Закон об оборотных штрафах за утечки данных могут принять до конца года

Законопроект об оборотных штрафах за утечки личных данных планируют принять до конца года. При этом вступление закона в силу может быть отложено. Также на данный момент депутаты прорабатывают количественные параметры законопроекта. До сих пор нет даже определения, что в целях исполнения будущего закона считать оборотом компании — выручку холдинга, отдельного бренда или непосредственно компании-оператора данных, пишет «Коммерсантъ».

Проект закона, вводящего оборотные штрафы для бизнеса за утечки персональных данных пользователей, примут до конца года. Об этом заявил заместитель председателя комитета Госдумы по информполитике, связи и ИТ Андрей Свинцов в ходе пленарного заседания конференции по информбезопасности BIS Summit 2024. При этом он добавил, что срок самого вступления в силу закона может быть отложен в зависимости от готовности бизнеса.

«Есть риск, что компании, работающие с персональными данными, «начнут нести большие финансовые потери, что отразится на стоимости их продуктов и услуг, и нагрузка ляжет по итогу на потребителя», — добавил Андрей Свинцов.

С другой стороны, отметил эксперт, «мы понимаем, что бизнес будет вынужден выделить сегмент, работающий с персональными данными, в отдельное подразделение с минимальной выручкой, которому оборотные штрафы будут не критичны».

Важно, что до сих пор нет четкого определения, что в таком случае считать оборотом компании — выручку холдинга, отдельного бренда или непосредственно компании-оператора данных. В Минцифры ситуацию комментировать отказались.

Отметим, что в сети продолжают расти утечки информации, в 2024 году все чаще ими становятся именно данные компаний. По информации F.A.С.С.T. (ранее Group-IB), на теневых форумах за первые полгода были опубликованы данные 150 компаний, которые до этого нигде не появлялись, а годом ранее таких было 119.

Редакция законопроекта, принятая в первом чтении, нуждается в доработке: уточнении состава правонарушения и дополнении смягчающими обстоятельствами, стимулирующими к мерам повышения безопасности, считают в Ассоциации больших данных (АБД, объединяет «Сбер», «Ростелеком», «Яндекс» и другие крупные ИТ-компании).

Скорее всего, в законе будет предусмотрена ответственность группы лиц, что потенциально позволит привлекать к ней все компании, входящие в группу, объясняет юрист Comply Артем Сафьянников. Такой подход уже известен российскому законодательству (например, в конкурентном праве), поэтому, скорее всего, искусственное дробление бизнеса никак не поможет избежать исчисления штрафа в пропорции от выручки всех компаний, входящих в «группу лиц», считает он. 

Ранее редакция IT Speaker писала, что РЖД, «Аэрофлот», «Автодор», маркетплейсы и прочие представители крупного бизнеса в России раскритиковали законопроект об оборотных штрафах за утечки данных. В частности, они просят отсрочить вступление поправок в силу и облегчить ответственность.

Напомним, что речь идет о поправках в Кодекс об административных правонарушениях (КоАП) и Уголовный кодекс, которые в конце 2023 года внесла в Госдуму группа депутатов и сенаторов. Поправки предполагают значительное повышение штрафов за утечки персональных данных — с нынешних 100 тысяч до 15 млн рублей, если утечка касалась более 100 тыс. граждан, а также возможность назначать оборотные штрафы за повторное нарушение в размере от 0,1 до 3% выручки, но не менее 15 млн рублей и не более 500 млн рублей.