Какие штрафы предусмотрены за утечку персональных данных

Чтобы определить, какие штрафы за утечку персональных данных грозят оператору, нужно установить масштаб происшествия и вид раскрытых сведений. Здесь речь об ответственности оператора, обрабатывающего сведения о людях, за их неправомерную передачу, предоставление, распространение или доступ к ним. Для случаев, разделённых по масштабу, штрафы применяются при отсутствии признаков уголовно наказуемого деяния — ч. 12–14 ст. 13.11 КоАП РФ.

Если утечка затронула от одной тысячи до десяти тысяч человек и (или) от десяти тысяч до ста тысяч идентификаторов, гражданину грозит от 100 до 200 тысяч рублей. Для должностного лица сумма составляет от 200 до 400 тысяч, для юридического лица — от 3 до 5 млн рублей. Идентификатор здесь означает уникальное обозначение сведений о человеке в информационной системе оператора — ч. 12 и примечание 4 к ст. 13.11 КоАП РФ.

При утечке сведений от десяти тысяч до ста тысяч человек и (или) от ста тысяч до одного миллиона идентификаторов суммы возрастают. Граждане платят от 200 до 300 тысяч рублей, должностные лица — от 300 до 500 тысяч, организации — от 5 до 10 млн рублей. Ориентироваться только на число людей нельзя: закон учитывает также количество идентификаторов — ч. 13 ст. 13.11 КоАП РФ.

Когда пострадало более ста тысяч человек и (или) раскрыто более одного миллиона идентификаторов, гражданину назначается от 300 до 400 тысяч рублей. Должностному лицу грозит от 400 до 600 тысяч, организации — от 10 до 15 млн рублей. Это следующая ступень ответственности за масштаб утечки — ч. 14 ст. 13.11 КоАП РФ.

Для специальных категорий персональных данных предусмотрен отдельный состав нарушения. За их неправомерную передачу гражданам грозит от 300 до 400 тысяч рублей, должностным лицам — от 1 до 1,3 млн, организациям — от 10 до 15 млн рублей. Для биометрических персональных данных суммы составляют соответственно от 400 до 500 тысяч, от 1,3 до 1,5 млн и от 15 до 20 млн рублей. Применяются ч. 16 и 17 ст. 13.11 КоАП РФ с учётом предусмотренного для биометрии исключения.

Отдельно оценивается исполнение обязанности сообщить об утечке уполномоченному органу по защите прав субъектов персональных данных. Если уведомление не направлено или направлено несвоевременно, гражданину грозит от 50 до 100 тысяч рублей, должностному лицу — от 400 до 800 тысяч, организации — от 1 до 3 млн рублей. Речь об утечке, повлекшей нарушение прав людей, — ч. 11 ст. 13.11 КоАП РФ.

При выборе суммы для должностного лица нужно учитывать специальное правило: в перечисленных случаях так называется должностное лицо государственного или муниципального органа либо некоммерческой организации. Эту категорию ответственности нельзя автоматически переносить на любого работника компании — примечание 2 к ст. 13.11 КоАП РФ.