Юристы объясняют: кто может нести личную ответственность за кибератаку на ЦГД

Кибератака на латвийскую Дирекцию безопасности дорожного движения (CSDD) в начале августа, в результате которой были похищены персональные данные примерно 1,2 миллиона человек, стала одним из самых серьёзных известных случаев утечки данных в Латвии. После резкой критики со стороны премьер-министра и президента в отставку ушли правление и совет CSDD, однако эксперты отмечают, что отставка сама по себе не отвечает на вопрос о юридической ответственности.

Сейчас дело рассматривает Инспекция данных государства, а Государственная полиция начала уголовный процесс в отношении злоумышленника. Президент Эдгарс Ринкевичс попросил генерального прокурора проверить действия должностных лиц CSDD.

Когда отвечает человек, а не только учреждение

Уголовный закон предусматривает ответственность лица, отвечавшего за соблюдение правил безопасности информационной системы, если в результате нарушения данные были уничтожены, повреждены, похищены или нанесён существенный вред. Наказание — лишение свободы до одного года, а при тяжких последствиях — до трёх лет. Статус «ответственного лица» может определяться не только должностной инструкцией, но и фактически возложенными обязанностями.

Подобный прецедент уже был: после инцидента 2024 года в единой информационной системе самоуправлений полиция инициировала уголовное преследование администратора систем компании — это был первый подобный случай в Латвии.

Особенно высокая ответственность обычно ложится на членов правления, которым, в отличие от обычного порядка, самим приходится доказывать, что они действовали с должной осмотрительностью. Передача обслуживания IT-инфраструктуры на аутсорсинг не снимает обязанностей с заказчика, а личную ответственность может нести и сотрудник поставщика услуг.

Иногда не отвечает никто

Если атака использовала неизвестную, непредвиденную уязвимость или все требуемые меры безопасности были соблюдены, личная ответственность может не наступить ни для кого, а ответственность организации оценивается отдельно.

С 16 апреля наказания за подобные нарушения были увеличены. По делу CSDD публично сообщалось о несоблюдении требований по тестированию на проникновение и многофакторной аутентификации, однако окончательный ответ о личной ответственности даст только расследование.