Что такое оборотный штраф за нарушения в сфере персональных данных

Оборотный штраф за персональные данные означает, что размер взыскания для юридического лица связан с масштабом его бизнеса. Расчёт ведут от совокупной выручки за реализацию всех товаров, работ и услуг. Для кредитной организации используется размер собственных средств, то есть капитала. Такой способ расчёта предусмотрен ч. 15 и 18 ст. 13.11 КоАП РФ для повторных нарушений при неправомерной передаче данных, включая предоставление, распространение и доступ.

Если речь об утечке, подпадающей под ч. 12–14 ст. 13.11 КоАП РФ, нужно учитывать число людей, чьи сведения переданы, и количество идентификаторов. Под идентификатором здесь понимается обозначение, которое уникально связывает сведения в системе оператора с конкретным человеком. Указанные части охватывают разные масштабы утечки: от одной тысячи субъектов или десяти тысяч идентификаторов до более ста тысяч субъектов или более миллиона идентификаторов. Здесь субъект — человек, к которому относятся персональные данные.

Для применения оборотного штрафа по ч. 15 ст. 13.11 КоАП РФ новое нарушение должно относиться к ч. 12–14. При этом прежнее административное наказание может быть назначено за нарушения по ч. 12–14, 16–18 или самой ч. 15. То есть проверять нужно и нынешнюю утечку, и основание предыдущего наказания: совпадение номеров частей не обязательно. Для юридического лица предусмотрены 1–3 процента расчётной базы, минимум 20 млн и максимум 500 млн рублей.

Другой случай — повторная неправомерная передача специальной категории персональных данных или биометрических данных. Если новое нарушение относится к ч. 16 или 17, а прежнее наказание — к ч. 12–17 либо 18, применяется ч. 18 ст. 13.11 КоАП РФ. Процентный диапазон тот же, но нижняя граница выше: 25 млн рублей. Максимум также составляет 500 млн рублей.

Для расчёта по выручке берут календарный год, предшествующий году выявления нарушения. Если в прошлом календарном году реализации товаров, работ или услуг не было, учитывают часть года до даты выявления нарушения. Для кредитной организации значим капитал на дату совершения нарушения. Эти правила одинаково закреплены в ч. 15 и 18 ст. 13.11 КоАП РФ.

Гражданину или должностному лицу за такие повторные нарушения назначают штраф в установленном денежном диапазоне. Процент от выручки предусмотрен именно для юридических лиц. Например, по ч. 15 ст. 13.11 КоАП РФ гражданину грозит от 400 до 600 тысяч рублей, должностному лицу — от 800 тысяч до 1,2 млн рублей.

При оценке риска для компании начните с вида переданных данных и основания прежнего наказания. Затем сопоставьте расчётную базу с процентным диапазоном и денежными пределами соответствующей части. Небольшая выручка не отменяет нижнюю границу: по ч. 15 или 18 ст. 13.11 КоАП РФ взыскание ограничено установленным минимумом.