С 30 мая 2025 года начинают действовать федеральные законы - от 30 ноября 2024 г. № 421-ФЗ "О внесении изменений в Уголовный кодекс Российской Федерации" и от 30 ноября 2024 г. № 420-ФЗ "О внесении изменений в Кодекс Российской Федерации об административных правонарушениях", об ужесточении ответственности за утечку персональных данных.
В ст. 13.11 КоАП РФ добавили новые составы правонарушений.
Размер штрафа за утечку баз данных с персональной информацией будет зависеть от объема утерянных данных.
Если утечка затрагивает от 1 000 до 10 тыс. субъектов персональных данных, и/или включает от 10 тыс. до 100 тыс. уникальных идентификаторов пользователей (идентификаторы – это сведения, которые позволяют однозначно определить гражданина), то размер штрафа составит:
-для граждан – от 100 тыс. до 200 тыс. руб.;
-для должностных лиц – от 200 тыс. до 400 тыс. руб.;
-для компаний – от 3 млн до 5 млн руб.
При утечке данных 10 тыс. – 100 тыс. субъектов или 100 тыс. – 1 млн идентификаторов суд может назначить штраф:
- гражданам от 200 тыс. до 300 тыс. руб;
- должностным лицам от 300 тыс. до 500 тыс. руб.;
- компаниям – от 5 млн до 10 млн руб.
В случае, когда речь идет об утечке данных более 100 тыс. граждан и/или более 1 млн идентификаторов, – санкции возрастают:
-гражданам грозит штраф в размере от 300 тыс. до 400 тыс. руб;
- должностным лицам – от 400 тыс. до 600 тыс. руб.;
- компаниям – от 10 млн до 15 млн. руб.
Операторы, неоднократно допускающие утечки больших объемов персональных данных, столкнутся с самыми суровыми санкциями – оборотными штрафами. Они будут привязаны к проценту от совокупной годовой выручки компании за предыдущий год.
В Уголовный кодекс вводится новая статья 272.1, в которой предусмотрена уголовная ответственность за следующие деяния:
- использование и/или передача (распространение, предоставление, предоставление доступа) персональных данных;
- сбор и/или хранение компьютерной информации, содержащей персональные данные, полученной незаконно;
- создание и/или функционирование информационных ресурсов, предназначенных для незаконного хранения и/или распространения персональных данных.
Уголовные наказания последуют за преступления, совершенные организованной группой.
За это возможно получить лишение свободы до 10 лет со штрафами до 3 млн руб.
При этом использование персональных данных в личных или семейных целях при соблюдении закона не будет подпадать под уголовное преследование.
С учетом характера данных преступлений и их влияния на общество, все составы, предусмотренные новой статьей УК РФ, отнесены к категории преступлений средней тяжести и выше.
Кроме того, к уголовной ответственности будут привлекаться граждане, которые:
- нелегально передают базы данных иностранным организациям или государственным структурам;
- вывозят незаконно полученные данные за пределы РФ на любых электронных носителях (флеш-накопителях, жестких дисках и других устройствах).
Для справки
Персональные данные - это любая информация, относящаяся к определённому или определяемому на основании такой информации физическому лицу (субъекту персональных данных). К ним относятся фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы, биометрические данные и другая информация.
Оператор персональных данных - это тот, кто собирает персональные данные, хранит их у себя на серверах, анализирует, изменяет и передаёт.