За утечку персональных данных введены оборотные штрафы и уголовная ответственность

Президент России подписал два закона, вносящие изменения в Административный и Уголовный кодекс, которые касаются ужесточения ответственности за утечку персональных данных. Поправки в УК начнут действовать спустя 10 дней после подписания документа, а в КоАП – через 180 дней соответственно.

Новые поправки кратно увеличивают размер штрафов. Так, по действующим нормам для юридических лиц за то, что персональные данные оказались в открытом доступе, предусмотрен максимальный штраф 100 000 рублей, при повторном нарушении – 300 000 рублей. 

По мнению  авторов законодательной инициативы, размер действующих штрафных санкций несоразмерен с последствиями утечки персональных данных. Кроме того, усиление ответственности должно подтолкнуть бизнес к инвестициям в развитие инфраструктуры безопасности и защиту персональных данных.

Основные поправки касаются следующих правонарушений:

– за незаконную обработку персональных данных повышается размер штрафов: для должностных лиц до 200 000 рублей, для юридических – до 500 000 рублей;

– за незаконное распространение от 1 тысячи до 10 тысяч субъектов персональных данных или от 10 тысяч до 100 тысяч идентификаторов предусмотрен штраф – для физлиц в размере от 100 000 до 200 000 рублей, для должностных лиц − от 200 000 до 400 000  рублей, для юридических лиц − от 3 млн до 5 млн рублей;

– если  в открытом доступе оказалось свыше 100 тысяч субъектов ПД или более 1 млн идентификаторов суммы штрафных санкций вырастут – до 400 000 рублей для физлица, до 600 000 рублей для должностного лица и до 15 млн рублей для юрлица;

– за нарушение порядка обработки биометрических персональных данных юридических лиц ждут штрафы до 2 млн рублей, должностных лиц – до 1 млн рублей;

Впервые за повторное нарушение для юридических лиц вводятся оборотные штрафы. Их размер составит от 1% до 3% годовой выручки, минимальный размер штрафа при этом не может быть меньше 20 млн рублей, максимальный – 500 млн рублей.    

В Уголовном кодексе введена новая статья за кражу и незаконное использование персональных данных. Виновному лицу грозит ответственность  вплоть до 10 лет лишения свободы. Например, если произошла трансграничная утечка персональных данных, то срок лишения свободы может достигать 8 лет, а если преступление повлекло тяжкие последствия – 10 лет.

Размер штрафов может быть снижен при соблюдении юридическими лицами следующих условий:

1. Объем инвестиций в информационную безопасность должен быть не ниже 0,1% от оборота в течение трех лет;
2. Отсутствие административных правонарушений, связанных с соблюдением требований информационной безопасности;
3. Документальное подтверждение соблюдения требований к защите персональных данных.

О том, как компании выстроить эффективную работу с ПД Клуб ОЦО уже рассматривал в отдельном материале, а также на вебинаре.