1. Ужесточение ответственности за обработку биометрических персональных данных
Финальная версия законопроекта затронула не только обработку биометрии, но и всех случаи, требующие письменного согласия субъекта. Федеральный закон уже опубликован, но вступает в силу он 23 декабря 2023.
Новые штрафы предусматриваются за:
обработку персональных данных без письменного согласия субъекта или в случае несоответствия такого согласия требованиям Закона №152-ФЗ (ч. 2 ст. 13.11 КоАП РФ):
для граждан – от 10.000 до 15.000 рублей;
для должностных лиц – от 100.000 до 300.000 рублей;
для юридических лиц – от 300.000 до 700.000 рублей.
повторное нарушение, предусмотренное ч. 2.1. ст. 13.11 КоАП РФ:
для граждан – от 15.000 до 30.000 рублей;
для должностных лиц – от 300.000 до 500.000 рублей;
для ИП – от 500.000 до 1.000.000 рублей;
для юридических лиц от 1.000.000 до 1.500.000 рублей.
размещение и обновление банками, МФЦ и иными организациями биометрии в единой биометрической системе (далее - ЕБС) с нарушением положений Закона №572-ФЗ (новая ст. 13.11.3 КоАП РФ):
для должностных лиц – от 100.000 до 300.000 рублей;
для юридических лиц - от 500.000 до одного 1.000.000 рублей.
2. Ужесточение ответственности за утечки персональных данных
Законопроект уже внесен в Госдуму, но будет рассмотрен только на весенней сессии. Минцифры поддержало идею введения обстоятельств, смягчающих ответственность оператора, поэтому вряд ли проект примут в текущей редакции.
Однако увеличение размеров ответственности предполагается не только за утечки, но и за иные нарушения при обработке персональных данных. Например, законопроект содержит отдельные штрафы за не уведомление Роскомнадзора о намерении осуществлять обработку персональных данных.
Поскольку такое уведомление подается по результатам комплаенса процессов обработки персональных данных, то новую норму можно считать еще и общим штрафом за отсутствие комплаенса (если комплаенс не соответствует сведениям в уведомлении).
3. Ужесточение уголовной ответственности за преступления, связанные с обработкой персональных данных
Законопроект внесен в Государственную Думу РФ, его рассмотрение также назначено на весеннюю сессию. Но уже сейчас вызывают вопросы широкие понятия: “неправомерный доступ”, “незаконная передача”.
Абстрактные формулировки создают риски для обработки персональных данных, например, внутри групп компаний, где два сидящих за одним столом сотрудника могут быть формально работниками в разных ООО (обществ с ограниченной ответственностью), между которыми нет формализованных отношений по требованиям Закона №152-ФЗ.
Возможно, нарушение есть, но является ли оно преступлением? Инициатив по корректировкам законопроекта пока не встречалось.
