С 30 мая 2025 года вступят в силу изменения в законодательстве о персональных данных и начнут применяться новые штрафы.
В зависимости от серьезности нарушения и риска для граждан законодательством о персональных данных предусмотрены разные уровни ответственности.
Санкции выросли кратно:
- за отсутствие согласия на обработку данных - до 300 тыс. рублей для должностных лиц и до 700 тыс. для юрлиц;
- за неправильное хранение данных - до 6 млн рублей для компании;
- за несвоевременное уведомление Роскомнадзора об утечке - штраф до 3 млн рублей, о начале обработки персональных данных - штраф до 300 тыс рублей.
При повторных утечках данных может применяться оборотный штраф, как в случае с нарушением закона о рекламе - он рассчитывается от оборота компании.
Более подробный перечень штрафных санкций изложен в ст. 13.11 КоАП РФ.
Что относится к персональным данным?
Любая информация, которая прямо или косвенно относится к физическому лицу.
Что нужно сделать, чтобы стать оператором персональных данных?
Если Вы каким-либо образом взаимодействуете с персональными данными, то автоматически становитесь оператором, который должен соблюдать требования Федерального закона «О персональных данных» № 152-ФЗ.
Когда нужно подать уведомление?
Согласно требованиям Закона № 152-ФЗ подать такое уведомление нужно до начала обработки персональных данных, потому что ответственность вводится не только за отсутствие уведомления, но и за несвоевременную подачу такого уведомления.
Когда такое уведомление подавать не нужно?
В ч. 2 ст. 22 Закона №152-ФЗ предусмотрено несколько исключений, а именно:
- когда речь идет об обработке персональных данных, включенных в государственные информационные системы персональных данных, созданных в целях защиты безопасности государства и общественного порядка;
- в случае, если оператор осуществляет деятельность по обработке персональных данных исключительно без использования средств автоматизации;
- когда речь идет об обработке персональных данных в случаях, предусмотренных законодательством РФ о транспортной безопасности, в целях обеспечения устойчивого и безопасного функционирования транспортного комплекса, защиты интересов личности, общества и государства в сфере транспортного комплекса от актов незаконного вмешательства.
Чтобы избежать административного наказания, необходимо направить в Роскомнадзор соответствующее уведомление.
До этого необходимо ознакомиться с мерами, направленными на обеспечение выполнения обязанностей, предусмотренными законодательством о персональных данных.
Важно!
Данные российских пользователей должны храниться и обрабатываться на территории России. Если сайт использует сторонние виджеты, облака или формы, которые передают информацию за границу - необходимо перейти на локальные аналоги.
Частой ошибкой при формировании уведомления оператора является некорректная информация о наличии/отсутствии трансграничной передачи данных и вытекающее нарушение (многие руководители уверены, что не нарушают требования к трансграничной передаче, за что предусмотрен штраф).
Трансграничной передачей персональных данных является использование иностранного программного обеспечения или интернет-сервисов, позволяющих собирать, хранить или обмениваться персональными данными с помощью информационно-телекоммуникационной сети "Интернет". Таким образом, нарушением является использование сервисов Google (Analytics, Диск, Таблицы) и т.д.
Если Вы вынуждены передавать данные за границу и без этого не можете работать, то есть выход: передача за рубеж возможна, но только после разрешения Роскомнадзора и внесения в Реестр трансграничных передач. Запрос можно подать онлайн с сайта Роскомнадзора, срок ответа - до 10 рабочих дней.
Указанное уведомление направляется до начала осуществления деятельности по трансграничной передаче отдельно от уведомления о намерении осуществлять обработку персональных данных.
