Компаниям могут грозить штрафы от 3 млн до 15 млн в зависимости от количества утерянных данных. Законом предусмотрен и штраф за нарушения при обработке биометрии, утечку медицинских данных

За утечки персональных данных все же будут оборотные штрафы. Но только за повторные нарушения. Законопроекты о повышении штрафов за утечки приняты накануне Госдумой и сегодня Советом Федерации. Теперь их должен подписать президент. В итоговом тексте есть как ужесточения, по сравнению с первой версией, там и некоторые послабления.

Если компания допустит утечку данных от тысячи до 10 тысяч пользователей, ей будет грозить штраф от 3 млн до 5 млн рублей. При сливе уже полноценной базы с данными, от 10 тысяч до 100 тысяч пользователей, штраф составит уже от 5 млн до 10 млн рублей. Если в базе 100 тысяч пользователей и больше — штраф вырастет до 15 млн.

Вводится штраф до 2 млн рублей — за нарушения при обработке биометрии. За утечку медицинских данных штраф — до 15 млн. Больше всего бизнес переживал за оборотные штрафы. Их законодатели все же решили ввести, однако только в случае повторной утечки данных штраф составит от 1% до 3% от оборота компании за прошлый год.

Business FM обсудила с вице-президентом Российского союза туриндустрии, основателем юридического агентства «Персона Грата» Георгием Моховым:

— На мой взгляд, даже такие условия с введенидем оборотного штрафа только за повторное правонарушение все равно являются достаточно жестокими для определенных видов бизнеса, где обрабатываются большие массивы персональных данных. Например, в сфере туризма, когда бронируется множество билетов, обрабатываются десятки тысяч записей по персональным данным, а утечка происходит ввиду хакерских атак, криминальных действий, то есть не по вине самого предприятия. А в сфере туризма передаются данные для бронирования билетов, гостиниц, экскурсий, иногда передаются через несколько организаций, бывает в цепочке до пяти разного рода информационных систем. Утечка может произойти не по вине даже того, кто изначально направлял куда-то персональные данные туриста. Государству, со своей стороны, если они вводят такого рода санкции, необходимо предусмотреть субсидии на возмещение затрат на повышение этой информационной защищенности разного рода информационных ресурсов.

— Как доказать, что утечка произошла из баз данных именно конкретной компании?

— Вопрос доказывания чрезвычайно сложный, то есть придется оправдываться, сейчас трудно сказать, каким образом мы будем выстраивать позицию защиты в случае предъявления обвинений в такой утечке.

— Можно ли сказать, что большие компании чаще вкладывались в защиту данных клиентов, чем малый и средний бизнес, потому что наказания не было, а теперь многие начнут в панике затыкать эти дыры, чтобы не платить многомиллионные штрафы?

— Информационная безопасность — вещь дорогостоящая и сложная в исполнении, тут недостаточно одного желания, нужно иметь ресурсы, специалистов, подготовленное «железо». Может так получиться, что малый и средний бизнес даже при большом желании не смогут таким же образом защитить свои информационные ресурсы, как крупный бизнес.

— Для IT-гигантов 15 млн рублей — это посильное наказание, а для условных ресторанов, салонов это может привести к разорению.

— У ресторанов, салонов, малого бизнеса нет такого объема персональных данных, которые они обрабатывают, поэтому у них и риска меньше. Кроме того, они не передают персональные данные третьим лицам, то есть у них риск утечки находится внутри собственного контура, но, если небольшое предприятие попадет под такой штраф, это приведет к его банкротству.

Есть и другие поправки. «Если утекли данные несовершеннолетних или биометрические данные, штраф может достигать 700 тысяч рублей, либо в размере дохода осужденного за два года, либо принудительные работы на срок до пяти лет, либо лишение свободы на тот же срок», — отметил глава комитета Госдумы по информационной политике Александр Хинштейн. Он добавил, что если произошла трансграничная утечка персональных данных, то предлагается лишать свободы на срок до восьми лет, а если преступление повлекло тяжкие последствия — на срок до десяти лет.