В России ужесточили ответственность за утечку персональных данных

В результате пакет законодательных инициатив внесен в Госдуму РФ. Первый законопроект предусматривает поправки в КоАП, а второй — в УК РФ.

В КОАП РФ предлагается установить «градацию ответственности» в зависимости от объема утечки ПД. Штрафы для юридических лиц могут составить:

• от 3 до 5 млн руб., если утечка касается от 1 тыс. до 10 тыс. субъектов ПД или от 10 тыс. до 100 тыс. идентификаторов;
• от 5 до 10 млн руб. за утечку от 10 тыс. до 100 тыс. субъектов ПД или от 100 тыс. до 1 млн идентификаторов;
•  от 10 до 15 млн руб., если произошла утечка свыше 100 тыс. субъектов ПД или свыше 1 млн идентификаторов.

За утечку информации, включающей специальные категории персональных данных (например, данные о состоянии здоровья) законопроектом вводится штраф от 10 млн до 15 млн руб.

Повторное нарушение грозит уже оборотным штрафом в размере 0,1–3% от выручки за прошлый календарный год (за предшествующую дате выявления нарушения часть текущего года, если в прошлом году выручки не было), но не менее 15 и не более 500 млн руб., а в случае повторного нарушения, связанного с утечкой специальных категорий персональных данных, — не менее 20 и не более 500 млн руб.

Также вводится отдельная ответственность за неуведомление/несвоевременное уведомление Роскомнадзора о намерении осуществлять обработку персональных данных (для юридических лиц — штраф от 100 тыс. до 300 тыс. руб.), неуведомление/несвоевременное уведомление Роскомнадзора о факте утечки ПД (для юридических лиц — штраф от 1 млн до 3 млн руб.).

Смягчающие обстоятельства, на которых при обсуждении инициативы настаивали представители бизнеса, включая инвестиции оператора в информационную безопасность или добровольную компенсацию субъектам ПД причиненного вреда, пока в текст законопроекта не вошли (возможно, они появятся уже во втором чтении, поскольку в своем заключении Правительство РФ обратило внимание на необходимость доработки законопроекта в этой части).

В отношении поправок к УК РФ предлагается предусмотреть отдельную статью, устанавливающую ответственность за незаконное использование и (или) передачу, сбор и (или) хранение компьютерной информации, содержащей ПД, а равно создание и (или) обеспечение функционирования информационных ресурсов, предназначенных для ее незаконного хранения и (или) распространения.

* Более жесткие меры ответственности предусмотрены для случаев совершения преступлений с отягчающими обстоятельствами (группой лиц по предварительному сговору, с причинением крупного ущерба и т. д.)