Законодатель продолжает ужесточать наказания за утечку персональных данных (ПД), что должно стать существенным стимулом для инвестиций операторов ПД в информационную безопасность. Наряду с принятым Государственной Думой 30 ноября 2023 г. во втором чтении законопроектом № 353266-8, ужесточающим наказание за незаконную обработку и утечку биометрических ПД, Дума рассмотрит законопроект № 502104-8 «О внесении изменений в Кодекс Российской Федерации об административных правонарушениях», а также Законопроект № 502113-8 «О внесении изменений в Уголовный кодекс Российской Федерации», предусматривающий существенное усиление уголовной ответственности за преступления, связанные с незаконным оборотом ПД. Оба законопроекта зарегистрированы и направлены в Госдуму 4 декабря 2023 г. и ставят своей целью значительное снижение количества случаев утечек ПД в Российской Федерации.
В случае принятия первого законопроекта обработка персональных данных в случаях, не предусмотренных законодательством, либо обработка персональных данных, несовместимая с целями сбора, повлечет наложение административного штрафа:
А повторное совершение указанного административного правонарушения повлечет наложение административного штрафа:
КоАП также дополнен ответственностью за невыполнение и несвоевременное выполнение оператором обязанности по уведомлению Роскомнадзора о намерении осуществлять обработку ПД или в случае установления факта неправомерной передачи ПД, а также следующими штрафами за утечку данных граждан в зависимости от числа пострадавших.
Таким образом, за действия, повлекшие утечку ПД:
Авторы второго законопроекта предлагают дополнить Уголовный кодекс статьей 272.1 «Незаконные использование и(или) передача, сбор и (или) хранение компьютерной информации, содержащей персональные данные, а равно создание и (или) обеспечение функционирования информационных ресурсов, предназначенных для ее незаконного хранения и (или) распространения». Минимальное наказание за подобное нарушение в виде штрафа будет составлять 300 тыс. руб. (за биометрические ПД – до 700 тыс. руб.), а максимальное – лишение свободы до 10 лет со штрафом в размере до 3 млн. руб. или в размере заработной платы или иного дохода осужденного за период до 4 лет с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до 5 лет.
Отдельно выделяется создание информационных ресурсов (сайта или страницы сайта в «Интернете», информационной системы, программы), заведомо предназначенных для незаконного хранения, передачи (распространения, предоставления, доступа) компьютерной информации, содержащей ПД. Санкция будет предусматривать как минимальное наказание в виде штрафа до 700 тыс. руб., так и максимальное – лишение свободы на срок до 5 лет со штрафом в размере до 700 тыс. руб. или иного дохода осужденного за период до 2 лет с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до 2 лет.
В случае принятия первого законопроекта обработка персональных данных в случаях, не предусмотренных законодательством, либо обработка персональных данных, несовместимая с целями сбора, повлечет наложение административного штрафа:
- на граждан – от 10 до 15 тыс. руб. (на данный момент: от 2 до 6 тыс. руб.),
- на должностных лиц – от 50 до 100 тыс. руб. (на данный момент: от 10 до 20 тыс. руб.),
- на юридических лиц от – 150 до 300 тыс. руб. (на данный момент: от 60 тысяч до 100 тыс. руб.).
А повторное совершение указанного административного правонарушения повлечет наложение административного штрафа:
- на граждан – от 15 до 30 тыс. руб. (на данный момент: от 4 до 12 тыс. руб.),
- на должностных лиц – от 100 до 200 тыс. руб. (на данный момент: от 20 до 50 тыс. руб.),
- на юридических лиц – от 300 до 500 тыс. руб. (на данный момент: от 100 тысяч до 300 тыс. руб.).
КоАП также дополнен ответственностью за невыполнение и несвоевременное выполнение оператором обязанности по уведомлению Роскомнадзора о намерении осуществлять обработку ПД или в случае установления факта неправомерной передачи ПД, а также следующими штрафами за утечку данных граждан в зависимости от числа пострадавших.
Таким образом, за действия, повлекшие утечку ПД:
- от 1000 до 10 000 субъектов и (или) от 1000 до 100 000 уникальных обозначений сведений о физлицах (идентификаторы), необходимых для определения таких лиц, штраф на граждан составит от 100 до 200 тыс. руб., на должностных лиц – от 800 тыс. до 1 млн. руб., на юридических лиц – от 3 до 5 млн. руб..
- от 10 000 до 100 000 субъектов и (или) от 100 000 до 1 млн идентификаторов: штраф на граждан составит от 200 до 300 тыс. руб., на должностных лиц – от 1 до 1.5 млн. руб., на юридических лиц – от 5 до 10 млн. руб.
- более 100 000 субъектов и (или) более 1 млн. идентификаторов: штраф на граждан составит от 300 до 400 тыс. руб., на должностных лиц – от 1.5 до 2 млн. руб., на юридических лиц – от 10 до 15 млн. руб.
Авторы второго законопроекта предлагают дополнить Уголовный кодекс статьей 272.1 «Незаконные использование и(или) передача, сбор и (или) хранение компьютерной информации, содержащей персональные данные, а равно создание и (или) обеспечение функционирования информационных ресурсов, предназначенных для ее незаконного хранения и (или) распространения». Минимальное наказание за подобное нарушение в виде штрафа будет составлять 300 тыс. руб. (за биометрические ПД – до 700 тыс. руб.), а максимальное – лишение свободы до 10 лет со штрафом в размере до 3 млн. руб. или в размере заработной платы или иного дохода осужденного за период до 4 лет с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до 5 лет.
Отдельно выделяется создание информационных ресурсов (сайта или страницы сайта в «Интернете», информационной системы, программы), заведомо предназначенных для незаконного хранения, передачи (распространения, предоставления, доступа) компьютерной информации, содержащей ПД. Санкция будет предусматривать как минимальное наказание в виде штрафа до 700 тыс. руб., так и максимальное – лишение свободы на срок до 5 лет со штрафом в размере до 700 тыс. руб. или иного дохода осужденного за период до 2 лет с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до 2 лет.