Страхование утечки данных у подрядчика: кто и за что отвечает

Когда данные утекают через подрядчика, первая реакция заказчика — переложить ответственность на исполнителя. Но в 2026 году так не работает. Верховный суд РФ окончательно запретил перекладывать ответственность за утечки данных на подрядчиков. Теперь, даже если взломали инфраструктуру партнёра, регулятор штрафует компанию-заказчика. Разбираем, как распределяются роли и что нужно знать, чтобы не остаться с убытками.

Кто есть кто: оператор и обработчик

Закон № 152-ФЗ различает две роли. Оператор — это компания, которая определяет цели и средства обработки персональных данных. Обработчик — подрядчик, который действует по поручению оператора и выполняет технические функции: хранит, обезличивает, удаляет данные.

Оператор отвечает перед субъектами данных и государством. Подрядчик отвечает перед оператором по договору и может самостоятельно нести административную ответственность за собственные нарушения. Это два разных уровня ответственности, и их легко перепутать.

Что говорит Верховный суд

В деле Минтруда Верховный суд подтвердил: ответственность за сохранность персональных данных несёт оператор, даже если доступ к данным обеспечивал подрядчик. Ведомство пыталось оспорить штраф, ссылаясь на то, что взлом произошёл через организацию-подрядчика, но суд указал: оператор не принял необходимых мер для защиты инфраструктуры и не контролировал подрядчика.

Министерство оштрафовали на 100 тысяч рублей. Суд отметил, что оператор несёт ответственность за сохранность данных даже при привлечении сторонних организаций. Этот кейс стал ориентиром для всех компаний, которые передают обработку данных на аутсорс.

Почему НДА не спасает

Стандартное соглашение о неразглашении фиксирует конфиденциальный статус информации, но не управляет архитектурой доступа и не задаёт требования к защите инфраструктуры. Подписание НДА не обязывает подрядчика сегментировать сеть, внедрять многофакторную аутентификацию или контролировать привилегированные учётные записи.

В результате чувствительная информация обрабатывается в среде, которую заказчик почти не контролирует. Доступы к корпоративному VPN, учётные данные и служебные ключи оказываются в инфраструктуре подрядчика, где уровень защиты определяется фактической дисциплиной администрирования, а не договором.

Что должно быть в договоре с подрядчиком

Первое — конкретные требования к защите. В договоре нужно прописать, какие меры безопасности подрядчик обязан соблюдать: шифрование, разграничение доступа, многофакторная аутентификация, резервное копирование, мониторинг инцидентов.

Второе — порядок уведомления об инцидентах. Подрядчик должен сообщать о подозрительной активности и утечках в течение определённого срока, чтобы оператор успел выполнить обязанность по уведомлению Роскомнадзора.

Третье — право на аудит. Оператор должен иметь возможность проверять, как подрядчик соблюдает требования безопасности. Без этого контролировать исполнение невозможно.

Четвёртое — ответственность за нарушение. В договоре нужно прописать, какие убытки подрядчик возмещает оператору, если утечка произошла по его вине. Это не снимает ответственности с оператора перед регулятором, но позволяет взыскать потери с подрядчика.

Как страхование закрывает риски

Полис страхования киберрисков покрывает убытки от утечки данных, перерыва в деятельности и ответственности перед третьими лицами. В контексте работы с подрядчиками есть несколько важных нюансов.

Страховщики обычно исключают из покрытия действия страхователя и подрядчиков, использование нелицензионного ПО и DDoS-атаки. Это значит, что если утечка произошла из-за ошибки подрядчика, стандартный полис может не сработать.

Однако некоторые страховщики включают в покрытие убытки, вызванные нарушением безопасности субподрядчиками при обработке данных от имени страхователя. В правилах может быть указано, что перерыв в деятельности, вызванный небрежным действием или ошибкой независимого подрядчика, признаётся страховым случаем.

Поэтому при выборе полиса важно проверить, распространяется ли покрытие на действия подрядчиков. Если нет, стоит обсудить со страховщиком расширение.

Требования к подрядчику по страхованию

Некоторые заказчики требуют от подрядчиков наличие собственного полиса киберстрахования. В международной практике это стандарт: контрагент обязан поддерживать покрытие с минимальными лимитами, а заказчик указывается как дополнительно застрахованное лицо.

Это позволяет заказчику получить выплату напрямую от страховщика подрядчика, если тот допустил утечку. В российских договорах такое требование встречается реже, но практика распространяется.

Что это значит для бизнеса

Утечка данных у подрядчика — это не его проблема, а ваша. Регулятор придёт к оператору, а не к обработчику. НДА не защищает от финансовых потерь. Единственный способ снизить риски — выстроить требования к подрядчику, контролировать их исполнение и оформить полис, который покрывает убытки от действий контрагентов.

Проверьте свой полис и договоры с подрядчиками. Если в них нет требований к защите данных и порядка уведомления об инцидентах, вы остаётесь один на один с последствиями.

FINLEO Страхование — страхование киберрисков

Отправьте запрос на FINLEO — и получите предложения от 20+ страховых компаний-партнёров. Вы сможете сравнить условия по покрытию утечек данных, перерыва в деятельности и ответственности перед третьими лицами в одном окне.

Заполните форму, чтобы подобрать полис страхования киберрисков, который защитит бизнес с учётом рисков, связанных с подрядчиками.