

• Не обновлял приложение после выхода патча безопасности, устраняющего уязвимость;
• Использовал слабые пароли или не включил доступные средства защиты (двухфакторная аутентификация);
• Нарушал правила эксплуатации системы, установленные разработчиком.

В этом случае применяется принцип смешанной вины (ст. 948 ГК Республики Беларусь): если вред причинён по вине обеих сторон (и разработчика, и пользователя), размер возмещения уменьшается в зависимости от степени вины каждой стороны.

4. Административная ответственность

В случае если действия злоумышленника не содержат признаков преступления (например, не причинён существенный вред), может применяться административная ответственность за нарушение правил эксплуатации компьютерных систем (ст. 22.6 КоАП Республики Беларусь от 6 января 2021 г. № 91-З), предусматривающая штраф.

Резюме: распределение ответственности

Источники:

1. Уголовный кодекс Республики Беларусь от 9 июля 1999 г. № 275-З — ст. 349, ст. 350 — etalonline.by
2. Гражданский кодекс Республики Беларусь от 7 декабря 1998 г. № 218-З — общие положения о возмещении вреда, ст. 948 (смешанная вина) — etalonline.by
3. Кодекс Республики Беларусь об административных правонарушениях от 6 января 2021 г. № 91-З — etalonline.by
4. Закон Республики Беларусь «О защите прав потребителей» — нормы о качестве услуг и компенсации морального вреда

Примечание: Для точной квалификации конкретного случая рекомендуется обратиться к адвокату с предоставлением технической документации о характере уязвимости, обстоятельствах взлома и размере причинённого ущерба.