Какая ответственность предусмотрена за нарушения в сфере персональных данных

Общую основу ответственности устанавливает ст. 24 152-ФЗ: за нарушение требований к персональным данным отвечает виновное лицо. Конкретные административные нарушения и размеры штрафов перечислены в ст. 13.11 КоАП РФ. Поэтому вопрос о том, какая ответственность наступает за персональные данные, нельзя решить только по факту их наличия у другого лица. Нужно установить, что именно произошло со сведениями: их обработали без законного основания, использовали вопреки цели сбора, раскрыли посторонним или нарушили установленную обязанность при работе с ними.

Оператор — тот, кто обрабатывает персональные данные. Если он делает это в случаях, которых закон не предусматривает, либо использует сведения несовместимо с целями их сбора, применяется ч. 1 ст. 13.11 КоАП РФ с указанными в ней исключениями. Для граждан штраф составляет от десяти тысяч до пятнадцати тысяч рублей, для должностных лиц — от пятидесяти тысяч до ста тысяч, для юридических лиц — от ста пятидесяти тысяч до трёхсот тысяч рублей. Повторное нарушение по ч. 1.1 влечёт более высокий штраф: для юридического лица он достигает пятисот тысяч рублей.

Отдельный случай — обработка без письменного согласия, когда закон требует именно такую форму. Часть 2 ст. 13.11 КоАП РФ охватывает также нарушение требований к сведениям, которые должны входить в согласие. Для юридических лиц штраф составляет от трёхсот тысяч до семисот тысяч рублей. Само по себе отсутствие подписи человека ещё не позволяет отнести любую обработку к этому составу: сначала нужно установить, было ли письменное согласие обязательным для соответствующего случая.

Штраф возможен и без утечки. По ч. 3 ст. 13.11 КоАП РФ ответственность предусмотрена за отсутствие требуемого доступа к политике обработки или сведениям о мерах защиты. По ч. 4 наказуемо непредоставление человеку информации об обработке его данных. Если речь о бумажных носителях и другой обработке без автоматизации, ч. 6 касается нарушения условий сохранности, которое привело к неправомерным действиям со сведениями. Для применения этой части существенны последствия: например, посторонний доступ, копирование или уничтожение данных.

При сборе персональных данных граждан Российской Федерации действует отдельный состав, связанный с использованием баз данных на территории России. За нарушение предусмотренной законом обязанности ч. 8 ст. 13.11 КоАП РФ устанавливает для юридических лиц штраф от одного миллиона до шести миллионов рублей. При повторном нарушении по ч. 9 диапазон составляет от шести миллионов до восемнадцати миллионов рублей. Невыполнение или несвоевременное выполнение обязанности уведомить уполномоченный орган о намерении обрабатывать данные выделено в ч. 10, а нарушения уведомления об установленной утечке — в ч. 11.

При неправомерной передаче сведений размер ответственности связан с масштабом утечки. Части 12–14 ст. 13.11 КоАП РФ учитывают число людей, чьи данные раскрыты, и число идентификаторов. Идентификатор здесь — уникальное обозначение сведений о человеке в информационной системе оператора. Например, ч. 12 охватывает передачу данных от одной тысячи до десяти тысяч человек и (или) от десяти тысяч до ста тысяч идентификаторов. Для юридического лица предусмотрен штраф от трёх миллионов до пяти миллионов рублей. При большем объёме применяются другие пределы соответствующих частей статьи.

Для утечки специальных категорий персональных данных предусмотрена ч. 16 ст. 13.11 КоАП РФ, для биометрических данных — ч. 17 с оговорённым в ней исключением. По первой из этих частей штраф для юридических лиц составляет от десяти миллионов до пятнадцати миллионов рублей, по второй — от пятнадцати миллионов до двадцати миллионов. Значение имеет и статус нарушителя: в предусмотренных статьёй случаях индивидуальный предприниматель отвечает как юридическое лицо. Несколько составов прямо применяются при отсутствии признаков уголовно наказуемого деяния; поэтому административный штраф нельзя считать исчерпывающим последствием любого обращения с чужими сведениями.

Для пострадавшего вопрос ответственности не ограничивается наказанием нарушителя. Часть 2 ст. 24 152-ФЗ позволяет требовать возмещения морального вреда, причинённого нарушением прав человека, правил обработки или требований к защите его данных. Такая компенсация самостоятельна: она не поставлена в зависимость от возмещения имущественного вреда и убытков. Фиксированной суммы компенсации закон не называет — укажите в требовании свою сумму и обоснуйте её последствиями нарушения. Поэтому сумму административного штрафа нельзя использовать как готовый размер выплаты пострадавшему: штраф и возмещение причинённого человеку вреда имеют разные основания.