Под конец года были опубликованы два законопроекта, вносящие изменения в регулирование персональных данных (ПДн) и ужесточающие ответственность — как уголовную, так и в части оборотных штрафов для организаций. Разбираемся в материале, что именно изменится и как снизить риски для компании.
Оборотные штрафы за утечку персональных данных 2025
Оборотные штрафы за утечку персональных данных (ПДн) увеличены согласно ФЗ № 420 от 30.11.2024. Таким образом, оборотные штрафы за утечку персональных данных составят для компаний до полумиллиарда рублей.
Согласно новому законодательству, до 30 мая 2025 года организациям необходимо провести комплексную проверку документов, устанавливающих порядок взаимодействия с персональными данными (ПДн) внутри компании, направить уведомления о намерении осуществлять обработку персональных данных организацией, а также провести аудит средств защиты информации в компании. Разберем эти шаги детальнее в статье.
Штрафы за утечку ПДн: что конкретно делать бизнесу
Штрафы за утечку ПДн могут достигать в новом году до 3% от доходов организации. Помимо ужесточения штрафов за утечку ПДн, подход законодателя к нарушениям в сфере ПДн в принципе меняется, а также КоАП РФ предусматривает иные штрафы и формы ответственности за нарушения в сфере обработки персональных данных (ПДн).
Например, нововведение в соответствии с ч.10 и 11 КоАП РФ — штрафы за несвоевременное уведомление Роскомнадзора (РКН) как о намерении начать обрабатывать персональные данные (ПДн), так и об утечке ПДн.
С учетом всех нововведений в КоАП, организациям до 30 мая 2025 года необходимо:
- Разработать и утвердить необходимые документы, устанавливающие порядок работы бизнеса с ПДн. Убедиться в том, что все персональные данные собираются и обрабатываются на законных основаниях.
- Подать уведомление о намерении компании начать обрабатывать персональные данные в Роскомнадзор (РКН).
- Разработать четкий алгоритм действий при утечке персональных данных (ПДн) и закрепить его локальным нормативным актом. Распределить обязанности сотрудников при утечке ПДн и определить порядок проведения внутреннего расследования.
- Составить список всех средств защиты информации, проверить наличие у них сертификации и лицензий.
- Собрать пакет документов, которые докажут, что компания принимает все разумные меры для обеспечения информационной безопасности в части защиты ПДн.
Возможный штраф даже в случае утечки ПДн может быть снижен, если компания предпринимала необходимые действия для защиты ПДн. Например, закупала в определенном законодательством объеме продукты и услуги для защиты данных, в частности для защиты ПДн, соблюдала требования по обработке ПДн и не использовала несертифицированные средства.
О конкретных штрафах за нарушение законодательства в части обработки ПДн и о возможностях минимизировать риски даже в случае утечки ПДн — разбираем далее.
Оборотный штраф КоАП РФ составит до 500 млн руб.
Пол миллиарда рублей — это максимальный оборотный штраф КоАП РФ. То есть, при взимании штрафа в размере 3% от доходов организации, в итоге оборотный штраф КоАП РФ не может быть более этой суммы. Другие штрафы за невыполнение законодательства по защите ПДн согласно КоАП варьируются от трехсот тысяч рублей и далее. А согласно УК РФ, с учетом изменений, внесенных ФЗ № 421 от 30.11.2024 — ответственность может быть в виде лишения свободы.
Разберем подробнее штрафы и ответственность, которые грозят организациям и должностным лицам за неисполнение законодательства по защите ПДн:
- за несвоевременное уведомление РКН о намерении начать обработку ПДн — штраф до 300 000 рублей;
- за просрочку уведомления об утечке ПДн и за промедление с уведомлением о результатах внутреннего расследования по утечке ПДн — штраф до 3 миллионов рублей (за каждое уведомление);
- за утечку персональных данных — штраф до 500 миллионов рублей (в зависимости от объема утечки);
- уголовная ответственность за незаконное использование ПДн в том числе в виде лишения свободы до 10 лет лишения свободы.
При этом штраф может быть снижен, если:
- компания на протяжении трех лет до момента утечки ПДн ежегодно направляла не менее одной десятой процента совокупного дохода на услуги и решения организаций, имеющих лицензию на разработку средств шифрования и на разработку средств защиты конфиденциальной информации (группа компаний InfoWatch имеет обе указанные лицензии);
- компания может представить доказательства, что она в течение года до утечки ПДн соблюдала требования по обработке персональных данных в информационных системах. Такими доказательствами могут быть результаты аудита информационной безопасности, сертификаты средств защиты информации, регламенты проведения мероприятий по повышению защищенности информации, а также сведения из системы InfoWatch Traffic Monitor;
- компания не использовала несертифицированные решения и не нарушает требования к защите информации и защите ПДн.
Решения группы InfoWatch отвечают новым вызовам законодательства и позволяют обеспечить должный уровень защиты информации и ПДн.
InfoWatch Traffic Monitor и InfoWatch Центр расследований — позволят оперативно выявить угрозы утечек информации и ПДн, в краткие сроки провести внутреннее расследование инцидента ИБ и тем самым избежать штрафа.
Группа компаний InfoWatch обладает обеими требуемыми для снижения штрафа за ПДн лицензиями:
- лицензией ФСБ РФ на разработку средств защиты информации.
- лицензией ФСБ РФ на разработку шифровальных (криптографических) средств.
Все решения InfoWatch сертифицированы и соответствуют требованиям обеспечения безопасности персональных данных при обработке в информационных системах. Следовательно, согласно новому закону, использование систем InfoWatch позволяет снизить размер штрафа даже в случае, если организация будет привлечена к ответственности.
Группа InfoWatch разработала ряд уникальных методик, позволяющих провести аудит документов и технических средств на предмет соответствия требованиям законодательства:
- с помощью Методики аудита ПДн создается объективная картина использования ПДн в компании, выявляются точки риска и разрабатывается документация, отвечающая реальным потребностям бизнеса;
- Методика сбора, обработки и анализа сведений об утечке решает задачу проведения расследования утечки ПДн в сжатые сроки;
- Методика сбора и обработки информации об ущербе позволяет определить реальный объем утечки информации и ПДн, а также выявить дополнительные критические факторы информационной безопасности.
21 января 2025 г. на вебинаре Изменения в регулировании ПДН: новые риски эксперты из юридического департамента ГК InfoWatch дадут разъяснения по первоочередным действиям, которые необходимо предпринять в связи с рисками и связанными с ними штрафами и иными последствиями, по порядку вступления в силу уголовной и административной ответственности.
Полное или частичное копирование материалов возможно только при указании ссылки на источник — сайт www.infowatch.ru или на страницу с исходной информацией.