Владимир Путин подписал два федеральных закона: № 421-ФЗ от 30 ноября 2024 года «О внесении изменений в Уголовный кодекс Российской Федерации» и № 420-ФЗ от 30 ноября 2024 года «О внесении изменений в Кодекс Российской Федерации об административных правонарушениях».
В статью 13.11 КоАП были добавлены новые составы правонарушений. Теперь размер штрафа за утечку баз данных с персональной информацией будет зависеть от объема утерянных данных. Если утечка затрагивает от 1 000 до 10 000 субъектов персональных данных или включает от 10 000 до 100 000 уникальных идентификаторов пользователей, штраф составит:
- для граждан — от 100 000 до 200 000 рублей;
- для должностных лиц — от 200 000 до 400 000 рублей;
- для организаций — от 3 миллионов до 5 миллионов рублей.
При утечке данных от 10 000 до 100 000 субъектов или от 100 000 до 1 миллиона идентификаторов суд может назначить штраф:
- гражданам — от 200 000 до 300 000 рублей;
- должностным лицам — от 300 000 до 500 000 рублей;
- компаниям — от 5 миллионов до 10 миллионов рублей.
Если речь идет об утечке данных более чем у 100 000 граждан или более чем у 1 миллиона идентификаторов, размеры штрафов увеличиваются:
- гражданам грозит штраф от 300 000 до 400 000 рублей;
- должностным лицам — от 400 000 до 600 000 рублей;
- компаниям — от 10 миллионов до 15 миллионов рублей.
Операторы, которые неоднократно допускают утечки больших объемов персональных данных, столкнутся с наиболее строгими санкциями — оборотными штрафами, которые будут рассчитываться как процент от годовой выручки компании за предыдущий год.
В Уголовный кодекс вводится новая статья 272.1, устанавливающая уголовную ответственность за следующие действия:
- использование и/или передача (распространение, предоставление доступа) персональных данных;
- сбор и/или хранение компьютерной информации с персональными данными, полученной незаконно;
- создание и/или функционирование информационных ресурсов для незаконного хранения и/или распространения персональных данных.
Наиболее строгие уголовные наказания предусмотрены за преступления, совершенные организованной группой, что может повлечь лишение свободы на срок до 10 лет и штрафы до 3 миллионов рублей. При этом использование персональных данных в личных или семейных целях при соблюдении закона не будет подлежать уголовному преследованию.
С учетом характера этих преступлений и их влияния на общество все составы, предусмотренные новой статьей УК РФ, отнесены к категории преступлений средней тяжести и выше. Также к уголовной ответственности будут привлекаться граждане, которые:
- незаконно передают базы данных иностранным организациям или государственным структурам;
- вывозят незаконно полученные данные за пределы России на любых электронных носителях (флешках, жестких дисках и других устройствах).
Использованы материалы Audit-it
