Бизнес испугался законопроекта об уголовной ответственности за утечки персональных данных

Представители Ассоциации больших данных предлагают сажать только тех, кто продает сведения или выкладывает их в открытый доступ. Тех же, кто инициирует использование этой информации для незаконных спам-звонков, от уголовной ответственности, видимо, хотят освободить.

СМИ сообщают, что комитет Госдумы по госстроительству и законодательству одобрил к принятию в первом чтении два законопроекта, которыми вводится административная (502104-8) и уголовная (502113-8) ответственность за незаконное распространение персональных данных. Заключений комитета пока не опубликовано (напомним, что из таких заключений обычно следует, какие поправки комитетчики хотели бы внести в проект в целях его дальнейшего принятия).

Оборотные и просто высокие штрафы

В настоящее время в КоАП уже имеется статья 13.11, посвящённая нарушениям законодательства в области персональных данных. Штрафы по этой статье за их обработку в случаях, не предусмотренных законодательством, законопроектом предлагается повысить в 2,5 – 3 – 5 раз. Также предлагается ввести новые наказания за действия или бездействие оператора, повлекшие утечку персональных данных. При этом штрафы смогут варьироваться в зависимости от объёма утекшей информации. "Потолок" штрафа для организаций предложен в размерах от 10 до 15 млн рублей. При повторных нарушениях штрафы для бизнеса согласно законопроекту становятся оборотными – могут составить от 0,1% до 3% годовой выручки (подробнее о предлагаемых поправках в КоАП).

Кому грозит "присесть"

Второй законопроект предполагает дополнение УК новой статьей 272.1, в состав которой войдут:

• незаконные использование, передача, сбор, хранение компьютерной информации, содержащей персональные данные;
• создание, обеспечение функционирования информационных ресурсов, предназначенных для незаконного хранения, распространения такой информации.

Базовое наказание – штраф до 300 тысяч рублей, либо принудительные работы до четырех лет, либо лишение свободы на тот же срок. То же самое, но совершенное в отношении специальных категорий персональных данных, а также биометрических персданных, будет караться штрафом до 700 тысяч рублей или в размере дохода осужденного за период до одного года с дисквалификацией до двух лет или без такового, либо принудительными работами на срок до 5 лет, либо лишением свободы на тот же срок.

Если при всем вышесказанном имеет место:

• корыстная заинтересованность;
• крупный ущерб;
• предварительный сговор;
• использование служебного положения,

то штраф по УК сможет достигать 1 миллиона рублей, а лишение свободы – до шести лет (плюс промежуточные варианты наказаний типа изъятия дохода и дисквалификации).

Создание и/или поддержка сайтов, информсистем, ПО, заведомо предназначенных для незаконного хранения, передачи персданных, может в случае принятия законопроекта грозить штрафом до 700 тысяч рублей или отсидкой до 5 лет (плюс промежуточные варианты наказаний).

Более существенные сроки грозят:

• при трансграничном перемещении персданных или носителей с ними – лишение свободы до 8 лет (плюс штрафы, диквалификация);
• в случае тяжких последствий (полный список которых приведен в примечаниях к статье и включает, например, распространение неограниченному кругу лиц с целью причинения вреда жизни, здоровью, имуществу), либо в случае совершения вышеназванных преступлений организованной группой. В этих случаях срок отсидки возрастает до 10 лет (плюс штрафы, диквалификация).

Также предложено оговорить, что все это не распространяется на случаи обработки персданных физлицами исключительно для личных и семейных нужд.

Бизнес не в восторге

Насчет законопроекта с поправками в УК возмутились представители бизнеса, входящие в Ассоциацию больших данных (АБД). Ее членами являются «Яндекс», VK, Сбербанк, Газпромбанк, Тинькофф Банк, Россельхозбанк, «Мегафон», «Ростелеком», Qiwi, Билайн, МТС, фонд «Сколково», Аналитический центр при правительстве РФ, ВТБ, Avito, Центр стратегических разработок.

Ассоциация направила в профильный думский комитет письмо, где обратила внимание на нюансы законопроекта, позволяющие "прикрутить" уголовную ответственность даже там, где повода для этого АБД не видит, сообщает Форбс. Например, формулировка "незаконные" сбор, хранение и так далее, по мнению АБД, довольно абстрактна и охватывает случаи использования информации любыми лицами, не убедившимися в наличии всех правовых оснований для ее использования (а не только непосредственно взломщиками базы и теми, кто ее "слил"). Применить такую ответственность можно, по мнению ассоциации, вне зависимости от наличия умысла на распространение персданных. Поэтому авторы письма предлагают ввести в состав слово "заведомо": караться будут только заведомо незаконные использование, передача, сбор, хранение.

То есть, в АБД предлагают сажать только тех, кто продает сведения или выкладывает их в открытый доступ. Тех же, кто инициирует использование этой информации для незаконных спам-звонков, от уголовной ответственности, видимо, хотят освободить. Следует ли это делать – вопрос весьма спорный, между прочим.

Также в АБД предлагают оговорить отсутствие наказаний для тех, кто в силу своих должностных обязанностей работает с утечками сведений, анализируя их, например, специалистов служб информационной безопасности.

Что говорят "верхи"

Правительство РФ высказывало замечания к законопроекту еще до его внесения в Госдуму, и, судя по тексту проекта, пожелания кабмина уже учтены. В остальном правительство законопроект поддерживает.

ВС в своем отзыве на законопроекты указал, что не указано признаков, разграничивающих административную и уголовную ответственность за упомянутые составы. Так что в случае решения вопроса о наказании в отношении физлиц (должностных лиц) будет в некоторых случаях не очень понятно, следует ли ограничиться административным наказанием, или же надо открыть уголовное дело. И этот довольно важный недочет законопроекта на данный момент не исправлен. Возможно, это будет сделано ко второму чтению.