Закон об утечке персданных принят

26 ноября 2024 года депутаты Госдумы приняли в третьем чтении и 27 ноября 2024 года Совет Федерации одобрил поправки в Кодекс об административных правонарушениях и Уголовный кодекс об усилении ответственности за утечку персональных данных.

Поправки вносят в статью об административных правонарушениях за нарушение требований о сборе персональных данных (13.11 КоАП).

Закон вступит в силу с 1 марта 2025 года.

«В соответствии с законом, согласие на обработку персональных данных должно будет оформляться отдельно от других документов, в том числе клиентских договоров. Кроме того, предлагается запретить продавцу или владельцу агрегатора ограничивать доступ потребителя к информации в связи с отказом предоставить персональные данные за исключением случаев, когда такая обязанность предусмотрена законом», — сообщила пресс-служба Думы.

За незаконное распространение от 1 тысячи до 10 тысяч субъектов персональных данных или от 10 тысяч до 100 тысяч их идентификаторов устанавливаются штрафы:

для граждан в размере от 100 тысяч до 200 тысяч рублей;
для должностных лиц − от 200 тысяч до 400 тысяч рублей;
для юридических лиц − от 3 миллионов до 5 миллионов рублей.

За массовую утечку данных (более 100 тысяч субъектов персданных или более 1 миллиона идентификаторов) штрафы вырастают:

до 400 тысяч для граждан,
до 600 тысяч для должностных лиц,
до 15 миллионов рублей для юридических лиц.

В случае повторных нарушений, штрафы составят:

до 600 тысяч рублей для граждан,
до 1,2 миллиона для должностных лиц,
для юридических лиц − от 1 до 3% совокупного размера суммы выручки компании за календарный год.

Предусмотрено снижение наказания для компаний, ежегодные расходы на обеспечение информационной безопасности которых составляют не менее 1% годовой выручки, для них максимальный штраф составит 50 миллионов рублей.

Принятым законом также увеличиваются штрафы за незаконную обработку данных:

в случае повторного нарушения предлагается установить штрафы

для граждан до 30 тысяч рублей,
для должностных лиц до 200 тысяч,
для юрлиц до 500 тысяч рублей.

Также вводятся штрафы до 2 миллионов рублей за обработку биометрических персональных данных в информационных системах госорганов без аккредитации.

За действия оператора, повлекшие передачу биометрических персональных данных, устанавливается штраф на сумму до 20 миллионов рублей.

Непринятие мер по обеспечению безопасности биометрических персональных данных при их обработке будет наказываться штрафом до 1,5 миллионов рублей.

Уголовная ответственность вводится за создание сайта или страницы на нем, заведомо предназначенных для незаконных хранения, передачи (распространения, предоставления, доступа) информации, содержащей персональные данные, полученной незаконным путем.

За это грозит лишение свободы до пяти лет.

Незаконные использование, передача, сбор и хранение персональных данных, полученных путем неправомерного доступа к средствам их обработки, хранения или иного вмешательства в их функционирование, грозят заключением до четырех лет.

В случае если действия повлекли тяжкие последствия либо совершены организованной группой, то вводится наказание в виде заключения сроком на срок до десяти лет.

Проблема обработки персональных данных касается всех субъектов ФЗ-115, так как сама процедура идентификации предполагает их сбор, обработку и хранение.

Рекомендуем обратить внимание на закон и подготовится к моменту его вступления в силу.

Ждем подписи президента для окончательной фиксации решений в области персональных данных.

Большая дискуссия по соответствующим вопросам прошла на специальной панельной дискуссии SDL Conf`24. Участники высказали итоговое мнение об ожидании увеличения инвестиций в соответствующий сегмент безопасности организаций и/или готовности расплачиваться организациям, неготовым инвестировать в этот блок. Если грубо — платить придется всем.

Текст закона:

Текст 3ье чтение