Какая ответственность предусмотрена за незаконную обработку персональных данных

Ответственность за обработку персональных данных связана с нарушением установленных для неё правил. Само использование сведений о человеке ещё не означает правонарушения. Для определения штрафа нужно соотнести конкретные действия с соответствующей частью ст. 13.11 КоАП РФ. В ней разграничены обработка без законного основания, нарушения согласия, обязанностей перед человеком и требований к защите сведений. Поэтому единой суммы за любую незаконную обработку нет.

Часть 1 ст. 13.11 КоАП РФ охватывает обработку в случаях, которые закон не предусматривает, а также использование данных для целей, несовместимых с целями их сбора. Гражданину за это предусмотрен штраф от десяти тысяч до пятнадцати тысяч рублей, должностному лицу — от пятидесяти тысяч до ста тысяч рублей, юридическому лицу — от ста пятидесяти тысяч до трёхсот тысяч рублей. Эта часть содержит исключения для других нарушений и применяется, если действия не образуют уголовно наказуемого деяния.

Отсутствие письменного согласия рассматривается по ч. 2 ст. 13.11 КоАП РФ, когда закон требует именно такую форму согласия. По этой же части оцениваются нарушения требований к сведениям, которые должны входить в письменное согласие. Для граждан предусмотрено от десяти тысяч до пятнадцати тысяч рублей, для должностных лиц — от ста тысяч до трёхсот тысяч рублей, для организаций — от трёхсот тысяч до семисот тысяч рублей. Здесь также предусмотрены исключение и условие об отсутствии уголовно наказуемого деяния.

Оператор — тот, кто обрабатывает персональные данные, — отвечает и за исполнение сопутствующих обязанностей. Например, ч. 3 ст. 13.11 КоАП РФ касается отсутствия предусмотренного законом открытого доступа к политике обработки или сведениям о требованиях к защите данных. Для юридического лица штраф составляет от тридцати тысяч до шестидесяти тысяч рублей. Если человеку не предоставлена положенная информация об обработке его сведений, применяется ч. 4: штраф для организации составляет от сорока тысяч до восьмидесяти тысяч рублей.

Отдельно выделено неисполнение требования об уточнении, блокировании или уничтожении сведений. Часть 5 ст. 13.11 КоАП РФ касается неполных, устаревших, неточных, незаконно полученных данных и сведений, которые не нужны для заявленной цели. Ответственность наступает при невыполнении требования в установленные законом сроки. Для организации предусмотрено от пятидесяти тысяч до девяноста тысяч рублей. Самих сроков эта часть не называет.

Обработка на бумажных и других материальных носителях тоже может повлечь штраф. По ч. 6 ст. 13.11 КоАП РФ значение имеет нарушение условий сохранности и защиты от постороннего доступа, которое привело к перечисленным в норме последствиям. Это, например, неправомерное копирование или распространение сведений. При отсутствии признаков уголовно наказуемого деяния штраф для юридического лица составляет от пятидесяти тысяч до ста тысяч рублей.

При сборе данных граждан Российской Федерации предусмотрена ответственность за неисполнение обязанности использовать базы данных на территории Российской Федерации для операций, перечисленных в ч. 8 ст. 13.11 КоАП РФ. Для организации штраф составляет от одного миллиона до шести миллионов рублей. Повторное нарушение этой обязанности выделено в ч. 9: для юридического лица сумма составляет от шести миллионов до восемнадцати миллионов рублей.

Уведомления также имеют самостоятельное значение. Часть 10 ст. 13.11 КоАП РФ устанавливает ответственность за отсутствие или опоздание обязательного уведомления о намерении обрабатывать данные. Часть 11 касается обязательного уведомления о неправомерной или случайной передаче, нарушившей права людей. Во втором случае штраф для юридического лица составляет от одного миллиона до трёх миллионов рублей.

При неправомерной передаче сведений размер ответственности связан и с масштабом нарушения. Части 12–14 ст. 13.11 КоАП РФ учитывают число людей, чьи данные затронуты, и количество идентификаторов. Идентификатор здесь означает уникальное обозначение сведений о человеке в информационной системе оператора. Эти части предусматривают разные диапазоны штрафов и применяются при отсутствии признаков уголовно наказуемого деяния. Подменять их общей нормой о незаконной обработке нельзя.

Для передачи специальных категорий данных и биометрических данных предусмотрены отдельные положения: ч. 16 и ч. 17 ст. 13.11 КоАП РФ. Кроме характера сведений нужно учитывать статус отвечающего лица. Примечания к статье устанавливают особенности ответственности предпринимателей и определения должностного и юридического лица для ряда её частей. Поэтому размер штрафа организации нельзя автоматически переносить на любого участника обработки.

Штраф и возмещение вреда решают разные вопросы. По ч. 2 ст. 24 152-ФЗ человеку возмещается моральный вред, причинённый нарушением его прав, правил обработки или требований к защите персональных данных. Такое возмещение не поставлено в зависимость от возмещения имущественного вреда и убытков. Фиксированной суммы компенсации нет — укажите в требовании желаемую сумму и объясните, какой моральный вред причинило вам нарушение.