Правительственная комиссия поддержала добавление положения о компенсациях в законопроект об утечках данных

Правительственная комиссия по законодательной деятельности поддержала предложение Министерства цифрового развития включить в законопроект об оборотных штрафах за утечки персональных данных положение о выплате компенсации пострадавшим. За счёт выплат компенсаций компании смогут снизить размер штрафа.

Законопроект об оборотных штрафах за утечки персональных данных на оценку правительства направили члены партии «Единая Россия»: сенаторы Совфеда Андрей Турчак и Ирина Рукавишникова, а также депутат Госдумы Александр Хинштейн. Документ предусматривает штрафы до 3% годовой выручки, но не более 500 млн руб.

Минцифры предложило добавить в проект смягчающие факторы, одним из которых стало положение о компенсациях пострадавшим пользователям. Однако в ответ Хинштейн заявил, что такие меры приведут к нарушениям прав потребителей.

Комиссия правительства указала на необходимость уточнения проектируемых административных штрафов «на предмет соразмерности и возможности исполнения такого наказания лицами, привлечёнными к административной ответственности». По словам источника «Ведомостей», в правительстве не обсуждали конкретные изменения штрафов.

Правительственная комиссия также упомянула разделение ответственности в зависимости от характера подвергшихся утечке данных и степени общественного вреда от неё.

В правительстве готовы поддержать проект закона, если документ пройдёт доработку с учётом замечаний. Затем документ направят на обсуждение в Госдуму.

Минцифры представило порядок того, как финансовое возмещение будет признаваться смягчающим обстоятельством:

1. Компания должна уведомить пользователей об утечке, прислав смс или электронное сообщение на номер или адрес, указанные при регистрации. Также регулятор разместит информацию об этом на портале «Госуслуги»;

2. В распоряжении пользователя будет 15 рабочих дней, чтобы подать заявление на «Госуслугах» для возмещения причинённого ущерба;

3. В течение 20 рабочих дней после получения обращения компания должна рассчитать объём денежной выплаты и направить предложение пользователю через «Госуслуги»;

4. Пользователи смогут принять предложение или отказаться от него в течение 20 рабочих дней;

5. Если более 80% обратившихся согласятся с размером компенсации, то компания будет должна выплатить предложенную сумму в течение 5 рабочих дней.

Адвокат и сопредседатель кластера «РАЭК / Privacy & Legal Innovation» Александр Партин усомнился, что государство будет определять размер или механизм расчёта компенсаций. По его мнению, компании, вероятно, будут ориентироваться в этих вопросах на судебную практику, общее число затронутых субъектов, уровень чувствительности скомпрометированных персональных данных и вероятную возможность снизить сумму оборотного штрафа.

Реальные размеры компенсаций, возможно, будут незначительными, считает генеральный директор Института исследований интернета Карен Казарян. Он привёл в пример утечку «Яндекс.Еды», затронувшую почти 7 млн пользователей. Тогда компанию оштрафовали на 132 млн руб., сумма сопоставима с 1% выручки «Яндекса» за 2021 год. Казарян сомневается, что компания направила бы на компенсацию аналогичную штрафу сумму, а даже если бы сделала это, то пострадавшие получили по 19 руб.

Оборотные штрафы в России назначают при урегулировании антимонопольных дел — их размер варьируется от 1% до 15%, объясняет юрист Александра Орехович.

Казарян отмечает, что в мире не применяют практики массовых компенсаций за утечки персональных данных. В РФ, как и в других странах, субъекты таких производств должны доказать реальный ущерб в суде, чтобы получить компенсацию.