Минэк предложил снизить планируемые штрафы за утечки персональных данных

Минэкономразвития подготовило поправки ко второму чтению законопроекта об ужесточении ответственности за утечки персональных данных, сообщил «Интерфаксу» источник, знакомый с документом. В ведомстве предложили кратное снижение первоначально заложенных в законопроекте штрафов, а также решили предусмотреть смягчающие вину компаний обстоятельства.

Минэк предложил следующее снижение штрафов:

• если утечка затронет 1-10 тысяч субъектов персональных данных, установить штраф для юрлиц в размере 1,5-2 млн рублей (сейчас в законопроекте — от 3 до 5 млн рублей);
• 10-100 тысяч субъектов — от 2 млн до 3 млн рублей (сейчас в законопроекте — 5-10 млн рублей);
• за утечку персональных данных более 100 тысяч субъектов штраф для юрлиц предлагается установить в размере от 3 млн до 5 млн рублей (сейчас в законопроекте — от 10 до 15 млн рублей).

Оборотные штрафы за повторные утечки предлагается сохранить в прежнем объеме — от 0,1% до 3% от выручки за предшествующий утечке год либо размера капитала организации на дату инцидента. Но максимальный размер штрафа за рецидив предлагается снизить в 10 раз — до 50 млн с 500 млн рублей, а минимальный — до 5 млн рублей с 15 млн рублей.

Кроме того, Минэкономразвития предложило выделить в законопроекте ответственность за утечку биометрических данных и персональных данных специальной категории. Речь идет о данных о расовой, национальной принадлежности, состоянии здоровья, религиозных убеждениях и др.:

• за утечку биометрических персональных данных, затронувшую 0,5-5 тысяч субъектов персональных данных, на юридических лиц предлагается накладывать штраф в размере от 3 млн до 5 млн рублей;
• от 5 тысяч до 50 тысяч субъектов — от 5 млн до 7 млн рублей;
• более 50 тысяч субъектов персональных данных — от 7 млн до 10 млн рублей.

В законопроекте также предлагается предусмотреть смягчающие ответственность компаний обстоятельства. Таким обстоятельством, в частности, предлагается считать расходы оператора персональных данных в течение предшествующего года на мероприятия по обеспечению информационной безопасности, проведенные с привлечением организаций, специализирующихся на кибербезопасности, либо самостоятельно при условии наличия соответствующей лицензии. Размер этих расходов должен составлять минимум 0,1% от выручки компании или капитала банка.

Законопроект об ужесточении ответственности за утечки персональных данных был принят Госдумой в первом чтении в январе 2024 года. Он предусматривает внесение поправок в КоАП. Представители бизнеса и профильных ассоциаций неоднократно заявляли о необходимости снижения размеров штрафов, содержащихся в законопроекте.