Во вторник, 16 июля в Минэкономразвития прошло совещание по поводу законопроекта об оборотных штрафах за утечки персональных данных, на котором представители нескольких десятков компаний и организаций, в том числе РЖД, «Аэрофлота», «Автодора», Российского союза туриндустрии, Федерации рестораторов и отельеров, маркетплейсов, энергетических, медицинских и др. компаний раскритиковали текущую версию документа. Об этом рассказал источник РБК, близкий к одному из участников встречи.
Речь идет о поправках в Кодекс об административных нарушениях (КоАП) и Уголовный кодекс, которые в конце 2023 года внесла в Госдуму группа депутатов и сенаторов. Поправки предполагают значительное повышение штрафов за утечки персональных данных — с нынешних 100 тыс. до 15 млн руб., если утечка касалась более 100 тыс. граждан, а также возможность назначать оборотные штрафы за повторное нарушение в размере от 0,1 до 3% выручки, но не менее 15 млн руб. и не более 500 млн руб. За незаконное использование, передачу, сбор персональных данных, полученных неправомерным путем; преступления, связанные с трансграничной передачей персональных данных и т.п. предполагается уголовная ответственность. В январе поправки приняли в первом чтении, дата второго чтения пока не назначена.
По словам собеседника РБК, на совещании в Минэкономразвития:
Представители перечисленных компаний и организаций отказались от официальных комментариев. Но еще несколько источников РБК из компаний, присутствовавших на совещании, подтвердили, что на нем звучали подобные опасения. По словам одного из них, «законопроект в текущей редакции позволяет привлекать к ответственности организации, добросовестно стремящиеся обеспечить защиту персональных данных клиентов, но они могут стать жертвами хакерской атаки или сбоя программного обеспечения, разработанного сторонней компанией». «Предлагаемый размер штрафа может ударить по финансовому положению компании, независимо от ущерба, вызванного утечкой. Кроме того, он не содержит условий, смягчающих ответственность для тех, кто инвестирует в инфраструктуру для защиты персональных данных», — указал этот собеседник РБК. Он рассчитывает, что законопроект будет доработан с учетом перечисленных опасений.
По словам другого собеседника РБК в одной из компаний бытовой техники и электроники, они выступают за солидарную административную ответственность: компании, у которой зафиксирована утечка данных, и компании, оказывающей первой услуги информационной безопасности. «Сейчас привлечение игроков рынка кибербезопасности к гражданско-правовой ответственности за ненадлежащее качество оказанных услуг и взыскание убытков сопряжено с трудностями. Солидарная ответственность будет стимулировать компании соблюдать законодательство, а профессиональных участников рынка кибербезопасности — оказывать услуги на должном уровне», — пояснил он.
Источник РБК в одной из IT-компаний, присутствовавших на совещании, сказал, что закон должен стимулировать бизнес инвестировать в информационную безопасность, а этого можно добиться исполнимыми смягчающими обстоятельствами, например соблюдением мер в области информационной безопасности, отраслевых стандартов и др.
Представитель Минэкономразвития подтвердил факт проведения совещания по законопроекту об увеличении ответственности за утечки персональных данных, отказавшись раскрыть подробности дискуссии.
Замгендиректора Центра стратегических разработок (ЦСР) Екатерина Кваша говорит, что необходимо усиливать контроль за обращением персональных данных и ответственность за их утечку. По ее мнению, в этом «кровно заинтересован и сам бизнес», поскольку клиенты могут отвернуться от компании, которая допустила «слив». «Вместе с тем, важно, чтобы планируемые меры ответственности были соразмерны ущербу и не налагались при правомерном поведении операторов данных. Очевидно, что после выплаты многомиллионного штрафа за одно нарушение многим предприятиям, особенно малым, придется просто закрыться. Также необходимо четко прописать составы правонарушений, чтобы защитить бизнес от умышленных кибератак, в том числе в рамках недобросовестной конкуренции», — указала Кваша. Она также согласна, что следует предусмотреть «адекватный переходный период» для подготовки к новым требованиям, особенно в условиях того, что многие компании сейчас тратят силы и средства на импортозамещение зарубежного софта.
Речь идет о поправках в Кодекс об административных нарушениях (КоАП) и Уголовный кодекс, которые в конце 2023 года внесла в Госдуму группа депутатов и сенаторов. Поправки предполагают значительное повышение штрафов за утечки персональных данных — с нынешних 100 тыс. до 15 млн руб., если утечка касалась более 100 тыс. граждан, а также возможность назначать оборотные штрафы за повторное нарушение в размере от 0,1 до 3% выручки, но не менее 15 млн руб. и не более 500 млн руб. За незаконное использование, передачу, сбор персональных данных, полученных неправомерным путем; преступления, связанные с трансграничной передачей персональных данных и т.п. предполагается уголовная ответственность. В январе поправки приняли в первом чтении, дата второго чтения пока не назначена.
По словам собеседника РБК, на совещании в Минэкономразвития:
Представители перечисленных компаний и организаций отказались от официальных комментариев. Но еще несколько источников РБК из компаний, присутствовавших на совещании, подтвердили, что на нем звучали подобные опасения. По словам одного из них, «законопроект в текущей редакции позволяет привлекать к ответственности организации, добросовестно стремящиеся обеспечить защиту персональных данных клиентов, но они могут стать жертвами хакерской атаки или сбоя программного обеспечения, разработанного сторонней компанией». «Предлагаемый размер штрафа может ударить по финансовому положению компании, независимо от ущерба, вызванного утечкой. Кроме того, он не содержит условий, смягчающих ответственность для тех, кто инвестирует в инфраструктуру для защиты персональных данных», — указал этот собеседник РБК. Он рассчитывает, что законопроект будет доработан с учетом перечисленных опасений.
По словам другого собеседника РБК в одной из компаний бытовой техники и электроники, они выступают за солидарную административную ответственность: компании, у которой зафиксирована утечка данных, и компании, оказывающей первой услуги информационной безопасности. «Сейчас привлечение игроков рынка кибербезопасности к гражданско-правовой ответственности за ненадлежащее качество оказанных услуг и взыскание убытков сопряжено с трудностями. Солидарная ответственность будет стимулировать компании соблюдать законодательство, а профессиональных участников рынка кибербезопасности — оказывать услуги на должном уровне», — пояснил он.
Источник РБК в одной из IT-компаний, присутствовавших на совещании, сказал, что закон должен стимулировать бизнес инвестировать в информационную безопасность, а этого можно добиться исполнимыми смягчающими обстоятельствами, например соблюдением мер в области информационной безопасности, отраслевых стандартов и др.
Представитель Минэкономразвития подтвердил факт проведения совещания по законопроекту об увеличении ответственности за утечки персональных данных, отказавшись раскрыть подробности дискуссии.
Замгендиректора Центра стратегических разработок (ЦСР) Екатерина Кваша говорит, что необходимо усиливать контроль за обращением персональных данных и ответственность за их утечку. По ее мнению, в этом «кровно заинтересован и сам бизнес», поскольку клиенты могут отвернуться от компании, которая допустила «слив». «Вместе с тем, важно, чтобы планируемые меры ответственности были соразмерны ущербу и не налагались при правомерном поведении операторов данных. Очевидно, что после выплаты многомиллионного штрафа за одно нарушение многим предприятиям, особенно малым, придется просто закрыться. Также необходимо четко прописать составы правонарушений, чтобы защитить бизнес от умышленных кибератак, в том числе в рамках недобросовестной конкуренции», — указала Кваша. Она также согласна, что следует предусмотреть «адекватный переходный период» для подготовки к новым требованиям, особенно в условиях того, что многие компании сейчас тратят силы и средства на импортозамещение зарубежного софта.