Для бизнеса ввели новые крупные штрафы за персональные данные

С 30 мая 2025 года заработают законодательные изменения, усиливающие ответственность за утечку и неправомерное использование персональных данных (ПД). Размеры штрафов существенно увеличатся, а оснований для привлечения к ответственности станет больше. Изменения внесены законом от 30.11.2024 № 420-ФЗ.

Сначала о штрафах по КоАП РФ. За обработку данных без согласия пользователя или с нарушением целей сбора штрафы составят:

• от 50 до 100 тыс. рублей – для руководства компаний и ИП;

• от 75 до 150 тыс. рублей – для малого бизнеса;

• от 150 до 300 тыс. рублей – для остального.

За повторное нарушение штрафы больше – до 100–200 тыс. рублей для руководителей и ИП, до 150–250 тыс. рублей для малого и до 300–500 тыс. рублей для прочего бизнеса.

Появится новый штраф за неуведомление Роскомнадзора о том, что компания будет обрабатывать ПД. Нарушение обойдётся бизнесу в сумму от 100 до 300 тыс. рублей. За неуведомление о неправомерной передаче данных штраф составит от 1 до 3 млн рублей.

Штрафы за утечку ПД, если инцидент не подпадает под уголовное наказание, зависят от масштаба:

• при утечке ПД 1–10 тыс. человек или 10–100 тыс. уникальных идентификаторов штраф составит от 3 до 5 млн рублей;

• при утечке данных 10–100 тыс. человек или 100 тыс. – 1 млн идентификаторов – от 5 до 10 млн рублей;

• крупные утечки, затрагивающие более 100 тыс. человек или более 1 млн идентификаторов, будут наказываться штрафом от 10 до 15 млн рублей.

Повторные утечки приведут к оборотным штрафам в размере 1–3% от годовой выручки компании, но не менее 20 млн и не более 500 млн рублей.

В случае отсутствия отягчающих обстоятельств и значительных вложений в безопасность (не менее 0,1% от выручки за три года) штраф может быть снижен.

За утечку данных с биометрией предусмотрены особые штрафы: от 15 до 20 млн рублей для ИП и организаций. Теперь об уголовной ответственности. За незаконное использование, сбор, передачу или хранение ПД накажут штрафом от 300 до 400 тыс. рублей, принудительными работами до 4 лет либо лишением свободы до 4 лет. За действия с ПД несовершеннолетних или биометрией предусмотрены штрафы до 700 тыс. рублей, принудительные работы до 5 лет или лишение свободы до 5 лет. Если такие действия привели к тяжким последствиям или были организованы группой, наказание ужесточается до 10 лет лишения свободы.

Также введена уголовная ответственность за создание сайтов или страниц для хранения и распространения незаконно полученных ПД. Максимальное наказание – 5 лет лишения свободы. Исключение сделано только для обработки персональных данных в семейных целях. В связи с новыми рисками компаниям рекомендуется пересмотреть политику обработки данных, провести аудит текущих процессов и усилить меры информационной безопасности. Уведомления Роскомнадзора о намерениях обрабатывать ПД и инцидентах с ними должны стать неотъемлемой частью работы. Вложения в безопасность помогут не только защитить данные клиентов, но и снизить штрафы в случае нарушений.

Источник: 1С:БухОбслуживание