Кибератака: как бизнесу не пострадать дважды

Хакерские атаки на бизнес становятся все более распространенными. Компании должны быть готовы реагировать на киберинциденты максимально быстро и эффективно.

Статьей 21 ЗУ "О защите персональных данных" предусмотрено уведомление субъекта персональных данных в течение 10 рабочих дней в случае:

• передачи персональных данных третьему лицу (например, хакерам);
• изменения, удаления или уничтожения персональных данных или ограничения доступа к ним.

Кроме того, компании обязаны обеспечить защиту персональных данных от случайных потерь или уничтожения, от незаконной обработки, в том числе незаконного уничтожения или доступа к персональным данным (статья 24 ЗУ "О защите персональных данных").

За нарушение законодательства предусмотрено:

• административная ответственность от 5100 грн до 34000 грн (ст. 188-39 Кодекса Украины об административных правонарушениях);
• уголовная ответственность до 3 лет ограничения свободы (ст. 182 Уголовного кодекса Украины).

Также может быть подан иск в компанию о возмещении нанесенного ущерба.

Поэтому, в случае хакерской атаки, приведшей к утечке персональных данных, советую обратить внимание на уголовно-правовое направление, которое поможет минимизировать вредные последствия. Сегодня уголовная ответственность установлена ст. 361 и 361-2 Уголовного Кодекса Украины. В первую очередь следует задокументировать обстоятельства несанкционированного вмешательства, сбыта или распространения такой информации, которые затем подробно изложить в заявлении. Обращаться с ним лучше сразу в Департамент киберполиции Национальной полиции Украины.

Поскольку почти всегда несанкционированное вмешательство связано с немалым материальным ущербом бизнесу, стоит взглянуть и в сторону гражданского иска. Если установлено лицо, совершившее правонарушение (что, к сожалению, в таких категориях преступлений удается не всегда).

Впрочем, неподача гражданского иска в уголовном производстве не лишает потерпевшего права подать исковое заявление в порядке гражданского судопроизводства. В таком случае уголовное и гражданское дела будут рассматриваться судами отдельно (с большой вероятностью прекращения слушания гражданского дела до вынесения решения судом по уголовному делу). Такой механизм поможет взыскать компенсацию причиненного кибератакой ущерба в рамках уголовного производства или отдельно в порядке гражданского судопроизводства после вступления в силу обвинительного приговора суда.