Какой штраф предусмотрен за незаконную обработку персональных данных

Единой суммы за любую незаконную обработку нет. Статья 13.11 КоАП РФ разделяет нарушения по тому, какое правило не исполнено. Для расчёта штрафа нужно сопоставить факты с конкретной частью: отсутствие основания для обработки, дефект согласия, неисполнение требования человека или утечка. Оператором здесь называется тот, кто обрабатывает персональные данные. В отдельных частях значение имеют также способ хранения сведений, объём передачи и категория информации. Поэтому слово «обработка» само по себе ещё не определяет размер взыскания.

Часть 1 ст. 13.11 КоАП РФ касается обработки в случаях, которые законодательство не допускает, либо использования сведений вопреки целям их сбора. Гражданину предусмотрен штраф от 10 000 до 15 000 рублей, должностному лицу — от 50 000 до 100 000 рублей, юридическому лицу — от 150 000 до 300 000 рублей. Эта часть применяется с указанными в ней исключениями и при отсутствии уголовно наказуемого деяния. Нельзя автоматически относить к ней любое обращение с чужими сведениями: сначала нужно установить характер нарушения.

Для обязательного письменного согласия выделена ч. 2 ст. 13.11 КоАП РФ. Она охватывает как отсутствие такого согласия, так и нарушение требований к сведениям в нём. Штраф для гражданина составляет от 10 000 до 15 000 рублей, для должностного лица — от 100 000 до 300 000 рублей, для организации — от 300 000 до 700 000 рублей. Сначала выясняется, требовалось ли именно письменное согласие. Само отсутствие подписанного документа ещё не позволяет сделать вывод о применении этой части без ответа на этот вопрос.

Нарушение обязанностей перед человеком тоже может повлечь взыскание. По ч. 4 ст. 13.11 КоАП РФ непредоставление информации об обработке влечёт для организации от 40 000 до 80 000 рублей. Если не выполнено требование уточнить, заблокировать или уничтожить неполные, устаревшие, неточные, незаконно полученные либо ненужные для заявленной цели данные, ч. 5 предусматривает для организации от 50 000 до 90 000 рублей. Здесь имеет значение содержание требования и его неисполнение в установленные законодательством сроки. Это разные нарушения, хотя оба связаны с обращением человека к оператору.

Отдельно оценивается доступность политики обработки данных — документа, описывающего правила оператора. За неисполнение обязанности опубликовать его или иначе обеспечить неограниченный доступ ч. 3 ст. 13.11 КоАП РФ устанавливает для юридического лица от 30 000 до 60 000 рублей. Часть 6 посвящена сохранности материальных носителей при обработке без автоматизации. Для организации штраф составляет от 50 000 до 100 000 рублей, если несоблюдение условий хранения привело к указанным в этой части неправомерным действиям со сведениями и нет признаков уголовно наказуемого деяния.

При сборе данных граждан России нарушение обязанности использовать базы на территории России подпадает под ч. 8 ст. 13.11 КоАП РФ. Для юридического лица диапазон составляет от 1 миллиона до 6 миллионов рублей. Повторное совершение этого нарушения по ч. 9 влечёт для него от 6 миллионов до 18 миллионов рублей. Речь идёт именно об обязанности обеспечить перечисленные в норме операции с использованием таких баз, включая запись и хранение. Если собираете данные граждан России через сайт, проверьте, что их запись и хранение ведутся в базах на территории России.

Уведомления и сама утечка разграничены. За отсутствие или несвоевременность обязательного уведомления о намерении обрабатывать данные ч. 10 ст. 13.11 КоАП РФ предусматривает для юридического лица от 100 000 до 300 000 рублей. За неисполнение обязанности уведомить о неправомерной или случайной передаче, нарушившей права людей, ч. 11 устанавливает для него от 1 миллиона до 3 миллионов рублей. Размеры за саму неправомерную передачу в частях 12–14 привязаны к числу субъектов, то есть людей, и идентификаторов — уникальных обозначений сведений о человеке в системе оператора.

Характер утёкших сведений также влияет на санкцию: специальная категория данных выделена в ч. 16, биометрические данные — в ч. 17 ст. 13.11 КоАП РФ. Для юридических лиц там предусмотрены соответственно от 10 миллионов до 15 миллионов и от 15 миллионов до 20 миллионов рублей. При определении статуса нарушителя нужно учитывать примечания к статье. В частности, по частям 8–18 предприниматели отвечают как юридические лица. Для частей 10–18 отдельно определено, какие операторы относятся к юридическим лицам и кто считается должностным лицом. Переносить эти специальные определения на все нарушения статьи нельзя.