Владимир Путин подписал законы, ужесточающие ответственность за утечки персональных данных и их незаконный оборот

 Первый из подписанных законов устанавливает штрафы за утечки данных, размер которых дифференцирован в зависимости от масштаба утечек. Второй закон вводит уголовную ответственность за незаконные использование и передачу ПДн, за это предусмотрены штрафы, принудительные работы на срок до четырех лет, либо лишение свободы на тот же срок.  Комментирует законы Ксения Кузнецова, руководитель группы Аналитического центра Уральского центра систем безопасности (УЦСБ)

          - Какие были предпосылки к ужесточению ответственности за утечки персональных данных и их незаконный оборот?

 - Тема утечек персональных данных ( ПДн) не теряет своей актуальности уже несколько лет. В мире и, в частности, в России регулярно регистрируется рост утечек ПДн, а также количество записей ПДн, оказавшихся в открытом доступе. В связи с этим вопрос ужесточения ответственности за нарушение защиты ПДн неоднократно обсуждался регулирующими органами. Так, в 2020 году Министерство юстиций Российской Федерации предложило значительно увеличить штрафы за утечку ПДн. В 2021 году от Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций прозвучало предложение обязать операторов компенсировать моральный вред жертвам утечек. В апреле 2022 года Министерство цифрового развития, связи и массовых коммуникаций Российской Федерации приступило к разработке законопроекта о ужесточении ответственности за нарушение требований по обработке ПДн. В декабре 2023-го законопроект был официально внесен в Государственную Думу, поэтому новость о его принятии в ноябре 2024 года не стала неожиданностью.

      - Какие изменения внесены и как ужесточилась ответственность?

 - Предусмотренные изменения повлияли на размер штрафа за незаконную обработку ПДн, предусмотренную ч.1 и ч. 1.1 ст. 13.11 Федерального закона «Кодекс Российской Федерации об административных правонарушениях» от 30.12.2001 № 195-ФЗ (далее – КоАП РФ). Максимальный размер штрафа по этой статье для юридических лиц теперь может достигать 500 тыс. руб.

В принятый закон были добавлены новые составы правонарушений и впервые введены в ч. 15 и ч. 18 ст. 13.11 КоАП РФ оборотные штрафы, то есть фиксированный процент от выручки оператора. Такая ответственность наступает, если оператор ранее уже привлекался к ответственности за утечку ПДн. Максимальный размер оборотного штрафа может составлять от 1% до 3%, но менее 25 млн. руб. и не более 500 млн. руб.

Отдельно изменения затронули ст. 13.11.3 КоАП РФ и ввели ответственность за нарушения, связанные с порядком обработки и защиты биометрических ПДн в Единой системе идентификации и аутентификации физических лиц с использованием биометрических ПДн.

Нововведения также коснулись Федерального закона «Уголовный кодекс Российской Федерации» от 13.06.1996 №63-ФЗ (далее – УК РФ). Теперь УК РФ содержит нормы, предусматривающие ответственность за незаконное использование ПДн.

            - Что будет является смягчающими обстоятельствами для операторов ПДн?

 - В новой редакции КоАП РФ для ч. 15 и ч. 18 ст. 13.11 предусмотрены три смягчающих обстоятельства, которые будут приниматься во внимание при определении ответственности за нарушения.

Первое. Оператор за последние 3 года расходует не менее 0,1% годовой суммы выручки на мероприятия по обеспечению информационной безопасности.

Второе. Оператор соблюдает требования к защите ПДн при их обработке в информационных системах ПДн, при этом ежегодно подтверждает их документально зафиксированными результатами, например, Актом оценки эффективности системы защиты ПДн или Аттестатом соответствия требованиям по обеспечению безопасности ПДн.

Третье. Оператор ранее не привлекался к ответственности по ч.1-11 ст.13.11, а также ст. 13.6, 13.12 КоАП РФ.

           - Кого особенно затронет данный закон?

 - Поправки в КоАП затронут всех операторов ПДн без исключения. При этом действие новых составов правонарушений будут распространяться на должностных лиц, юридических лиц и индивидуальных предпринимателей.

           -  Можно ли избежать наказания?

 - Для минимизации рисков утечек данных оператору необходимо:

1. Подать уведомление о намерении осуществлять обработку ПДн, если оно ранее подано не было. Также важно осуществить контроль над соответствием информации, зафиксированной в уведомлении о намерении осуществлять обработку ПДн, в действительности и, по мере необходимости, направить уведомление об изменениях.
2. Подготовить условия для мониторинга инцидентов информационной безопасности и обеспечить реагирование на них или подключиться к корпоративному USSC‑SOC.
3. Ежегодно проводить аудит процессов обработки и обеспечения безопасности ПДн и поддерживать процессы обработки и защиты ПДн в актуальном состоянии.
4. Проводить тестирования на проникновение и анализ уязвимостей инфраструктуры компании.
5. Повышать осведомленность пользователей в вопросах обеспечения безопасности ПДн.

        Советы тем, кто работает с информацией

Требования и меры ответственности – это способ обратить внимание на значимость актуального вопроса. Относитесь бережно к ПДн и научите своих сотрудников и близких, тогда утечек ПДн станет намного меньше.