Законопроект об оборотных штрафах за утечки персональных данных планируют принять до конца 2024 года

Проект закона, вводящего оборотные штрафы для бизнеса за утечки персональных данных пользователей, примут до конца 2024 года, заявил 19 сентября заместитель председателя комитета Госдумы по информполитике, связи и IT Андрей Свинцов. При этом он сообщил, что срок самого вступления в силу закона может быть отложен в зависимости от готовности бизнеса к регулированию.

«Принятие законопроекта в первом чтении послужило сигналом для отрасли, что инициатива будет полностью принята в ближайшем будущем, и пока мы рассчитываем принять его до конца года», — сказал Свинцов. Однако есть риск, что компании, работающие с персональными данными, «начнут нести большие финансовые потери, что отразится на стоимости их продуктов и услуг, и нагрузка ляжет по итогу на потребителя».

С другой стороны, рассказал Свинцов, «мы понимаем, что бизнес будет вынужден выделить сегмент, работающий с персональными данными, в отдельное подразделение с минимальной выручкой, которому оборотные штрафы будут не критичны». До сих пор нет чёткого определения, что в таком случае считать оборотом компании — выручку холдинга, отдельного бренда или непосредственно компании‑оператора данных. В комитете Госдумы по информполитике «Ъ» дополнительно не ответили, в Минцифры обсуждаемые вопросы комментировать не стали.

Законопроект о штрафах за утечки депутаты внесли на рассмотрение в декабре 2023 года, принята текущая версия в первом чтении была в январе. Максимальный штраф для юрлиц, допустивших утечку, составит 0,1–3% выручки за год, но не более 500 млн рублей. На 19 сентября, по данным Роскомнадзора, зарегистрировано более 923 тыс. операторов персональных данных.

Редакция законопроекта, принятая в первом чтении, нуждается в доработке: уточнении состава правонарушения и дополнении смягчающими обстоятельствами, стимулирующими к мерам повышения безопасности, считают в Ассоциации больших данных (АБД, объединяет «Сбер», «Ростелеком», «Яндекс» и другие крупные IT‑компании). «Пока версия проекта стимулирует исключительно к необходимости заложить бюджет на штраф», — считают в АБД.

Скорее всего, в законе будет предусмотрена ответственность группы лиц, что потенциально позволит привлекать к ней все компании, входящие в группу, объясняет юрист Comply Артем Сафьянников. Такой подход уже известен российскому законодательству (например, в конкурентном праве), поэтому, скорее всего, искусственное дробление бизнеса никак не поможет избежать исчисления штрафа в пропорции от выручки всех компаний, входящих в «группу лиц», считает он.