Проект закона, вводящего оборотные штрафы для бизнеса за утечки персональных данных пользователей, примут до конца 2024 года, заявил 19 сентября заместитель председателя комитета Госдумы по информполитике, связи и IT Андрей Свинцов. При этом он сообщил, что срок самого вступления в силу закона может быть отложен в зависимости от готовности бизнеса к регулированию.
«Принятие законопроекта в первом чтении послужило сигналом для отрасли, что инициатива будет полностью принята в ближайшем будущем, и пока мы рассчитываем принять его до конца года», — сказал Свинцов. Однако есть риск, что компании, работающие с персональными данными, «начнут нести большие финансовые потери, что отразится на стоимости их продуктов и услуг, и нагрузка ляжет по итогу на потребителя».
С другой стороны, рассказал Свинцов, «мы понимаем, что бизнес будет вынужден выделить сегмент, работающий с персональными данными, в отдельное подразделение с минимальной выручкой, которому оборотные штрафы будут не критичны». До сих пор нет чёткого определения, что в таком случае считать оборотом компании — выручку холдинга, отдельного бренда или непосредственно компании‑оператора данных. В комитете Госдумы по информполитике «Ъ» дополнительно не ответили, в Минцифры обсуждаемые вопросы комментировать не стали.
Законопроект о штрафах за утечки депутаты внесли на рассмотрение в декабре 2023 года, принята текущая версия в первом чтении была в январе. Максимальный штраф для юрлиц, допустивших утечку, составит 0,1–3% выручки за год, но не более 500 млн рублей. На 19 сентября, по данным Роскомнадзора, зарегистрировано более 923 тыс. операторов персональных данных.
Редакция законопроекта, принятая в первом чтении, нуждается в доработке: уточнении состава правонарушения и дополнении смягчающими обстоятельствами, стимулирующими к мерам повышения безопасности, считают в Ассоциации больших данных (АБД, объединяет «Сбер», «Ростелеком», «Яндекс» и другие крупные IT‑компании). «Пока версия проекта стимулирует исключительно к необходимости заложить бюджет на штраф», — считают в АБД.
Скорее всего, в законе будет предусмотрена ответственность группы лиц, что потенциально позволит привлекать к ней все компании, входящие в группу, объясняет юрист Comply Артем Сафьянников. Такой подход уже известен российскому законодательству (например, в конкурентном праве), поэтому, скорее всего, искусственное дробление бизнеса никак не поможет избежать исчисления штрафа в пропорции от выручки всех компаний, входящих в «группу лиц», считает он.