В Минэкономразвития прошло совещание по поводу законопроекта об оборотных штрафах за утечки персональных данных, на котором представители нескольких десятков компаний и организаций, в том числе РЖД, «Аэрофлота», «Автодора», Российского союза туриндустрии, Федерации рестораторов и отельеров, маркетплейсов, энергетических, медицинских и других компаний, раскритиковали текущую версию документа. Об этом рассказал источник РБК, близкий к одному из участников встречи.
Речь идёт о поправках в Кодекс об административных правонарушениях (КоАП) и Уголовный кодекс, которые в конце 2023 года внесла в Госдуму группа депутатов и сенаторов. Поправки предполагают значительное повышение штрафов за утечки персональных данных — с нынешних 100 тыс. до 15 млн рублей, если утечка касалась более 100 тыс. граждан, а также возможность назначать оборотные штрафы за повторное нарушение в размере от 0,1 до 3% выручки, но не менее 15 млн рублей и не более 500 млн рублей.
За незаконное использование, передачу, сбор персональных данных, полученных неправомерным путем; преступления, связанные с трансграничной передачей персональных данных, и т.п. предполагается уголовная ответственность. В январе поправки приняли в первом чтении, дата второго чтения пока не назначена.
По словам собеседника РБК, на совещании в Минэкономразвития:
представитель РЖД указал, что компанию объявили непосредственной целью хакеров и в случае принятия законопроекта в текущем виде вектор хакерских атак может сместиться на информационные системы, в которых хранятся персональные данные компании;
в «Аэрофлоте» говорили, что объём штрафов потребует масштабных инвестиций в средства защиты и что полгода отсрочки для вступления в силу — «нереальный срок». Для формирования стратегии реализации новых мер потребуется два‑три года;
представитель «Автодора» заявил, что работа с персональными данными позволяет компании улучшить сервис и безопасность на платных дорогах, но, если законопроект примут в текущем виде, «любой, кто не захочет платить, сможет вовлечь „Автодор“ в историю с многомиллионными штрафами»;
представитель Ассоциации цифровой энергетики указывал, что выполнение новых требований по обеспечению информационной безопасности приведёт к существенным затратам, которые лягут на плечи потребителей в виде роста тарифов;
в ГК «Европейский медицинский центр» заявили, что принятие законопроекта может привести к возврату к использованию бумажного документооборота, а также прекратить ряд цифровых проектов, в том числе тестирование телемедицинских технологий;
в Российском союзе туриндустрии говорили, что объектами нового регулирования станут туроператоры, подключённые к оформлению электронной путёвки, в Федерации рестораторов и отельеров России — что оборотные штрафы будут не под силу средним российским гостиницам, которые относятся к среднему и малому бизнесу;
представители маркетплейсов высказывали опасения, что средний и крупный бизнес будет пытаться подстроиться под новые нормы, но это может не повысить уровень информационной безопасности. Из‑за того, что инвестиции в информационную безопасность не будут считаться смягчающим обстоятельством, некоторым компаниям будет легче отдать деньги вымогателям, чем заплатить оборотные штрафы.
Представители перечисленных компаний и организаций отказались от официальных комментариев. Но ещё несколько источников РБК из компаний, присутствовавших на совещании, подтвердили, что на нём звучали подобные опасения. По словам одного из них, «законопроект в текущей редакции позволяет привлекать к ответственности организации, добросовестно стремящиеся обеспечить защиту персональных данных клиентов, но они могут стать жертвами хакерской атаки или сбоя программного обеспечения, разработанного сторонней компанией».
«Предлагаемый размер штрафа может ударить по финансовому положению компании, независимо от ущерба, вызванного утечкой. Кроме того, он не содержит условий, смягчающих ответственность для тех, кто инвестирует в инфраструктуру для защиты персональных данных», — указал этот собеседник РБК. Он рассчитывает, что законопроект доработают учётом перечисленных опасений.
По словам другого собеседника РБК в одной из компаний бытовой техники и электроники, они выступают за солидарную административную ответственность: компании, у которой зафиксирована утечка данных, и компании, оказывающей первой услуги информационной безопасности.
«Сейчас привлечение игроков рынка кибербезопасности к гражданско‑правовой ответственности за ненадлежащее качество оказанных услуг и взыскание убытков сопряжено с трудностями. Солидарная ответственность будет стимулировать компании соблюдать законодательство, а профессиональных участников рынка кибербезопасности — оказывать услуги на должном уровне», — пояснил он.
Источник в одной из IT-компаний, присутствовавших на совещании, сказал, что закон должен стимулировать бизнес инвестировать в информационную безопасность, а этого можно добиться исполнимыми смягчающими обстоятельствами, например соблюдением мер в области информационной безопасности, отраслевых стандартов и др.
Представитель Минэкономразвития подтвердил факт проведения совещания по законопроекту об увеличении ответственности за утечки персональных данных, отказавшись раскрыть подробности дискуссии.
