Smartmoney

Дифференциация размера штрафных санкций в зависимости от вида правонарушения и его последствий для субъекта персональных данных представляется разумной мерой, считает представитель "Мегафона" Дмитрий Смиркин. Между тем, максимально возможный штраф за нарушение порядка обработки персональных данных составляет 2% от совокупного дохода юридического лица за прошедший год. Такой штраф, по мнению Смиркина, несоразмерен возможной тяжести правонарушения, поскольку для крупных компаний итоговая цифра штрафа может составить несколько десятков миллионов рублей.

Роскомнадзор разработал поправки в Кодекс об административных правонарушениях (КоАП), усиливающие ответственность за нарушение закона «О персональных данных» (у "Ведомостей" есть копия). Например, сейчас за обработку персональных данных без согласия человека физлицо может быть оштрафовано на 300-500 руб., должностное лицо – на 500-1000 руб., а компания – на 5000 - 10 000 руб. В новой версии закона штрафы увеличиваются в разы. Если согласие на обработку персональных данных не было обязательным, то штрафы составят 1000-2000 руб., 5000-7000 руб. и 30 000 - 50 000 руб. соответственно. К списку нарушителей добавляются индивидуальные предприниматели, их штраф составит 15 000 - 20000 руб.

А вот если согласие человека обязательно и если нарушение причинило человеку вред, то наказание еще возрастает: для физлиц и должностных лиц штраф увеличится до 4000-5000 руб. и 10 000 - 15 000 руб. соответственно. А для индивидуальных предпринимателей и компаний вводится новый способ расчета: они должны будут заплатить 1,5% от совокупного дохода за прошлый год, но не менее чем 0,3-0,5 млн руб. соответственно. Если же обработка данных без согласия человека велась с целью извлечения дохода, то для предпринимателей и компаний штраф вырастет до 2% годового дохода, но не менее чем 0,4-0,6 млн руб. Минимальный штраф еще больше увеличивается, если человек или компания уже раньше привлекались за аналогичное нарушение.

Сейчас некоторые нормы закона «О персональных данных» практически нереализуемы, говорит сотрудник компании, занимающейся информационной безопасностью. В качестве примера он приводит пункт о трансграничной передаче данных: для этого, по закону, нужно письменное разрешение человека, чьи данные передаются. Например, для интернет-компании получить такие разрешения невозможно. Порядок трансграничной передачи персональных данных в законе не проработан, объясняет собеседник «Ведомостей». По закону должен быть утвержден список стран с адекватной защитой прав субъектов персональных данных, куда данные можно передавать по облегченной процедуре. За год этот список так и не был разработан Роскомнадзором.

Проблема в том, что орган исполнительной власти должен был разработать этот список, но его до сих пор нет, соглашается партнер юридической фирмы Salans Виктор Наумов. Усиление ответственности в сфере персональных данных, по его словам, обсуждалось очень давно – по сути, с момента принятия закона. Сейчас ситуация парадоксальна – есть детальное регулирование, включая казуистические организационно-технические требования к обеспечению конфиденциальности, но, например, административная ответственность за ряд незаконных действий символическая. Однако в этом законопроекте расчет размера штрафа в процентах дохода – это несоразмерное ее увеличение, считает Наумов.

При наличии множества неоднозначных формулировок в законе «О персональных данных», допускающих различные толкования правил обработки, большинство компаний могут оказаться в условиях, при которых их деятельность будет часто признаваться нарушающей закон. При этом, огромные штрафы повлекут за собой невозможность развития бизнеса, в особенности, в отношении малых и средних предприятий. Необходимо отметить, что КоАП не содержит таких санкций как оборотные штрафы ни за одно из возможных административных правонарушений, резюмирует представитель "Мегафона".

Еще одна проблема в том, что по нормативным документам для защиты персональных данных в интернете надо применять только сертифицированные в ФСБ шифровальные средства, говорит собеседник «Ведомостей» из компании, занимающейся инфобезопасностью. Но они должны быть на обоих концах, то есть за рубежом, а чтобы вывезти сертифицированную криптографию за границу надо сначала получить разрешение ФСБ.

Штрафы за нарушение закона о персональных данных хотят увеличить в разы