20.09.2024

Инициативу о смягчении штрафов за утечки персональных данных готовят ко второму чтению в Госдуме. Прорабатывается вопрос об установлении возможности снижения размера административной ответственности за допущенные оператором утечки персональных данных в случае одновременного выполнения оператором ряда условий. Об этом сообщил сенатор Артем Шейкин. Для смягчения наказания оператор должен ежегодно выделять суммы на мероприятия по обеспечению информационной безопасности, расходы должны быть не ниже определенного размера. Еще ему следует выплатить компенсацию пострадавшим от утечки гражданам и подтвердить соблюдение требований о защите персональных данных при их обработке в соответствующих информационных системах. При этом для уменьшения наказания не должно быть обстоятельств, отягчающих административную ответственность. Пакет законопроектов об усилении административной и уголовной ответственности за утечки и незаконное использование персональных данных был внесен в Госдуму в декабре 2023 года группой депутатов и сенаторов во главе с Андреем Турчаком (в период исполнения им полномочий сенатора и секретаря генсовета "Единой России"). В первом чтении Госдума приняла законопроекты 23 января. Проект поправок к Кодексу РФ об административных правонарушениях увеличивает штрафы за нарушение отдельных требований законодательства в области персональных данных – предполагается, что максимальный штраф составит до 3 % от выручки компании. «Учитывая изложенное, по мнению Минцифры России, принятие законопроекта (с учетом подготавливаемых поправок к нему) будет способствовать достижению целей, обозначенных в решениях», – говорится в письме, подписанном министром цифрового развития, связи и массовых коммуникаций Максутом Шадаевым. 

Персональные данные – это любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных). Распространение персональных данных – действия, направленные на раскрытие персональных данных неопределенному кругу лиц (п. п. 1, 5 ст. 3 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных" (далее – Закон N 152-ФЗ)). Лица, виновные в нарушении требований Закона N 152-ФЗ, несут предусмотренную законодательством РФ ответственность (ч. 1 ст. 24 Закона N 152-ФЗ, ст. 90 ТК РФ). Так, обработка (в частности, распространение, предоставление) персональных данных без согласия в письменной форме субъекта персональных данных на обработку его персональных данных в случаях, когда такое согласие должно быть получено в соответствии с законодательством РФ в области персональных данных, за исключением случаев, предусмотренных ст. 17.13 КоАП РФ, если эти действия не содержат уголовно наказуемого деяния, либо обработка персональных данных с нарушением установленных законодательством РФ в области персональных данных требований к составу сведений, включаемых в согласие в письменной форме субъекта персональных данных на обработку его персональных данных, влечет наложение административного штрафа на должностных лиц в размере от 100 000 до 300 000 руб.; на малые предприятия, в том числе микропредприятия, – от 150 000 до 350 000 руб.; на иных юридических лиц – от 300 000 до 700 000 руб. (ч. 2, 3 ст. 4.1.2, ч. 2 ст. 13.11 КоАП РФ, п. 3 ст. 3, ст. 9 Закона N 152-ФЗ). Повторное совершение указанного выше административного правонарушения влечет наложение административного штрафа на должностных лиц в размере от 300 000 до 500 000 руб.; на индивидуальных предпринимателей, малые предприятия, в том числе микропредприятия, – от 500 000 до 1 000 000 руб.; на иных юридических лиц – от 1 000 000 до 1 500 000 руб. (ч. 1 ст. 4.1.2, ч. 2.1 ст. 13.11 КоАП РФ). Обработка персональных данных в случаях, не предусмотренных законодательством РФ в области персональных данных, либо обработка персональных данных, несовместимая с целями сбора персональных данных, за исключением случаев, предусмотренных ч. 2 ст. 13.11 и ст. 17.13 КоАП РФ, если эти действия не содержат уголовно наказуемого деяния, влечет наложение административного штрафа на должностных лиц в размере от 10 000 до 20 000 руб.; на малые предприятия, в том числе микропредприятия, – от 30 000 до 50 000 руб., на иных юридических лиц – от 60 000 до 100 000 руб. (ч. 2 ст. 4.1.2, ч. 1 ст. 13.11 КоАП РФ). Повторное совершение указанного административного правонарушения влечет наложение административного штрафа на должностных лиц в размере от 20 000 до 50 000 руб., на индивидуальных предпринимателей, малые предприятия, в том числе микропредприятия, – от 50 000 до 100 000 руб.; на юридических лиц – от 100 000 до 300 000 руб. (ч. 1 ст. 4.1.2, ч. 1.1 ст. 13.11 КоАП РФ). Разглашение персональных данных (за исключением случаев, если это влечет уголовную ответственность) лицом, получившим к ним доступ в связи с исполнением служебных или профессиональных обязанностей, влечет наложение административного штрафа на должностных лиц в размере от 40 000 до 50 000 руб. или дисквалификацию на срок до 3 лет; на малые предприятия, в том числе микропредприятия, – от 50 000 до 100 000 руб.; на иных юридических лиц – от 100 000 до 200 000 руб. (ч. 2 ст. 4.1.2, ст. 13.14 КоАП РФ). За разглашение персональных данных предусмотрена гражданско-правовая ответственность в виде обязанности возместить убытки, а также компенсировать моральный вред (ст. ст. 15, 151, 1082, 1099 – 1101 ГК РФ, ч. 2 ст. 24 Закона N 152-ФЗ). При этом если вред причинен работником юридического лица при исполнении трудовых (служебных, должностных) обязанностей, то, по нашему мнению, применяются положения ст. 1068 ГК РФ. За разглашение персональных данных работники организации могут быть привлечены к дисциплинарной ответственности в том числе в виде увольнения (пп. "в" п. 6 ч. 1 ст. 81, ст. ст. 90, 192 ТК РФ). За ущерб, причиненный работодателю в результате разглашения сведений, относящихся к персональным данным, предусмотрена материальная ответственность работника в полном размере (ст. ст. 90, 238, п. 7 ч. 1 ст. 243 ТК РФ). Незаконное распространение сведений о частной жизни лица, составляющих его личную или семейную тайну, без его согласия либо распространение этих сведений в публичном выступлении, публично демонстрирующемся произведении или СМИ влечет привлечение к уголовной ответственности по ст. 137 УК РФ.