Попадание в Сеть оцифрованных личных сведений граждан «создает опасное пространство, удобное для компаний, которые незаконно пытаются завладеть данными и потом использовать их в коммерческих целях, занимаясь, например, их перепродажей», – подчеркнул зампред комитета Госдумы по информационной политике, информационным технологиям и связи Сергей Боярский.
На рассмотрении Госдумы находится законопроект о штрафах за нарушение правил хранения персональных данных. В сентябре документ прошел первое чтение. Депутат Сергей Боярский заявил, что ждет этот законопроект, и уверен, что он сделает ответственность нарушителей более серьезной.
Для исполнения требований КоАП по защите персональных данных российских пользователей отечественные законодатели предлагают значительно увеличить размер штрафа. При первом случае несоблюдения законодательства его максимальный размер для юридических лиц может увеличиться до 6 миллионов рублей, при повторном правонарушении – до 18 миллионов рублей.
Незаконный сбор, хранение и продажа данных граждан (в том числе биометрических данных) – это реалии сегодняшнего дня, констатировал депутат Боярский. Напомним, в октябре стало известно, что в интернет попали данные о почти 9 млн нынешних и бывших клиентов «Билайна». Речь в первую очередь о пользователях домашнего интернета – теперь в Сети при желании можно найти их ФИО, домашние адреса, а также мобильные и домашние телефоны. Незадолго до этого стало известно о массовой утечке данных клиентов Сбербанка. В прессе сообщалось о 60 миллионах человек, в самом банке заявили всего о двух сотнях. Это были уже данные о картах, лимитах по ним, о прошедших и запланированных переводах, о наличии средств. Пин- и CVV/CVC-кодов там не было. В начале октября газета ВЗГЛЯД подробно писала, чем грозит утечка личных данных в открытый доступ.
Роскомнадзор готовит предложения по введению административной ответственности за приобретение и использование похищенных персональных данных, заявил на прошлой неделе глава ведомства Александр Жаров.
Депутат Сергей Боярский подчеркнул:
«Что касается уголовной ответственности – это не вопрос сегодняшнего дня. Но что-то мне подсказывает, что когда мы столкнемся с по-настоящему серьезными злоупотреблениями в этой сфере, такие предложения также появятся».
О том, что законодательное регулирование защиты персональных данных – актуальный вопрос, свидетельствует мировой опыт, подчеркнул собеседник.
Так, например, во Франции неспособность организации обеспечить исполнение законодательства в сфере персональных данных граждан, как и в России, является административным правонарушением и наказывается штрафом. Согласно Общему регламенту по защите данных (GDPR) и Акту о защите данных (French Data Protection Act) для нарушителей предусмотрены штрафы до 20 миллионов евро, или 4% от годового оборота компании.
Немецкие законодатели, как и их французские коллеги, также ограничились штрафными санкциями, правда их размер в два раза ниже. За несоблюдение правил в сфере персональных данных жителей Германии компаниям грозит до 10 миллионов евро штрафа, или 2% от годового оборота. Впрочем, при конвертации в рубли даже эта сумма кажется астрономической – она в десятки раз превышает размеры штрафов, предлагаемых российскими законодателями.
Если обратиться к опыту неевропейских, но технологически развитых стран, то там санкции еще жестче. Так, в Израиле неисполнение требований местного закона о защите конфиденциальности наказывается лишением свободы на срок до одного года.
В Китае нарушения в сфере охраны персональных данных влекут за собой и вовсе уголовную ответственность. Причем на организацию накладывается штраф, а для ее сотрудников, непосредственно отвечающих за вопросы кибербезопасности (в том числе хранение личных данных), предусмотрено наказание вплоть до лишения свободы на три года.
В Сингапуре несоблюдение требований закона о защите персональных данных влечет ответственность в виде штрафа до 1 миллиона долларов. Дополнительно для владельцев инфраструктуры особой категории информации установлены другие требования. Согласно принятому в прошлом году закону о кибербезопасности, владельцы инфраструктуры обязаны проводить аудит инфраструктуры на соответствие актуальным стандартам как минимум раз в два года, а также производить оценку рисков не менее одного раза в год. Невыполнение этих требований приведет к штрафу до 100 тысяч долларов или лишению свободы на срок до двух лет.
Для сравнения: в России максимальный штраф для компаний за нарушение существующих правил – 75 тысяч рублей. Такую санкцию предусматривает статья 13.11 Кодекса об административных нарушениях (КоАП). Однако общеизвестно, что «высшая» мера наказания назначается органами правосудия крайне редко. Например, в этом году международные компании Twitter и Facebook* были оштрафованы всего лишь на 3 тысячи рублей каждая.
Как отмечают эксперты, для таких крупных корпораций подобный размер штрафа не имеет значения, что нередко провоцирует пренебрежительное отношение к нормам российского законодательства. Даже в случае максимально возможного наказания, выплата нарушителя будет несопоставима по размеру с теми, которые приняты в данной области в мировой практике, полагают разработчики законопроекта об ужесточении санкций за нарушение хранения данных.
* Организация (организации) ликвидированы или их деятельность запрещена в РФ