Владельцев дата-центров предложили не штрафовать за утечки с клиентских серверов
Аналитический центр при правительстве России предложил закрепить, что коммерческий дата-центр не считается оператором персональных данных и не отвечает за их утечку, если лишь размещает оборудование клиента и не имеет доступа к информации. Инициатива вошла в проект дорожной карты развития российского рынка ЦОД, которому еще предстоит межведомственное согласование.
Предложение касается коммерческих ЦОД, предоставляющих услуги по размещению клиентского оборудования. В этой модели дата-центр обеспечивает серверы электричеством, охлаждением и физической защитой, но не определяет цели, состав и способы обработки персональных данных и не получает к ним доступа. Авторы дорожной карты утверждают, что действующая практика не всегда четко разделяет роли участников, поэтому претензии могут предъявляться даже владельцу инфраструктуры, который не управляет информацией клиента.
Цена правовой неопределенности может оказаться высокой. За первичную утечку штраф для юридического лица зависит от масштаба инцидента и категории данных и может достигать 20 млн руб. За повторное нарушение предусмотрено взыскание в размере 1–3% годовой выручки, но не более 500 млн руб. В Минцифры заявили, что ответственность необходимо распределять с учетом фактической роли каждого участника: ЦОД, который только предоставляет инфраструктуру и не имеет доступа к информации, не является оператором персональных данных.
Инициативу обсуждают в период, когда отдельные утечки становятся заметно масштабнее. По словам основателя «Интернет-Розыска» Игоря Бедерова, число инцидентов в первом полугодии 2026 года увеличилось незначительно, однако объем скомпрометированных записей, по разным оценкам, вырос на 31,5–70% год к году. Злоумышленники все чаще похищают базы целиком — вместе с телефонами, логинами, историей покупок и геолокацией. По словам эксперта, такие массивы продают на теневых площадках как датасеты для обучения ИИ.
Опрошенные участники рынка поддержали более четкое разграничение ответственности. В «МегаФоне» считают, что ЦОД не должен отвечать за утечку клиентских данных, если не имеет к ним доступа и не может влиять на их обработку. По оценке экспертов, понятные границы ответственности снизят регуляторные риски и могут сдержать рост цен на услуги дата-центров.
Споры об ответственности оператора и подрядчика уже доходили до суда, хотя дело не касалось ЦОД напрямую. В январе 2026 года Верховный суд оставил в силе штраф для Минтруда после утечки около 1,4 тыс. записей о сотрудниках ведомства и их родственниках: инфраструктура министерства была скомпрометирована через подрядную организацию. Суд указал, что Минтруд оставался оператором персональных данных и отвечал как за их защиту, так и за контроль привлеченного подрядчика.
Если предложение примут, инфраструктурные подрядчики могут реже сталкиваться с формальными претензиями, а основные обязанности по защите информации останутся у компаний и госструктур, которые собирают и используют персональные данные. Однако одно изменение закона не сократит число утечек: операторам по-прежнему придется укреплять внутренние системы безопасности, контролировать доступ и следить за работой подрядчиков. Исключение при этом будет касаться только ЦОД без доступа к информации — роль провайдеров, которые обрабатывают данные или администрируют клиентские системы, необходимо определять отдельно.
Подпишитесь на «Инк» в Telegram. Там мы пишем нескучным языком о самом важном для предпринимателей. Подписаться.
