Президент РФ подписал Федеральный закон от 30.11.2024 № 420-ФЗ, который ужесточил ответственность в сфере персональных данных. Изменения вступают в силу с 30 мая 2025 года.
Изменения штрафов
За обработку персональных данных в случаях, не предусмотренных законодательством, либо обработку персональных данных, несовместимую с целями их сбора (за исключением случаев, предусмотренных ч. 2, 11 – 18 ст. 13.11 КоАП РФ и статьей 17.13 КоАП РФ), установлен штраф (ч. 1 ст. 13.11 КоАП РФ):
- для граждан — в размере от 10 000 до 15 000 руб. (ранее — от 2 000 до 6 000 руб.);
- для должностных лиц и ИП — от 50 000 до 100 000 руб. (ранее — от 10 000 до 20 000 руб.);
- для организаций — от 150 000 до 300 000 руб. (ранее — от 60 000 до 100 000 руб.).
За повторное совершение вышеуказанного административного правонарушения штраф составит (ч. 1.1 ст. 13.11 КоАП РФ):
- для граждан — в размере от 15 000 до 30 000 руб. (ранее — от 4 000 до 12 000 руб.);
- для должностных лиц — от 100 000 до 200 000 руб. (ранее — от 20 000 до 50 000 руб.);
- для организаций и ИП — от 300 000 до 500 000 руб. (ранее для организаций — от 100 000 до 300 000 руб., для ИП — от 50 000 до 100 000 руб.).
Новые нарушения
За невыполнение или несвоевременное выполнение оператором обязанности уведомлять Роскомнадзор о намерении осуществлять обработку персональных данных установлен штраф (ч. 10 ст. 13.11 КоАП РФ):
- для граждан — в размере от 5 000 до 10 000 руб.;
- для должностных лиц государственного или муниципального органа либо некоммерческой организации — от 30 000 до 50 000 руб.;
- для организаций, которые не являются государственным или муниципальным органом или НКО, и ИП — от 100 000 до 300 000 руб.
Если такое нарушение сопровождается неправомерной или случайной передачей персональных данных, повлекшей нарушение прав субъектов таких данных, предусмотрен штраф по ч. 11 ст. 13.11 КоАП РФ:
- для граждан — в размере от 50 000 до 100 000 руб.;
- для должностных лиц государственного или муниципального органа либо НКО — от 400 000 до 800 000 руб.;
- для организаций, которые не являются государственным или муниципальным органом или НКО, и ИП — от 1 млн до 3 млн руб.
В отдельные составы выделены нарушения, которые затрагивают массовую утечку персональных данных.
За действия (бездействие) оператора, которые повлекли неправомерную передачу информации, включающей персональные данные от 1000 до 10 000 субъектов и (или) от 10 000 до 100 000 идентификаторов, предусмотрен штраф по ч. 12 ст. 13.11 КоАП РФ (если эти действия (бездействие) не содержат признаков уголовно наказуемого деяния):
- для граждан — в размере от 100 000 до 200 000 руб.
- для должностных лиц государственного или муниципального органа либо НКО — от 200 000 до 400 000 руб.;
- для организаций, которые не являются государственным или муниципальным органом или НКО, и ИП — от 3 млн до 5 млн руб.
Идентификатор — это уникальное обозначение сведений о физическом лице, содержащееся в информационной системе персональных данных оператора и относящееся к такому лицу.
Если неправомерная передача информации затронула персональные данные от 10 000 до 100 000 субъектов и (или) от 100 000 до 1 млн идентификаторов, то оператору грозит штраф (по ч. 13 ст. 13.11 КоАП РФ):
- для граждан — в размере от 200 000 до 300 000 руб.;
- для должностных лиц государственного или муниципального органа либо НКО — от 300 000 до 500 000 руб.;
- для организаций, которые не являются государственным или муниципальным органом или НКО, и ИП — от 5 млн до 10 млн руб.
За передачу информации, включающей персональные данные более 100 000 субъектов и (или) более 1 млн идентификаторов, оператору грозит штраф (по ч. 14 ст. 13.11 КоАП РФ):
- для граждан — в размере от 300 000 до 400 000 руб.;
- для должностных лиц государственного или муниципального органа либо НКО — от 400 000 до 600 000 руб.;
- для организаций, которые не являются государственным или муниципальным органом или НКО, и ИП — от 10 млн до 15 млн руб.
Отдельно выделяются персональные данные, относящиеся к специальной категории. К ней относится: расовая, национальная принадлежности, политические взгляды, религиозные или философские убеждения, состояние здоровья, интимной жизни, сведения о судимости. За их утечку предусмотрен штраф (ч. 16 ст. 13.11 КоАП РФ):
- для граждан — в размере от 300 000 до 400 000 руб.;
- для должностных лиц государственного или муниципального органа либо НКО — от 1 млн до 1 300 000 руб.;
- для организаций, которые не являются государственным или муниципальным органом или НКО, и ИП — от 10 млн до 15 млн руб.
За неправомерную передачу информации, включающей биометрические персональные данные (за исключением случаев, указанных в ст. 13.11.3 КоАП РФ), предусмотрен штраф (ч. 17 ст. 13.11 КоАП РФ):
- для граждан — в размере от 400 000 до 500 000 руб.;
- для должностных лиц государственного или муниципального органа либо НКО — от 1 300 000 до 1 500 000 руб.;
- для организаций, которые не являются государственным или муниципальным органом или НКО, и ИП — от 15 млн до 20 млн руб.
Ответственность ужесточается, если нарушения были совершены повторно (ч. 15, ч. 18 ст. 13.11 КоАП РФ).
Отягчающие обстоятельства
Установлены отягчающие обстоятельства, которые будут учитываться при назначении административного наказания за предусмотренные ч. 15 и ч. 18 ст. 13.11 КоАП РФ нарушения при обработке персональных данных.
К таким отягчающим обстоятельствам относятся:
- продолжение противоправного поведения, несмотря на требование уполномоченных на то лиц прекратить его (п. 1 ч. 1 ст. 4.3 КоАП РФ);
- в отношении лица, которое совершило правонарушение, ранее было вынесено постановление о привлечении к административной ответственности за указанные нарушения.
При этом наличие отягчающих обстоятельств повлечет привлечение нарушителя к более строгой ответственности.
Другие изменения
Напомним, что 11 декабря 2024 года вступил в силу Федеральный закон от 30.11.2024 №421-ФЗ, который предусматривает уголовную ответственность за нарушение правил передачи и хранения персональных данных. Подробнее об этом мы рассказали в статье Уголовная ответственность за персональные данные — кого затронет и как избежать.
