Новая ответственность за нарушения, связанные с оборотом персональных данных

Данный законопроект также предусматривает «смягчающие» обстоятельства, к которым отнесены:

• Ежегодные расходы оператора в течение 3 лет на мероприятия по обеспечению информационной безопасности, проводимые организацией с соответствующей лицензией, составляли не менее 0,1% годового размера выручки или размера собственных средств кредитной организации;
• Наличие документального подтверждения того, что оператор соблюдал требования к защите персональных данных в течение 12 месяцев;
• Отсутствие обстоятельств, отягчающих ответственность.

В свою очередь, к отягчающим ответственность обстоятельствам относятся продолжение противоправного поведения и имевшее место ранее привлечение к административной ответственности за нарушения, связанные с обработкой персональных данных и с информационной безопасностью.

В случае принятия законопроекта в текущей версии, он вступит в силу по истечении 180 дней после опубликования.

Законопроект № 502113-8 предлагает ввести в УК РФ статью 272.1, посвященную незаконной обработке персональных данных.

За незаконные использование и (или) передачу, сбор и (или) хранение информации, содержащей персональные данные, полученной путем неправомерного доступа к средствам ее обработки, хранения или иного вмешательства в их функционирование либо иным незаконным путем, может повлечь ответственность вплоть до лишения свободы на срок до 4 лет.

В случае, если такие действия связаны с трансграничной передачей персональных данных, ответственность может выражаться в лишении свободы на срок до 8 лет со штрафом в размере до 2 000 000 рублей и с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до 4 лет. 

В текущей версии законопроекта не установлен специальный срок вступления в силу, поэтому в случае принятия он начнет действовать спустя 10 дней с даты официального опубликования.

 *  *  *

Предложенные изменения значительным образом повлияют на оценку рисков, связанных с процессами обработки персональных данных. Учитывая наличие времени до вступления в силу новых правил об административной и уголовной ответственности за нарушения, связанные с оборотом персональных данных, мы рекомендуем сконцентрироваться на аудите собственной деятельности и убедиться, что она соответствует законодательству и лучшим практикам.