Современный бизнес построен на работе с данными, в том числе и персональными данными физических лиц. Однако не все одобряют сбор и обработку их информации, поэтому Российская федерация защищает права своих граждан с помощью федерального закона «О персональных данных» (152-ФЗ), Постановлений правительства РФ и Приказов ФСБ и ФСТЭК.

Закон вводит определение «оператора персональных данных», под которое подходит практически любая компания Оператор должен выполнять все требования 152-ФЗ:

• Направить уведомление в Роскомнадзор о начале обработки персональных данных;
• Обеспечить конфиденциальность персональных данных;
• Принимать меры для обеспечения безопасности персональных данных;
• Соблюдать требования по локализации персональных данных россиян;
• Своевременно прекратить обработку персональных данных по требованию владельца.

Меры по обеспечению безопасности предусматривают 4 уровня защищенности ИСПДн в зависимости от разных категорий персональных данных и их количества (объема):

• Специальных;
• Биометрических;
• Общедоступных;
• Иных.

Для каждого уровня защищенности вводятся требования по обеспечению защиты.

Общая последовательность действий при выполнении требований законодательства по обработке персональных данных, которые мы поможем вам пройти легко и без проблем:

• Направление сведений об Опреаторе и порядке обработки персональных данных в Роскомнадзор (Заполнение уведомления на портале Роскомнадзора);
• Обследование(экспертная оценка процессов обработки персональных данных и техническое обследование информационных систем персональных данных);
• Построение модели угроз безопасности персональных данных;
• Разработка технического задания на создание и внедрение системы защиты персональных данных;
• Проектирование системы защиты персональных данных;
• Разработка необходимой внутренней документации Заказчика по вопросам обработки персональных данных (приказы, положения, политики, регламенты, согласия и пр.);
• Реализация и внедрение необходимых мер и средств защиты персональных данных;
• Оценка эффективности принятых мер защиты персональных данных;
• Аттестация по требованиям безопасности информации (при необходимости, обязательно для государственных информационных систем, внесенных в реестр государственных информационных систем).

Ответственность оператора ИСПДн:

Нарушение правил эксплуатации средств хранения, обработки или передачи компьютерной информации и информационно-телекоммуникационных сетей, причинившее крупный ущерб.

Ст. 13.12 п. 6 КоАП: до 100 000 рублей административный штраф

Нарушение требований о защите информации, установленных федеральными законами и принятыми в соответствии с ними иными нормативными правовыми актами Российской Федерации

Статья 137 УК РФ: до 200 000 рублей штраф, принудительные работы или лишение свободы до 2 лет

Незаконное собирание или распространение сведений о частной жизни лица без его согласия

Статья 137 УК РФ: до 300 000 рублей штраф, принудительные работы или лишение свободы до 4 лет

Те же деяния, с использованием служебного положения

С 30 мая 2025 года действуют следующие обновлённые штрафы за нарушения при работе с персональными данными, согласно закону от 30.11.2024 №420-ФЗ:

Незаконная передача информации о людях при количестве от 1 000 до 10 000 человек:

• для граждан штраф — от 100 000 до 200 000 руб.;
• для должностных лиц госорганов штраф — 200 000–400 000 руб.;
• для компаний и ИП штраф — 3–5 млн руб.

Незаконная передача информации о людях при количестве от 10 000 до 100 000 человек:

• для граждан штраф — от 200 000 до 300 000 руб.;
• для должностных лиц госорганов штраф — 300 000–500 000 руб.;
• для компаний и ИП штраф — 5–10 млн руб.

Незаконная передача информации о людях при количестве более 100 000 человек:

• для граждан штраф — от 300 000 до 400 000 руб.;
• для должностных лиц госорганов штраф — 400 000–600 000 руб.;
• для компаний и ИП штраф — 10–15 млн руб.

Неправомерное распространение персональных данных спецкатегорий:

• для должностных лиц госорганов штраф — 1–1,3 млн руб.;
• для компаний и ИП штраф — 10–15 млн руб.

Отсутствие уведомления в Роскомнадзоре:

• для граждан штраф — 5 000–10 000 руб.;
• для должностных лиц штраф — 30 000–50 000 руб.;
• для компаний и ИП штраф — 100 000–300 000 руб.

Несообщение ведомству об утечке, которая нарушила права физлиц:

• для граждан штраф — 50 000–100 000 руб.;
• для должностных лиц штраф — 400 000–800 000 руб.;
• для компаний и ИП штраф — 1–3 млн руб.

Передача биометрических персональных данных:

• для граждан штраф — 400 000–500 000 руб.;
• для должностных лиц штраф — 1,3–1,5 млн руб.;
• для компаний и ИП штраф — 15–20 млн руб.

Повторная утечка персональных данных любой категории

1–3% годовой выручки (для банков берётся процент от размера собственных средств на дату нарушения).

Узнайте какие меры необходимо предпринять вашей компании.