Государственная Дума ужесточила ответственность за утечку персональных данных.
26 ноября Государственная Дума приняла в третьем чтении поправки к кодексу об административных правонарушениях и уголовному кодексу, которые направлены на усиление мер по защите персональных данных. Эти поправки предусматривают увеличение штрафов за утечку персональных данных, а также введение уголовной ответственности за незаконный сбор таких данных в интернете.
Законы уже одобрены Советом Федерации, и теперь их должен подписать президент. Поправки в КоАП РФ вступят в силу через 180 дней после опубликования документа, а изменения в УК РФ — через десять дней.
Как обстоят дела сейчас.
Если компания допустила утечку персональных данных на бумажном носителе, её могут привлечь к административной ответственности и оштрафовать на сумму до 100 000 рублей. В случае повторной утечки сумма штрафа может составить до 300 000 рублей. Однако за утечку через интернет специальной ответственности ранее не было. Теперь депутаты считают, что это больше не допустимо.
Что изменилось.
Вступили в силу новые штрафы за обработку персональных данных без согласия пользователя или если такая обработка противоречит целям их сбора.
За первое нарушение требований руководителю компании или индивидуальному предпринимателю (ИП) грозит штраф в размере от 50 000 до 100 000 рублей. Малым предприятиям придётся заплатить от 75 000 до 150 000 рублей, а остальным компаниям — от 150 000 до 300 000 рублей.
Повторное нарушение повлечёт за собой более серьёзные санкции: для руководителей — штраф от 100 000 до 200 000 рублей, для малых предприятий — от 150 000 до 250 000 рублей, а для остальных компаний — от 300 000 до 500 000 рублей.
Также была введена ответственность за неуведомление Роскомнадзора о намерении обрабатывать персональные данные. За невыполнение этого требования компаниям и ИП грозит штраф в размере от 100 000 до 300 000 рублей.
Кроме того, теперь компании и ИП обязаны уведомлять Роскомнадзор о неправомерной или случайной передаче персональных данных. Несоблюдение этого требования также может повлечь за собой штраф в размере от 1 до 3 миллионов рублей.
Усилилась ответственность за утечку персональных данных. Она наступает как за действия, так и за бездействие, приведшее к утечке, если ситуация не содержит признаков уголовно наказуемого деяния.
Размер штрафа будет зависеть от масштаба утечки, который будет оцениваться по количеству пострадавших и по идентификаторам.
За повторную утечку персональных данных штрафы ещё выше. Для ИП и компаний, кроме некоммерческих организаций (НКО), они составят от 1 до 3% от выручки, полученной за год, предшествующий году, в котором были выявлены нарушения. При этом штраф не может быть менее 20 миллионов рублей и более 500 миллионов рублей.
Однако штраф может быть снижен, если нет отягчающих обстоятельств, а инвестиции бизнеса в информационную безопасность на протяжении трёх лет составляли не менее 0,1% от выручки. При этом компания или ИП должны соблюдать требования к защите данных.
Существует отдельная ответственность за утечку персональных данных с биометрией. Юрлицам и ИП грозит штраф от 15 до 20 миллионов рублей.
Также появилась уголовная ответственность за незаконное использование и передачу, сбор и хранение компьютерной информации, содержащей персональные данные. Наказание за это преступление — штраф в размере 300 000—400 000 рублей или принудительные работы на срок до четырёх лет, либо лишение свободы на срок до четырёх лет.
Если же речь идёт о компьютерной информации, содержащей персональные данные несовершеннолетних или биометрию, наказание становится строже: штраф до 700 000 рублей или принудительные работы на срок до пяти лет, либо лишение свободы на срок до пяти лет.
Если указанные действия повлекли тяжкие последствия или были совершены организованной группой, наказание может быть ещё более суровым — лишение свободы на срок до десяти лет.
Также введена уголовная ответственность за создание сайта, предназначенного для хранения и распространения персональных данных, полученных незаконным путём. Это касается и отдельных страниц, например, тем на форумах. Максимальное наказание за это правонарушение — лишение свободы на срок до пяти лет. Действие этой статьи не будет распространяться на случаи обработки персональных данных физическими лицами для семейных нужд.