Юрлица, допустившие утечку персональных данных, заплатят штраф до 15 млн рублей

Госдума единогласно приняла во 2-м и 3-м окончательном чтениях пакет законопроектов, ужесточающий административную и вводящий уголовную ответственность за утечку персональных данных.

Согласно новым законопроектам, в несколько раз усиливается административная ответственность за действия/бездействие оператора, которые привели к утечке персональных данных. Размер наказания будет напрямую зависеть от объема утечки:

• от 3 до 5 млн рублей для юрлиц за утечку данных от 1 тыс. до 10 тыс. субъектов данных,
• от 5 до 10 млн рублей за утечку данных от 10 тыс. до 100 тыс. субъектов,
• от 10 до 15 млн рублей за утечку данных более 100 тыс. субъектов.

Если компания допустила повторную утечку, она заплатит оборотный штраф: от 1 до 3% от ее прошлогоднего оборота.

Самые жесткие санкции вводятся за утечки биометрических персональных данных. При повторном нарушении оборотный штраф составит до 25 млн до 500 млн рублей.

Ответственность за правонарушение может быть смягчена при соблюдении трех требований:

• компания ежегодно инвестирует в информационную безопасность – не менее 0,1% от оборота/выручки в течение 3 лет;
• отсутствуют отягчающие обстоятельств, таких как привлечение к административной ответственности;
• соблюдение требований к защите персональных данных документально подтверждается.

Также, согласно новым законопроектам, компания будет нести административную ответственность за отказ в предоставлении услуги, если гражданин не хочет предоставлять свою биометрию. Наказание ждет и за невыполнение мер по обеспечению безопасности биометрических персональных данных в Единой биометрической системе (ЕБС).

В Уголовном Кодексе появится новая статья 272.1. Она будет предусматривать ответственность за незаконное хранение/сбор/передачу персональных данных, полученных незаконным путем.

В зависимости от тяжести преступления наказание может составить до 10 лет лишения свободы.

Также к уголовной ответственности будут привлекать за создание/функционирование интернет-ресурсов, которые предназначены для заведомо незаконного хранения/передачи персональных данных.

Действие новых составов УК РФ не коснется обработки персональных данных для личных и семейных нужд граждан, а также специалистов информационной безопасности, которые расследуют утечки, если они действуют в рамках закона.

Депутат Госдумы Александр Хинштейн считает, что принятие новых законов – это огромный шаг на пути наведения порядка в цифровой среде.

Глубоко убежден, что без появления серьезной ответственности – понудить бизнес вкладываться в инфобез и защищать персональные данные россиян мы не сможем. А без этого киберпреступность нам просто никогда не одолеть!

Напомним, что Роскомнадзор зафиксировал 110 случаев утечек данных за девять месяцев 2024 года.