«Кто будет нести ответственность, если нарушение произойдёт у компании, предоставляющей нам инфраструктуру электронной коммерции или программное обеспечение, и что нам следует предусмотреть в договоре и как действовать в момент инцидента?» Этот вопрос должен быть на повестке дня каждой компании, которая доверяет значительную часть своей операционной деятельности внешним провайдерам. Kişisel Verileri Koruma Kurumu (KVKK, Управление по защите персональных данных Турции) в сентябре 2026 года опубликовало объявления о нарушениях безопасности данных, и они показывают: вопрос не теоретический.
В одном из объявлений от 30 сентября 2026 года говорится, что нарушение вызвано инцидентом информационной безопасности в системах поставщика услуг, обслуживающего инфраструктуру электронной коммерции контролёра данных, и выявлено по уведомлению обработчика данных; число затронутых лиц — 3 642. В другом объявлении, от 23 сентября 2026 года, сообщается, что к серверу в системах обработчика данных был получен несанкционированный доступ, о нарушении снова стало известно из уведомления обработчика данных, а затронуты были 779 человек. В списке есть девять объявлений с датой 30 сентября.
В этой статье мы сосредоточимся не на технических шагах реагирования на инцидент, а на правовой и управленческой стороне отношений с поставщиком. О техническом реагировании в момент инцидента можно прочитать в нашей статье о кибернарушениях и реагировании на инциденты.
Правовые рамки: как закон распределяет ответственность?
Закон № 6698 о защите персональных данных (Kişisel Verilerin Korunması Kanunu) определяет две роли. Контролёр данных (veri sorumlusu) — сторона, определяющая цели и средства обработки; обработчик данных (veri işleyen) — физическое или юридическое лицо, которое на основании полномочий, предоставленных контролёром, обрабатывает данные от его имени. Согласно руководству KVKK от июня 2025 года, поставщик облачных услуг, который по условиям договора не вправе использовать данные в собственных целях, имеет статус обработчика данных. Компании, предоставляющие инфраструктуру электронной коммерции, хостинг или программные услуги, в большинстве сценариев также занимают такую позицию; точная квалификация, однако, должна определяться исходя из содержания отношений.
Определяющее значение в этих отношениях имеет статья 12 Закона «Обязанности, связанные с безопасностью данных»:
- Обязанность принимать меры (часть 1): Контролёр данных обязан принимать необходимые технические и административные меры для предотвращения незаконной обработки данных и доступа к ним, а также для обеспечения сохранности данных.
- Совместная ответственность (часть 2): Если данные обрабатываются другим лицом от имени контролёра данных, то за принятие этих мер контролёр данных несёт совместную ответственность с этим лицом. Поэтому KVKK подчёркивает, что обязанность принимать меры лежит и на обработчиках данных.
- Аудит (часть 3): Контролёр данных обязан проводить необходимые проверки для обеспечения применения закона либо поручать их проведение.
- Уведомление (часть 5): Если данные получены другими лицами незаконным путём, контролёр данных в кратчайший срок сообщает об этом соответствующему субъекту данных и уведомляет Kurul (Совет по защите персональных данных, далее — Совет); при необходимости Совет может публично объявить об этом.
Иными словами, даже если инцидент произошёл в системе поставщика, обязанность уведомления по тексту закона возлагается на контролёра данных. Кроме того, статья 18 Закона предусматривает административный штраф для тех, кто не выполняет обязанности по обеспечению безопасности данных, предусмотренные статьёй 12.
Правило 72 часов и роль поставщика
Своим решением № 2019/10 от 24 января 2019 года Совет истолковал выражение «в кратчайший срок». Согласно этому толкованию, контролёр данных должен уведомить Совет о нарушении без промедления и не позднее чем в течение 72 часов с момента, когда он о нём узнал. Наиболее заметные с точки зрения отношений с поставщиком положения решения таковы:
- Если данные попали в чужие руки на стороне обработчика данных, обработчик должен сообщить об этом контролёру данных без промедления.
- После того как затронутые лица определены, их также следует уведомить в кратчайший разумный срок, по возможности напрямую.
- Если 72 часа превышены по уважительной причине, необходимо объяснить причины задержки; если сведения, предусмотренные формой, невозможно предоставить одновременно, их можно передавать поэтапно.
- Сведения о нарушении, его последствиях и принятых мерах необходимо документировать; следует подготовить регулярно пересматриваемый план реагирования на нарушения безопасности данных.
Критическая точка на практике такова: 72-часовой срок отсчитывается с момента, когда о нарушении стало известно контролёру данных. Поскольку, согласно сентябрьским объявлениям, о нарушениях стало известно из уведомлений обработчика данных, от того, как быстро и насколько подробно поставщик сообщает о случившемся, напрямую зависит, сумеет ли компания вовремя выполнить собственную обязанность.
Есть обновление и в части публикации объявлений. Согласно объявлению KVKK от 20 января 2026 года, Совет решением № 2025/2451 ограничил срок размещения объявлений о нарушениях 60 днями; если документально подтверждено, что субъектов данных уведомили раньше, объявление может быть снято досрочно. Это делает быстрое и документально подтверждённое уведомление затронутых лиц важным и с точки зрения репутации.
Практические шаги: контрольный список для договора и для момента инцидента
Приведённые ниже пункты — общая схема, выведенная из перечисленных выше источников; её следует адаптировать вместе с юридической службой с учётом структуры договоров и отрасли каждой компании.
На этапе заключения договора
- Закрепите роль письменно. Определите, какие данные, с какой целью и по чьим указаниям обрабатывает поставщик. В руководстве KVKK указано, что контролёр данных может с помощью договора об обработке данных передать обработчику полномочия принимать решения по таким вопросам, как детали мер безопасности; границы этих полномочий должны быть чётко прописаны в договоре.
- Заложите срок уведомления в пределах 72 часов. Пропишите, в какой срок, по какому каналу и с какой минимальной информацией (категории затронутых данных, ориентировочное число лиц, начало инцидента) поставщик будет сообщать вам о подозрительном событии.
- Определите меры и аудит. Ввиду совместной ответственности задокументируйте технические и административные меры, принимаемые поставщиком; включите в договор своё право на аудит, запрос отчётов и получение информации.
- Охватите субподрядчиков. Выясните, поручает ли поставщик обработку данных другой компании и как в этом случае будут переданы те же обязательства.
- Предусмотрите обязанность вести записи и сотрудничать. Сохранение записей после инцидента, содействие в подготовке информации для Совета и координация коммуникаций должны быть отражены в договоре.
В момент инцидента
- Зафиксируйте время. Задокументируйте момент, когда от поставщика поступило первое уведомление: отсчёт 72 часов будет опираться на эту запись.
- Запустите план реагирования. Ответственные, определённые в плане, предусмотренном решением Совета (юридическая служба, ИТ, коммуникации), должны собраться немедленно.
- Собирайте информацию поэтапно. Начинайте готовить уведомление, не дожидаясь всех деталей; недостающие сведения можно дополнить позже.
- Определите затронутых лиц и проинформируйте их. Если возможна прямая связь, отдавайте предпочтение ей; задокументируйте факт уведомления.
- Проведите оценку по итогам. Когда инцидент закрыт, пересмотрите договор, критерии выбора поставщиков и план реагирования.
Заключение
Сентябрьские объявления 2026 года наглядно показывают, что нарушение может начаться не только в собственных системах компании, но и у поставщика, чьими услугами она пользуется. Статья 12 Закона № 6698 в такой ситуации распределяет ответственность, но обязанность уведомлять Совет и субъектов данных оставляет за контролёром данных. Поэтому отношения с поставщиком — это не документ, который подписывают на этапе закупки и забывают, а область риска, которой нужно управлять вместе со сроком уведомления, правом на аудит и планом реагирования.
С точки зрения Orient Global, спокойный и выполнимый первый шаг — провести инвентаризацию поставщиков, обрабатывающих персональные данные, и проверить для каждого из них срок уведомления и канал связи.
Эта статья носит общеинформационный характер и не заменяет юридическую консультацию.
#interimmanagement #forwarddeployedengineering