Государство будет наказывать компании за утечки ПД клиентов

Нововведение должно, по мнению экспертов, решить проблему обеспечения информационной безопасности покупателей товаров и заказчиков услуг. Изменения в законодательстве позволят привлечь к ответственности компании, по чьей вине персональные данные клиентов оказываются у третьих лиц.

Что эффективнее: оборотные или фиксированные штрафы?

Инициатива Министерства цифрового развития, связи и массовых коммуникаций РФ привлекла внимание широкой общественности. Руководящий государственный орган управления выступает в качестве сторонника оборотных штрафов по отношению к юридическим лицам, не обеспечивающим полноценную защиту персональных данных (ПД) клиентов. Ситуацию усугубляет то, что недобросовестные компании за утечки конфиденциальной информации выплачивают символические штрафы. Типичный пример: весной 2022 года сервис Яндекс.Еда за подобные нарушения был оштрафован Роскомнадзором всего на 60 тыс. руб.

В законопроекте, направленном на рассмотрение в Государственную Думу РФ, речь пойдет о совершенно других суммах. Планируется, что минимальный штраф за утечку персональных данных клиентов составит от 1% годового оборота юридического лица, допустившего подобное нарушение. Если же виновник предпримет попытку скрыть сведения о таком инциденте, сумма будет увеличена в 3 раза.

В поисках универсальных мер

Указанные варианты наказаний все же не решают внушительный перечень проблем, накопившихся в сфере обеспечения кибербезопасности. В России, например, существует только юридическая трактовка фактов нарушений хранения персональных данных. Когда персональные данные клиентов оказываются у третьих лиц и виновники произошедшего не уведомляют о том Роскомнадзор в течение 24 часов, закон это рассматривает как попытки скрыть инциденты. Однако одновременно в РФ отсутствуют четкие механизмы проверки, подтверждения, классификации утечек персональных данных. В законодательстве также нет нормативного определения утечки персональных данных.

Депутаты Государственной Думы РФ объективно оценивают неоднозначность сложившейся ситуации. Высказывается мнение, что следует мотивировать бизнес правильно хранить персональные данные клиентов и не сводить меры по повышению уровня кибербезопасности исключительно к штрафным санкциям. Эксперты, в свою очередь, указывают, что аналогичная проблема есть и в отношении небольших предприятий (а не только крупных банков, компаний). Малый бизнес не обладает достаточными ресурсами, чтобы обеспечивать защиту персональных данных на должном уровне и при этом тоже активно работает с личными данными частных лиц.