Минцифры определило размер утечки для назначения оборотных штрафов

Компании получат оборотные штрафы, если допустят утечку информации более 10 000 граждан. В случае, если утечка коснется данных меньшего количества людей, штраф будет фиксированным. Такой вариант обсуждается рабочей группой при Минцифры, которое сейчас разрабатывает законопроект об оборотных штрафах за утечки данных, пишет РБК со ссылкой на данные источника с IT-рынка и источника, близкого к министерству.

О предложении ввести оборотные штрафы за утечку персональных данных Минцифры говорило еще в апреле, после утечки данных сервиса «Яндекс.Еда». Тогда штраф предлагали сделать в размере 1% от оборота и 3% в случае сокрытия утечки. Сейчас максимальный штраф для юрлиц за утечку информации — 500 000 руб.

В июле Минцифры поделилось деталями нового законопроекта, который будет регулировать оборотные штрафы. Например, тогда предполагалось, что штрафы будут применяться в два этапа, а за первую утечку штраф будет точно фиксированным. Но теперь оборотный штраф будет грозить организациям и за первую утечку, если она коснулась данных более 10 000 человек, утверждает один из собеседников издания.

Если компания выявила утечку, призналась в ней, активно проводила расследование и помогала надзорным органам — это все может выступить смягчающими обстоятельствами, которые «позволят снизить штраф вплоть до фиксированного значения в несколько миллионов», объясняет собеседник РБК. Создание фонда для компенсации ущерба прорабатывается с представителями отрасли, добавляет он.

Законопроект находится еще в стадии разработки, его представят к середине сентября, говорит представитель Минцифры. По его словам, главная задача — не оштрафовать компании, а побуждение компаний инвестировать в развитие инфраструктуры информационной безопасности.

10 000 субъектов персональных данных в одной утечке достаточно, чтобы говорить о системных проблемах в защите данных у компании-оператора, поэтому оборотный штраф имеет смысл, говорит основатель DLBI Ашот Оганесян. Но проблема возникнет в доказывании размера утечки, так как базы нередко продаются на черном рынке меньшими кусками, а оператор будет заявлять, что информация утекла в процессе нескольких инцидентов, каждый из которых содержит информацию о менее 10 000 пользователях, объясняет он.

29 августа произошла утечка у курьерской службы СДЭК — вторая за полтора месяца. Она коснулась данных 120 000 пользователей.