Нижний порог Компании получат оборотные штрафы, если допустят | С миру по цифре

Нижний порог

Компании получат оборотные штрафы, если допустят утечку информации более чем 10 тыс. субъектов персональных данных (то есть граждан). Такой вариант обсуждается рабочей группой при Минцифры, которая сейчас разрабатывает законопроект об оборотных штрафах за утечки данных. Проект разрабатывается совместно с Роскомнадзором и не будет касаться госорганов.

В апреле глава Минцифры Максут Шадаев выступил с предложением ввести оборотные штрафы для компаний, допустивших утечку персональных данных, пояснив, что сейчас бизнес опасается скорее репутационных издержек, нежели штрафа. Однако крупные ИТ-компании настаивали, что риски утечек есть независимо от того, как сильно организация вкладывалась в информационную безопасность, и просили смягчить формулировки документа. Как альтернативу они предлагали трехступенчатую систему наказания за утечки: если данные клиентов или сотрудников компании были скомпрометированы впервые, то она должна получить просто предупреждение; в случае повторной компрометации — заплатить крупный штраф; при третьей утечке — оборотный штраф.

В середине июля Минцифры предложило двухэтапную систему: за первую утечку штраф будет фиксированным (размер зависит от объема данных), при повторной утечке станет применяться оборотный штраф. Будут установлены границы, «от» и «до» какого процента от выручки можно будет взыскать оборотный штраф. По текущему законодательству максимальное наказание за утечку персональных данных для юрлиц — это 500 тыс. руб.

Также рассматривалась возможность создания специального фонда по аналогии с Агентством по страхованию вкладов, в который будут перечислять собранные штрафы и из которого станут выплачивать компенсации гражданам, пострадавшим от утечек. Если компания приложила максимум усилий по защите информации, это будет расцениваться как смягчающее обстоятельство и штраф может быть уменьшен, если она скрывала факт утечки — как отягчающее (соответсвенно, буде увеличение суммы).

Среди смягчающих обстоятельств, которые «позволят снизить штраф вплоть до фиксированного значения в несколько миллионов», перечислялись такие: если компания выявила утечку, публично призналась, активно проводила расследование, помогала надзорным органам и в рамках расследования выяснилось, что утечка не произошла по причине нарушения требований информационной безопасности.

Законопроект об оборотных штрафах за утечку персональных данных находится в стадии разработки и будет представлен в середине сентября, формулировки в нём всё ещё могут поменяться. Но многие эксперты считают, что нижний порог в 10 тысяч субъектов пересданных оправдан, так как это немаленький объем и свидетельствует о серьёзных брешах в системе безопасности компании.