Юлия Погасий: «Доверие – самый дорогой актив банка. Клиент простит технический сбой, но не будет уверен, что его данные в безопасности»

Вчера в 09:15

Утечки данных в финансовых организациях: сколько стоит один инцидент и кто в итоге платит — банк, клиент или акционеры? С 30 мая 2025 года вступили в силу оборотные штрафы за утечку персональных данных: от 3 до 20 млн рублей за первый инцидент и до 500 млн — за повторный. На вопрос, какие отрасли финансового сектора больше всего рискуют попасть под эти штрафы и почему, журналу RUБЕЖ отвечает Юлия Погасий, эксперт по управлению семейным капиталом (family office), структурированию активов и наследованию, инвестор, практикующий консультант с опытом работы в разных юрисдикциях, включая Европу, Ближний Восток и Азию.

RUБЕЖ: После громких случаев, когда клиенты отсуживали у банков десятки миллионов рублей за утечку данных, какова сейчас реальная практика распределения финансовой ответственности между банком, клиентом и страховыми компаниями, и меняется ли она с введением новых штрафов?

Юлия Погасий: Для начала отмечу, что главная проблема для финансовых организаций заключается даже не в размере штрафов. К ним еще добавляются приличные суммы. Стоимость одного инцидента складывается сразу из нескольких составляющих: расходы на расследование, восстановление инфраструктуры, уведомление клиентов и регуляторов, судебные издержки, возможные компенсации, усиление информационной безопасности и, самое главное, потеря доверия клиентов. Именно репутационные последствия во многих случаях выходят значительно дороже административного наказания.

RUБЕЖ: Какие отрасли финансового сектора больше всего рискуют попасть под эти штрафы и почему?

Юлия Погасий: К ним относятся банки, страховые компании, брокеры, платежные сервисы и финтех-компании, потому что именно они ежедневно обрабатывают огромные массивы персональных данных, сведения о счетах, платежах и финансовом поведении клиентов. А чем больше цифровых сервисов использует организация, тем шире становится потенциальная поверхность атаки.

При этом современная практика показывает, что источником утечки все чаще становятся не только внешние кибератаки. Львиную долю инцидентов составляют ошибки внутренних процессов, недостаточный контроль доступа сотрудников, использование подрядчиков и простой человеческий фактор. То есть риски получить штрафы возрастают.

RUБЕЖ: Какова сейчас реальная практика распределения финансовой ответственности между банком, клиентом и страховыми компаниями, и меняется ли она с введением новых штрафов?

Юлия Погасий: Новые требования законодательства меняют и подход к ответственности бизнеса. Если раньше многие компании оценивали потенциальные штрафы как приемлемый операционный риск, то теперь эта модель экономически невыгодной. Для крупных финансовых организаций речь может идти уже о десятках и сотнях миллионов рублей. Кроме того, закон ввел отдельные составы ответственности за неуведомление об обработке персональных данных, несвоевременное сообщение об утечке и различные категории нарушений в зависимости от масштаба инцидента.

RUБЕЖ: Но возникает закономерный вопрос: кто в итоге оплачивает последствия утечки?

Юлия Погасий: С юридической точки зрения основная ответственность лежит на операторе персональных данных, который обязан обеспечить их защиту. Именно организация несет административную ответственность перед государством и может столкнуться с гражданско-правовыми требованиями со стороны клиентов, если ущерб доказан.  

Вместе с тем далеко не каждый факт утечки автоматически означает выплату крупной компенсации: суды оценивают конкретные обстоятельства дела, последствия для пострадавшего и есть ли причинно-следственная связь между нарушением и причиненным вредом.

Если говорить шире, экономические последствия распределяются между несколькими участниками. Банк или финансовая компания несет прямые расходы на устранение инцидента, усиление защиты и выполнение требований регуляторов. Акционеры могут столкнуться со снижением стоимости бизнеса из-за репутационных потерь и дополнительных затрат. Клиенты рискуют стать жертвами мошенничества, даже если впоследствии убытки будут компенсированы.

В отдельных случаях часть финансовых последствий может покрываться программами киберстрахования. Однако они, как правило, не освобождают организацию от ответственности перед регулятором и не способны восстановить утраченное доверие.

Как я говорила выше, именно доверие сегодня – самый дорогой актив финансовой организации. Клиент может простить временный технический сбой, но уже не будет уверен, что его персональные и финансовые данные находятся в безопасности.

Ранее для журнала RUБЕЖ написала экспертную статью Татьяна Новикова, генеральный директор ООО «АУДИТ НТ», эксперт в налоговом консультировании, судебной экспертизе и внедрении управленческого учёта, «Оборотные штрафы до 500 млн: почему безопасность данных стала главным риском для банков»