С 30 мая 2025 года работать с персональными данными стало сложнее:
- выросли административные штрафы за неаккуратную работу с ними,
- введен штраф за нарушение обработки данных,
- появился штраф за нарушение правил уведомления Роскомнадзора.
Размеры штрафов с 30 мая 2025 г. (ч. 1, 1.1 ст. 13.11 КоАП РФ):
- за обработку персональных данных, когда это не предусмотрено законом, или несовместимо с целями их сбора:
- для должностных лиц и ИП – до 50 000 – 100 000 руб.;
- для малых компаний – до 75 000 – 150 000 руб. (ч. 2 ст. 4.1.2 КоАП РФ);
- для остальных организаций – до 150 000 – 300 000 руб.;
- за повторное совершение этих же нарушений:
- для должностных лиц – до 100 000 – 200 000 руб.;
- для организаций и ИП – от 300 000 до 500 000 руб. (п. 1 примечания к ст. 13.11 КоАП РФ);
- за неподачу уведомления о намерении обрабатывать персональные данные работников:
- для компании и ИП – 100 000 – 300 000 руб. (ч. 10 ст. 13.11 КоАП РФ);
- за несообщение об утечке персональных данных:
- для компаний и ИП – от 1 млн. до 3 млн. руб. (ч. 11 ст. 13.11 КоАП РФ);
Новые штрафы предусмотрены только для юрлиц и ИП (пп. 1, 2 примечания к ст. 13.11 КоАП РФ):
- при неправомерной передаче персональных данных от 1 000 до 100 000 человек: от 3 млн. до 5 млн. руб.;
- при утечке персональных данных более 100 000 человек: от 10 млн. до 15 млн. руб.;
- при неправомерной передаче специальных категорий персональных данных (ч. 1 ст. 10 Закона № 152-ФЗ) - от 10 млн. до 15 млн. руб.;
- при утечке биометрических данных – от 15 млн. до 20 млн. руб.;
- штраф за повторную утечку специальных категорий персональных данных/биометрических данных – 1-3% от совокупного размера суммы выручки, полученной от реализации всех товаров (работ, услуг нарушителя):
- или за календарный год, предшествующий году, в котором было выявлено нарушение;
- или, если работодатель не вёл деятельность в предшествующем календарном году - за предшествующую дате выявления нарушения часть календарного года, в котором выявили нарушение.
Штрафы за повторную утечку спецкатегорий персональных данных не могут быть менее 20 млн. руб., а за утечку биометрии - менее 25 млн. руб. при этом они же не могут превышать 500 млн. руб.
Ответственность по нарушениям, за которые положены новые штрафы, несут компании и ИП, а для должностных лиц коммерческих предприятий она не предусмотрена.
Срок привлечения к административной ответственности за нарушения при работе с персональными данными – 1 год со дня совершения нарушения – ч. 1 ст. 4.5 КоАП РФ.
Штраф за утечку персональных данных может быть снижен при соблюдении трёх условий одновременно. Подробный разбор будет в следующих материалах.