Усиление административной ответственности за утечки персональных данных - ГД приняла закон

При этом штрафы для должностных лиц смягчили относительно того, что было предусмотрено законопроектом изначально, но все равно мало не покажется. Для юрлиц и ИП (которые в этом аспекте приравниваются к юрлицам) штрафы вводятся, в том числе, оборотные.

Госдума приняла в третьем чтении законопроект, которым усиливается административная (502104-8) ответственность за незаконное распространение персональных данных.

Как сейчас

В настоящее время в КоАП имеется статья 13.11, посвящённая нарушениям законодательства в области персональных данных. Их обработка в случаях, не предусмотренных законодательством, либо обработка, несовместимая с целями сбора таких данных, организациям сейчас обходится в суммы от 60 до 100 тысяч рублей, должностным лицам – от 10 до 20 тысяч. В случае повторного совершения таких нарушений грозят штрафы в среднем в два-три раза выше. В законопроекте данные штрафы предложено повысить в 2,5 – 3 – 5 раз.

Штрафы по этой норме сейчас применяются в том числе и в случае утечек персональных данных, указали авторы законопроекта при его внесении в Госдуму. Они считают, что такие штрафы несоразмерны с возможными последствиями от произошедших утечек. Злоумышленники могут использовать эти сведения для спам-звонков, шантажа, мошенничества и других более тяжких преступлений. Так что утечки надо вывести в отдельные составы. Это простимулирует операторов персональных данных инвестировать в развитие инфраструктуры информационной безопасности и в защиту сведений.

"Золотые" утечки

В этой связи указанную статью КоАП предлагается дополнить новыми пунктами. Это, в частности, будут наказания за действия или бездействие оператора, повлекшие утечку персональных данных. При этом штрафы будут варьироваться в зависимости от объёма утекшей информации. За сведения об 1-10 тысячах граждан, или за утечку 10-100 тысяч идентификаторов предложено штрафовать должностных лиц на суммы от 200 до 400 тысяч рублей (согласно первоначальной версии законопроекта хотели за это назначить штрафы 800 тысяч – 1 млн, но, как видим, в итоге смягчили), юрлиц – от 3 до 5 млн рублей (здесь относительно первоначальной версии ничего не поменяли).

Если утекли сведения 10-100 тысяч граждан либо от 100 тысяч до 1 млн идентификаторов, то штраф составит для организаций от 5 до 10 млн рублей, для должностных лиц – от 300 до 500 тысяч (а сначала хотели сделать – 1-1,5 млн). Если распространены сведения о более чем 100 тысячах граждан или более 1 млн идентификаторов, то для организаций уготован штраф от 10 до 15 млн рублей, должностным лицам – 400-600 тысяч.

При повторных нарушениях штрафы для бизнеса становятся оборотными, то есть, зависящими от выручки соответствующего субъекта – организации рискуют потерять от 1% до 3% полной годовой выручки от реализации за предшествующий год. Если за предыдущий год выручки не было, то в расчёт может быть взята выручка за текущий год до момента выявления правонарушения. Для банков такой же процент будет барться от размера собственных средств (капитала) на дату совершения правонарушения. При этом такие штрафы могут быть не менее 20 млн рублей и не более 500 млн рублей.

ИП – как юрлица и другое

Также штраф от 10 до 15 млн рублей установят за утечку информации, включающей специальную категорию персональных данных, а за биометрические данные – 15-20 млн. За повторное такое нарушение вводится оборотный штраф – такой же, как указан выше (но с нижним пределом в 25 млн).

Кроме того, если в случае утечки обнаружится, что оператор в своё время не уведомил Роскомнадзор об обработке персональных данных, то будет грозить еще дополнительно штраф. Потолок – до 3 млн рублей для юрлиц.

За все упомянутые нарушения ИП будут нести ответственность такую же, как юрлица. Также в примечаниях указано, что к юрлицам-операторам в целях этих штрафов не относятся госорганы, государственные или муниципальные учреждения, а также НКО. Для госструктур существуют свои штрафы, в том числе, за нарушения в сфере обращения биометрических данных. Кстати, статья об этом существенно корректируется принятым законопроектом.

Также принят в третьем чтении закон об уголовной ответственности за утечки (подробнее).