Какая ответственность предусмотрена за нарушение закона о персональных данных

Ответственность за нарушение ПДн — персональных данных — нельзя свести к единому штрафу. Статья 24 152-ФЗ говорит об ответственности виновных лиц и отдельно регулирует моральный вред. Конкретные административные нарушения перечислены в ст. 13.11 КоАП РФ. Поэтому при оценке последствий нужно установить, что произошло со сведениями, какое правило нарушено и кто отвечает за обработку. Оператором здесь называется лицо, которое организует или осуществляет обработку персональных данных.

Если данные обрабатывают без предусмотренного законом основания либо используют для целей, несовместимых с целями их сбора, применяется ч. 1 ст. 13.11 КоАП РФ с указанными в ней исключениями. Для граждан штраф составляет от десяти тысяч до пятнадцати тысяч рублей, для должностных лиц — от пятидесяти тысяч до ста тысяч рублей, для организаций — от ста пятидесяти тысяч до трехсот тысяч рублей. Повторное такое нарушение наказуемо строже по ч. 1.1 этой статьи.

Отсутствие письменного согласия рассматривается отдельно. Часть 2 ст. 13.11 КоАП РФ касается случаев, когда закон требует именно такую форму согласия, а также нарушения требований к его содержанию. Для юридического лица здесь предусмотрен штраф от трехсот тысяч до семисот тысяч рублей. Само отсутствие согласия еще не позволяет выбрать эту часть: нужно установить, было ли письменное согласие обязательным для соответствующей обработки.

Нарушением может быть и неисполнение обязанностей перед человеком, чьи сведения обрабатываются. Части 3–5 ст. 13.11 КоАП РФ предусматривают наказание за недоступность политики обработки, непредоставление информации об обработке, неисполнение требования об уточнении, блокировании или уничтожении сведений в описанных законом случаях. Это самостоятельные основания ответственности, даже если вопрос об утечке не возникал.

При неправомерной передаче или открытии доступа к данным значение имеют масштаб утечки и характер сведений. Части 12–14 ст. 13.11 КоАП РФ различают нарушения по числу затронутых людей и идентификаторов. Специальные категории данных и биометрические данные выделены в частях 16 и 17. Кроме того, ч. 11 предусматривает отдельный штраф за неисполнение или опоздание с обязательным уведомлением об утечке. Нарушение обязанности уведомить о намерении обрабатывать данные регулирует ч. 10.

Административный штраф не заменяет возмещение человеку морального вреда — нравственных или физических страданий. По ч. 2 ст. 24 152-ФЗ такое возмещение предусмотрено при нарушении прав человека, правил обработки или требований к защите его данных. Оно не зависит от возмещения имущественного вреда и убытков. Поэтому требовать возмещения морального вреда можно и при отсутствии денежных потерь. При этом части 1, 2 и 12–14 ст. 13.11 КоАП РФ содержат оговорки об отсутствии признаков уголовно наказуемого деяния; по ним нельзя определять уголовное наказание.