Новости

Компании получат оборотные штрафы, если допустят утечку информации более чем 10 тыс. субъектов персональных данных (то есть граждан). Такой вариант обсуждается рабочей группой при Минцифры — она сейчас разрабатывает законопроект об оборотных штрафах за утечки данных, рассказал один из участников ИТ-рынка и источник, близкий к министерству. В случае если объем окажется меньше установленного значения, компания также получит штраф, но не оборотный, а фиксированный.

В апреле глава Минцифры Максут Шадаев выступил с предложением ввести оборотные штрафы для компаний, допустивших утечку персональных данных, пояснив, что сейчас бизнес опасается скорее репутационных издержек, нежели штрафа. Проект разрабатывается совместно с Роскомнадзором и не будет касаться госорганов, говорил Шадаев. Обсуждалось, что штраф составит до 1% от оборота. Однако крупные ИТ-компании настаивали, что риски утечек есть независимо от того, как сильно организация вкладывалась в информационную безопасность, и просили смягчить формулировки документа. Как альтернативу они предлагали трехступенчатую систему наказания за утечки: если данные клиентов или сотрудников компании были скомпрометированы впервые, то она должна получить просто предупреждение; в случае повторной компрометации — заплатить крупный штраф; при третьей утечке — оборотный штраф.

В середине июля Минцифры сообщало, что обсуждаемые предложения для законопроекта включают следующие:

- штрафы будут применяться в два этапа: за первую утечку штраф будет фиксированным (размер зависит от объема данных), при повторной утечке станет применяться оборотный штраф. Будут установлены границы, «от» и «до» какого процента от выручки можно будет взыскать оборотный штраф;

- будут учитываться смягчающие и отягчающие обстоятельства при определении размера штрафа. Если компания приложила максимум усилий по защите информации, это будет расцениваться как смягчающее обстоятельство, если она скрывала факт утечки — как отягчающее;

- будет определено, как устанавливать вину конкретной компании за утечку данных: как отличить, произошла ли новая утечка или мошенники выдают за нее данные из разных баз, слитых ранее;

- рассматривалась возможность создания специального фонда по аналогии с Агентством по страхованию вкладов, в который будут перечислять собранные штрафы и из которого станут выплачивать компенсации гражданам, пострадавшим от утечек.

Однако сейчас обсуждается, что оборотный штраф может грозить компаниям в том числе за первую утечку, если она коснулась более 10 тыс. субъектов персональных данных. Среди смягчающих обстоятельств, которые «позволят снизить штраф вплоть до фиксированного значения в несколько миллионов», он перечислил такие: если компания выявила утечку, публично призналась, активно проводила расследование, помогала надзорным органам и в рамках расследования выяснилось, что утечка не произошла по причине нарушения требований информационной безопасности. Вопрос создания фонда для компенсации ущерба еще прорабатывается с отраслью. Участники обсуждения хотят создать такой механизм, чтобы этот «фонд не позволил откупиться от утечки».

Источник: https://www.rbc.ru