Ужесточена ответственность за нарушение закона о персональных данных

Ужесточена ответственность за нарушение закона о персональных данных

Президент РФ в последний день ноября подписал федеральный закон №420 «О внесении изменений в Кодекс Российской Федерации об административных правонарушениях» и Федеральный закон № 421 «О внесении изменений в Уголовный кодекс Российской Федерации» вступающий в силу 11 декабря 2025.

В основном положения Закона № 420-ФЗ касаются предстоящей диверсификации видов правонарушений и ужесточения административной ответственности в сфере законодательства РФ о персональных данных. Закон № 421-ФЗ определяет специальный состав преступления в этой сфере.

Так, закон внёс весомые поправки в ст. 13.11 КоАП РФ. Субъекты административных правонарушений – граждане, должностные лица и юридические лица. Например, выросли суммы административных штрафов за обработку персональных данных в случаях, не описанных законодательством РФ в области персональных данных, либо обработку персональных данных, которая несовместима с целями сбора персональных данных (не считая части исключений), в случае, когда действия не содержат признаков преступления. В частности, размер штрафов:

• для граждан – от 10 000 до 15 000 руб. (ранее – от 2000 до 6000 руб.),
• для должностных лиц – от 50 000 до 100 000 руб. (ранее – от 10 000 до 20 000 руб.),
• для юридических лиц составит от 150 000 до 300 000 руб. (ранее – от 60 000 до 100 000 руб.).
• Увеличились санкции за повторные нарушения. Например, штраф для юридических лиц составит от 300 000 до 500 000 руб. (ранее — от 100 000 до 300 000 руб.).

Ст. 13.11 КоАП пополнилась новыми видами административных правонарушений

Например, введена ответственность за невыполнение или несвоевременное выполнение оператором чёткой обязанности уведомить уполномоченный орган по защите прав субъектов персональных данных о том, что есть намерение обработать такие данные. Штраф для юридических лиц — от 100 000 до 300 000 руб.

Если такая обязанность по уведомлению не исполнена, а позже устанавливается факт передачи (случайной или намеренной) подобных данных, вызвавшей нарушение прав субъектов персональных данных, также установлена ответственность. Например, юридическим лицам придётся в этом случае выложить от 1 до 3 млн руб.

Действия (бездействие) оператора, ставшие причиной неправомерной передачи или распространения данных, в т.ч. включающих персональные тоже введена ответственность, если действия не имеют признаков уголовно наказуемого деяния, повлекут за собой более серьёзные штрафы: например, для юридических лиц — от 3 до 5 млн рублей.

Ещё строже накажут за неправомерную передачу содержащей включающей персональные данные информации: от 10 000 до 100 000 субъектов персональных данных и (или) от 100 000 до 1 млн идентификаторов, а также за неправомерную передачу (предоставление, распространение, доступ) информации, включающей персональные данные более 100 000 субъектов персональных данных и (или) более 1 млн идентификаторов. В последнем случае заплатить придётся от 10 до 15 млн рублей.

Также введена административная ответственность за действия оператора, которые привели к неправомерную передачу информации, включающей специальную категорию персональных данных (например, сведения о состоянии здоровья). Юридическое лицо может получить штраф от 10 до 15 млн рублей.

Кроме того, накажут операторов, ставших виновниками распространения данных, включающих биометрические персональные данные, за исключением случаев, предусмотренных ст. 13.11.3 КоАП. Размеры штрафов составят:

• для граждан — от 400 000 до 500 000 руб.,
• для должностных лиц — от 1 300 000 до 1 500 000 руб.,
• для юридических лиц — от 15 до 20 миллионов руб.

Закон № 420-ФЗ усиливает ответственность для лиц, уже имевших дело с законом за подобные нарушения. Юрлица могут получить т.н. оборотный штраф в размере от 1 до 3% совокупного размера суммы, которую заработали за предшествующий нарушению год либо за предшествующую дате выявления нарушения часть календарного года, в котором оно обнаружено, если правонарушитель не работал по реализации товаров (работ, услуг) в предшествующем календарном году, либо размера собственных средств (капитала) кредитной организации на дату совершения нарушения, но не менее 25 млн рублей и не более 500 млн рублей.

Новая редакция статьи касается нарушения законодательных требований в части размещения и обработки биометрических персональных данных в ЕСИА и прочих системах, обеспечивающих аутентификацию на основе биометрических персональных данных.

Резюме

В российском законодательстве налицо тенденция к ужесточению ответственности за нарушение законодательства о персональных данных, дальнейшей диверсификации составов административных правонарушений и введению уголовной ответственности за ряд нарушений.

Операторы персональных данных, чтобы избежать проблем, должны убедиться, что соблюдают закон, а данные в используемых системах защищены.

Источник

Источник фото1

Источник фото2