С 30.05.2025 ужесточается административная ответственность за утечку персональных данных и другие правонарушения в сфере обработки персональных данных. При этом в правилах обработки персональных данных изменений нет.
Отношения, связанные с обработкой персональных данных, осуществляемые федеральными органами государственной власти, органами государственной власти субъектов Российской Федерации, иными государственными органами, органами местного самоуправления, иными муниципальными органами, юридическими лицами и физическими лицами с использованием средств автоматизации, в том числе в информационно-телекоммуникационных сетях, или без использования таких средств, урегулированы Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – Закон о персональных данных).
Обработкой персональных данных считаются любые действия или операции, которые проводятся с ними, в том числе сбор, систематизация, хранение, уточнение, использование, распространение, удаление.
Например, если индивидуальный предприниматель (далее – ИП) лишь получает паспортные данные своих работников (соискателей работы) для отчетности, заключения трудового договора и т.д., а также персональные данные клиентов, или создал базу данных их телефонных номеров, такой ИП является оператором персональных данных, поскольку такие действия подпадают под понятие обработки персональных данных.
Аналогично складывается ситуация с самозанятыми, заключающими, например, договоры найма либо аренды жилого помещения и обрабатывающими при этом паспортные данные нанимателя, арендатора.
Это значит, что ИП, самозанятый, обязаны соблюдать требования, которые предъявляются к обработке персональных данных.
Для этого необходимо определить цель обработки и строго ей следовать, при необходимости получать согласие на обработку и уведомлять о ней территориальный орган Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор), принимать меры по защите персональных данных и соблюдать порядок их уничтожения.
Операторами обработки персональных данных являются все ИП и самозанятые, кто обрабатывает персональные данные как в рукописной форме, так и с помощью вычислительной техники (компьютеров, серверов и т.д.).
Автоматизированной считается обработка данных с помощью средств вычислительной техники. Обработкой без применения средств автоматизации считаются действия с персональными данными, которые осуществляются при непосредственном участии человека (п. 4 ст. 3 Закона о персональных данных, п. 1 Положения, утвержденного постановлением Правительства РФ от 15.09.2008 № 687).
В случае, если оператор персональных данных передает их посредством информационно-телекоммуникационных технологий (направление в налоговый орган, различные государственные фонды отчетности, в состав которой входят персональные данные), он подлежит постановке на учет в Роскомнадзоре.
Необходимо помнить, что в силу ч. 1 ст. 22 Закона о персональных данных оператор до начала обработки персональных данных обязан уведомить Роскомнадзор о своем намерении осуществлять обработку персональных данных, за исключением 3-х случаев обработки персональных данных:- включенных в государственные информационные системы персональных данных, созданные в целях защиты безопасности государства и общественного порядка;- в случае, если оператор осуществляет деятельность по обработке персональных данных исключительно без использования средств автоматизации;- обрабатываемых в случаях, предусмотренных законодательством Российской Федерации о транспортной безопасности, в целях обеспечения устойчивого и безопасного функционирования транспортного комплекса, защиты интересов личности, общества и государства в сфере транспортного комплекса от актов незаконного вмешательства.
В соответствии с п. 1 ч. 1 ст. 18.1 Закона о персональных данных оператор обязан принимать меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных настоящим Федеральным законом и принятыми в соответствии с ним нормативными правовыми актами. Оператор самостоятельно определяет состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных настоящим Федеральным законом и принятыми в соответствии с ним нормативными правовыми актами, если иное не предусмотрено настоящим Федеральным законом или другими федеральными законами.
Органом, осуществляющим функции по контролю и надзору, в том числе за соответствием обработки персональных данных требованиям законодательства Российской Федерации в области персональных данных, а также функции по организации деятельности радиочастотной службы, является Роскомнадзор.
За несоблюдение требований Закона о персональных данных с 30.05.2025 увеличены штрафные санкции.
Так, за совершение правонарушения, предусмотренного ч. 1 ст. 13.11 кодекса Российской Федерации об административных правонарушениях (далее - КоАП РФ) -обработку персональных данных в случаях, не предусмотренных законодательством Российской Федерации в области персональных данных, либо обработку персональных данных, несовместимую с целями сбора персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи и статьей 17.13 настоящего Кодекса, если эти действия не содержат уголовно наказуемого деяния, вырастет: для физлиц - до 10 000 - 15 000 руб.; для должностных лиц и ИП - до 50 000 - 100 000 руб.; для организаций - до 150 000 - 300 000 руб.За повторное совершение такого нарушения штрафы составят: 15 000 - 30 000 руб. для физлиц; 100 000 - 200 000 руб. для должностных лиц; 300 000 - 500 000 руб. для организаций и ИП.С 30.05.2025 вводятся новые составы административной ответственности за нарушение требований Закона о персональных данных.Так, штраф за нарушение обязанности уведомить Роскомнадзор о намерении обрабатывать персональные данные составит для коммерческих организаций и ИП от 100 000 - 300 000 руб.За нарушение обязанности уведомить Роскомнадзор об утечке персональных данных - 1 - 3 млн руб.За утечку персональных данных о не менее чем 1 000 физлиц или не менее 10 000 идентификаторов - 3 - 5 млн руб.За утечку данных о не менее чем 10 000 физлиц или не менее 100 000 идентификаторов - 5 - 10 млн руб.За утечку данных о более чем 100 000 физлицах или более 1 млн идентификаторов - 10 - 15 млн руб.За утечку данных спецкатегории - 10 - 15 млн руб.За утечку биометрических данных - 15 - 20 млн руб.
За повторную утечку персональных данных любой категории - 1 - 3% годовой выручки (для банков берется процент от размера собственных средств на дату нарушения). В зависимости от конкретного нарушения (как текущего, так и прошлого) расчетный размер штрафа по общему правилу не может быть меньше 20 млн или 25 млн руб. и не должен превышать 500 млн руб. При наличии ряда условий применяется менее суровая санкция.
При этом к штрафам по всем составам, предусмотренным ст. 13.11 КоАП РФ, не будет применятся 50-процентная скидка при быстрой уплате штрафа.
Разъяснения подготовлены заместителем прокурора города Мариинска Асочаковой Г. Г.
