Утечки персональных данных давно перестали быть редкостью. Базы данных с фамилиями, номерами телефонов, адресами и платежными сведениями регулярно оказываются в открытом доступе, после чего их копируют и перепродают на ресурсах, размещенных в разных странах. Где бы ни был взломан сервер, воспользоваться опубликованными сведениями может человек, находящийся в любой стране. Поэтому утечка представляет собой не только внутреннюю проблему конкретного оператора или государства, но и трансграничную угрозу. Цель статьи — оценить масштабы утечек и определить, какие международно-правовые средства противодействия им существуют и каковы их пределы.

Единого международного определения утечки не существует, но близкие формулировки есть в праве Европейского союза и в российском законе. Общий регламент ЕС о защите персональных данных (далее — GDPR) использует понятие нарушения безопасности персональных данных, под которым понимает нарушение безопасности, повлекшее случайное или незаконное уничтожение, утрату или изменение данных, их несанкционированное раскрытие или доступ к ним (п. 12 ст. 4) [1]. Федеральный закон «О персональных данных» (далее — Закон о персональных данных) говорит о неправомерной или случайной передаче (предоставлении, распространении, доступе) персональных данных, повлекшей нарушение прав субъектов (ч. 3.1 ст. 21) [2]. Обе формулировки охватывают не только действия хакеров, но и ошибки самого оператора. Это подтверждают и исследования практики: сведения о пациентах медицинских организаций попадают в открытый доступ как в результате хакерских атак, так и из-за злоупотреблений персонала и халатности руководителей [3, с. 81]. Поэтому у большинства утечек две стороны: оператор, который не обеспечил защиту, и лицо, которое похитило, опубликовало или продало данные. Соответственно, правовые средства противодействия обращены и к тем, и к другим.

Масштаб проблемы хорошо виден по российской статистике. Д. В. Бахтеев, А. М. Сосновикова и Е. В. Казенас приводят сведения о 168 утечках персональных данных, выявленных только за 2023 г., и о более чем 300 млн записей с данными российских граждан, которые в том же году попали в открытый доступ [4, с. 948–949]. По данным Роскомнадзора, в 2024 г. было зафиксировано 135 утечек, содержавших свыше 710 млн записей о россиянах, а в 2025 г. — 118 утечек и более 52 млн записей [5]. Резкое снижение объема в 2025 г. на первый взгляд говорит об улучшении ситуации, однако делать такой вывод рано. Количество утечек меняется намного меньше, чем объем записей, который определяется несколькими крупными инцидентами: одна утечка из большой базы может изменить годовой показатель в разы. Официальная статистика к тому же учитывает только выявленные случаи, а независимые оценки бывают выше: аналитики компании «Eca Про» насчитали за 2025 г. более 145 млн строк данных [5]. При этом число записей не совпадает с числом пострадавших, поскольку сведения об одном человеке могут содержаться в разных базах.

Проблема не является сугубо российской. Показателен случай, который рассматривал Суд Европейского союза (далее — Суд ЕС). В июле 2019 г. в результате кибератаки на информационную систему Национального агентства по доходам Болгарии в интернете были опубликованы персональные данные более 6 млн физических лиц, причем не только граждан Болгарии, но и иностранцев [6]. Этот пример показывает, что даже утечка из системы одного государственного органа затрагивает лиц, связанных с другими государствами, а публикация в интернете делает сведения доступными далеко за пределами страны, где произошел инцидент.

Трансграничный характер утечки в полной мере проявляется после того, как данные опубликованы. Похищенную базу обычно выкладывают или продают через ресурсы, на которые не распространяется юрисдикция государства, где работает оператор, и ее копии быстро расходятся по разным площадкам. Д. В. Бахтеев и соавторы, рассматривая российские правила о прекращении трансграничной передачи, указывают, что правительство иностранного, особенно недружественного, государства вряд ли удалит полученные из России данные по требованию российской компании, и констатируют: «механизма, в соответствии с которым данное требование должно быть претворено в жизнь, не существует» [4, с. 954]. При утечке ситуация еще сложнее, потому что получатель данных неизвестен и действует незаконно. Неслучайно авторы приходят к выводу, что «нелегальные трансграничные потоки персональных данных несут в себе серьезную угрозу для прав личности» [4, с. 964]. Национальные меры в такой ситуации работают лишь до границы: государство может наказать оператора и найти виновных на своей территории, но не способно собственными силами изъять данные из иностранных источников. Отсюда и вопрос о том, какие средства для этого предлагает международное право.

На универсальном уровне специального договора о безопасности персональных данных нет. Как отмечает А. Ю. Ястребова, право на защиту персональных данных отдельно не урегулировано в универсальных международных актах и рассматривается как часть права на частную жизнь, а специальные гарантии закреплены лишь в договорах о правах отдельных категорий лиц [7, с. 19–20]. В этих условиях наибольшее значение для борьбы с утечками имеет Конвенция ООН против киберпреступности 2024 г. [8]. Она обязывает государства установить ответственность за незаконный доступ, незаконный перехват, воздействие на электронные данные и на информационно-коммуникационную систему, а также за неправомерное использование устройств (ст. 7–11). Эти составы охватывают основные технические способы, которыми похищаются базы данных. Конвенция также предусматривает оперативное обеспечение сохранности хранимых электронных данных (ст. 25) и содержит отдельные правила о защите персональных данных, передаваемых между государствами (ст. 36). На практике это позволит государствам совместно устанавливать лиц, похитивших базу, и сохранять доказательства, находящиеся на серверах в других странах.

Вместе с тем возможности Конвенции не следует преувеличивать. Она направлена на уголовное преследование и сотрудничество правоохранительных органов, но не устанавливает обязанностей операторов по защите данных и не дает пострадавшим самостоятельных средств защиты. Д. Д. Штодина приходит к выводу, что достижение компромисса при принятии Конвенции констатировать не приходится [9, с. 111], а положения о соблюдении прав человека, по ее мнению, на практике оставят государствам свободу в выборе гарантий [9, с. 120]. Исследователь отмечает и более общую тенденцию: «ведущее значение государства в киберпространстве постепенно утрачивается» [9, с. 122]. Для утечек это особенно заметно: похищенные базы распространяются через площадки, которые государства контролируют с трудом. Главное же ограничение состоит в том, что Конвенция пока не действует. В октябре 2025 г. в Ханое ее подписали 65 государств, в том числе Россия [10]. К концу сентября 2026 г. число подписавших выросло до 95, однако утвердили Конвенцию лишь три государства, тогда как для вступления в силу требуется ратификация сорока [11]. Следовательно, в ближайшее время универсальный механизм сотрудничества по делам об утечках работать не будет.

Более развитые правила о безопасности данных сложились на региональном уровне. Конвенция Совета Европы о защите физических лиц при автоматизированной обработке персональных данных 1981 г. (далее — Конвенция 108) предусматривает, что для защиты персональных данных, хранящихся в автоматизированных базах, «принимаются надлежащие меры безопасности», направленные на предотвращение их случайного или несанкционированного уничтожения, потери, несанкционированного доступа, изменения или распространения (ст. 7) [12]. Для России эта норма сохраняет силу, поскольку, несмотря на выход из Совета Европы, она остается участником Конвенции 108 [7, с. 18]. Однако ст. 7 говорит лишь о предупреждении утечек и не определяет, как оператор должен действовать после инцидента. Этот пробел восполнен в модернизированной Конвенции 108+: оператор обязан без промедления уведомлять как минимум компетентный надзорный орган о тех нарушениях безопасности, которые могут серьезно затронуть права и основные свободы субъектов данных (п. 2 ст. 7) [13]. Россия подписала протокол о модернизации Конвенции, но не ратифицировала его, поэтому как международное обязательство это правило на нее не распространяется.

Наиболее подробную модель реагирования на утечки создал Европейский союз. GDPR обязывает оператора уведомить надзорный орган о нарушении безопасности без неоправданной задержки и по возможности не позднее 72 часов после того, как ему стало о нем известно (ст. 33). Если нарушение создает высокий риск для прав и свобод граждан, о нем необходимо сообщить и самим субъектам данных (ст. 34). За нарушение требований Регламента могут назначаться штрафы до 20 млн евро или до 4 % мирового годового оборота компании (ст. 83). Помимо этого, Регламент применяется к операторам за пределами Союза, если они предлагают товары и услуги лицам, находящимся в ЕС, или отслеживают их поведение (п. 2 ст. 3). В результате европейский стандарт реагирования на утечки распространяется и на компании из других стран.

Практика Суда ЕС показывает, как эти нормы применяются к утечкам. В упомянутом деле о болгарском налоговом агентстве Суд указал, что сам по себе несанкционированный доступ третьих лиц к данным еще не означает, что принятые оператором меры защиты были ненадлежащими. В то же время доказывать надлежащий характер мер безопасности должен именно оператор, и он не освобождается от обязанности возместить вред только потому, что вред причинен кибератакой третьих лиц. Суд также признал, что опасение возможного злоупотребления данными после утечки само по себе может составлять нематериальный вред, если это опасение обоснованно. Для человека, чьи данные уже распространились и не могут быть удалены, такой подход имеет особое значение: если вернуть контроль над данными невозможно, основным способом защиты становится компенсация.

Российское законодательство развивается в том же направлении, хотя Россия не связана ни Конвенцией 108+, ни правом ЕС. Оператор обязан в течение 24 часов уведомить Роскомнадзор о выявленном инциденте, его предполагаемых причинах и вреде, а в течение 72 часов — сообщить о результатах внутреннего расследования (ч. 3.1 ст. 21 Закона о персональных данных). По сроку первого уведомления российское правило строже европейского. В 2024 г. была существенно усилена ответственность. Размер административного штрафа за утечку теперь зависит от числа субъектов, чьи данные оказались в открытом доступе, а за повторную утечку предусмотрен штраф, исчисляемый в процентах от выручки [14]. Уголовный кодекс РФ дополнен ст. 272.1 [15], которая устанавливает ответственность за незаконные использование, передачу, сбор и хранение компьютерной информации, содержащей персональные данные и полученной незаконным путем, а также за создание ресурсов, предназначенных для ее незаконного хранения и распространения [16]. Отдельным квалифицирующим признаком названо совершение этих деяний с трансграничной передачей такой информации или трансграничным перемещением ее носителей (ч. 4 ст. 272.1 УК РФ). Тем самым законодатель прямо признал, что вывоз похищенных данных за рубеж повышает опасность преступления.

Гражданско-правовая защита пострадавших остается менее определенной. Б. В. Агарков и А. Н. Сурков, исследуя ответственность медицинских организаций за утечки, отмечают, что основным способом защиты выступает компенсация морального вреда [3, с. 85]. При этом суды по-разному подходят к бремени доказывания: в одних делах вину оператора должен доказать истец [3, с. 87], в других суды исходят из презумпции вины причинителя вреда [3, с. 88]. Для пострадавшего это принципиальный вопрос, ведь получить сведения о том, как именно оператор защищал свои системы, ему практически невозможно. Позиция Суда ЕС, возлагающего на оператора бремя доказывания надлежащих мер безопасности, могла бы служить ориентиром для выработки единого подхода в российской практике.

У рассмотренных средств есть общий недостаток. Они рассчитаны либо на предупреждение утечек, либо на реакцию внутри одной юрисдикции, либо на уголовное преследование виновных. Ни один из рассмотренных международных актов не обязывает государства сообщать друг другу об утечках, затрагивающих их граждан, и не предусматривает сотрудничества в удалении опубликованных баз с иностранных ресурсов. Между тем именно на этом этапе утечка и становится трансграничной угрозой. Восполнить этот пробел реалистичнее всего на двустороннем и региональном уровне, где государствам легче договориться. В литературе уже высказано предложение о подготовке двусторонних договоров, которые позволили бы укрепить единое понимание персональных данных и способов их защиты [7, с. 16]. В такие договоры целесообразно включать правила о взаимном уведомлении компетентных органов об утечках, которые затрагивают граждан другой стороны, и о сотрудничестве в ограничении доступа к опубликованным базам. После вступления в силу Конвенции ООН против киберпреступности ее механизмы обеспечения сохранности электронных данных можно будет использовать и для установления лиц, распространяющих похищенные базы через иностранные ресурсы, однако для этого России потребуется ее ратифицировать.

Утечки персональных данных приобрели массовый характер: только в России за последние годы в открытый доступ попали сотни миллионов записей. Трансграничность утечки связана не столько с местом взлома, сколько с тем, что опубликованные данные расходятся по ресурсам в разных странах и остаются доступными после того, как национальные меры исчерпаны. Международное право отвечает на эту угрозу по частям. Совет Европы закрепляет требования к безопасности данных и обязанность уведомлять надзорный орган, право ЕС дополняет их высокими штрафами и правом на компенсацию, а Конвенция ООН против киберпреступности ориентирована на уголовное преследование виновных, но пока не вступила в силу. Российское законодательство восприняло многие из этих подходов, однако вопрос о сотрудничестве государств в устранении последствий утечки по-прежнему не решен ни в национальном, ни в международном праве. Именно его следует учитывать при подготовке новых соглашений в сфере защиты персональных данных.

Литература:

1. Регламент (ЕС) 2016/679 Европейского парламента и Совета от 27 апреля 2016 г. о защите физических лиц при обработке персональных данных и о свободном обращении таких данных, а также об отмене Директивы 95/46/ЕС (Общий регламент о защите персональных данных) // Official Journal of the European Union. — 2016. — L 119. — P. 1–88.
2. Федеральный закон от 27 июля 2006 г. № 152-ФЗ (ред. от 26.07.2026) «О персональных данных» // Собрание законодательства РФ. — 2006. — № 31 (ч. I). — Ст. 3451; 2026. — № 30. — Ст. 4111.
3. Агарков Б. В., Сурков А. Н. Гражданско-правовая ответственность медицинской организации за утечку персональных данных // Известия Юго-Западного государственного университета. Серия: История и право. 2024. Т. 14, № 3. С. 79–94.
4. Бахтеев Д. В., Сосновикова А. М., Казенас Е. В. Преодоление нелегальной трансграничной передачи персональных данных // Journal of Digital Technologies and Law. 2024. Т. 2, № 4. С. 943–972.
5. В России в 2025 году количество утечек персональных данных снизилось до 118 // WWW1.RU. 2026. 22 янв. URL: https://www1.ru/news/2026/01/22/v-rossii-v-2025-godu-kolicestvo-utecek-personalnyx-dannyx-snizilos-do-118.amp.html (дата обращения: 12.10.2026).
6. Решение Суда Европейского союза от 14 декабря 2023 г. по делу C-340/21 «VB v Natsionalna agentsia za prihodite» // EUR-Lex. URL: https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:62021CJ0340 (дата обращения: 12.10.2026).
7. Ястребова А. Ю. Понятие и защита персональных данных в контексте международно-правовой регламентации цифрового пространства // Право и управление. XXI век. 2025. № 2 (75). С. 15–25.
8. Конвенция Организации Объединенных Наций против киберпреступности; укрепление международного сотрудничества в борьбе с определенными преступлениями, совершаемыми с использованием информационно-коммуникационных систем, и в обмене доказательствами в электронной форме, относящимися к серьезным преступлениям (принята резолюцией 79/243 Генеральной Ассамблеи ООН 24 декабря 2024 г.) (не вступила в силу) // Организация Объединенных Наций: официальный сайт. URL: https://docs.un.org/ru/A/RES/79/243 (дата обращения: 12.10.2026).
9. Штодина Д. Д. Конвенция Организации Объединенных Наций против киберпреступности 2024 года — итог «киберкомпромисса»? // Московский журнал международного права. 2025. № 1. С. 110–124.
10. Ханойскую конвенцию наряду с Россией подписали более 60 стран // РАПСИ. 2025. 25 окт. URL: https://rapsinews.ru/international_news/20251025/311274117.html (дата обращения: 12.10.2026).
11. Еще четыре государства подписали Конвенцию ООН против киберпреступности // РАПСИ. 2026. 28 сент. URL: https://rapsinews.ru/international_news/20260928/312232330.html (дата обращения: 12.10.2026).
12. Конвенция о защите физических лиц при автоматизированной обработке персональных данных (заключена в г. Страсбурге 28 января 1981 г.) // Собрание законодательства РФ. — 2014. — № 5. — Ст. 419.
13. Протокол о внесении изменений в Конвенцию о защите физических лиц при автоматизированной обработке персональных данных (CETS № 223) (открыт для подписания в г. Страсбурге 10 октября 2018 г.) // Council of Europe. URL: https://rm.coe.int/16808b36f1 (дата обращения: 12.10.2026).
14. Федеральный закон от 30 ноября 2024 г. № 420-ФЗ (ред. от 23.05.2025) «О внесении изменений в Кодекс Российской Федерации об административных правонарушениях» // Собрание законодательства РФ. — 2024. — № 49 (ч. IV). — Ст. 7411; 2025. — № 21. — Ст. 2525.
15. Уголовный кодекс Российской Федерации от 13 июня 1996 г. № 63-ФЗ (ред. от 04.08.2026) // Собрание законодательства РФ. — 1996. — № 25. — Ст. 2954.
16. Федеральный закон от 30 ноября 2024 г. № 421-ФЗ «О внесении изменений в Уголовный кодекс Российской Федерации» // Собрание законодательства РФ. — 2024. — № 49 (ч. IV). — Ст. 7412.