С 30 мая 2023 года в России вступил в силу новый пакет поправок к Кодексу об административных правонарушениях (КоАП РФ)‚ который значительно ужесточает ответственность за незаконный оборот и распространение личных сведений. Под «личными сведениями» закон понимает любые персональные данные: от номера телефона и адреса электронной почты до СНИЛС‚ ИНН и даже IP-адреса пользователя.

Что именно изменилось

Размеры штрафов выросли многократно

• Для граждан: штрафы выросли с 3 000–5 000 ₽ до 30 000–50 000 ₽ за первое нарушение и до 50 000–100 000 ₽ за повторное.
• Должностные лица: от 50 000 до 150 000 ₽ за первое и от 150 000 до 300 000 ₽ за повторное нарушение.
• Юридические лица: от 100 000 до 15 000 000 ₽ в зависимости от масштаба утечки.

Введены новые составы правонарушений

Теперь к ответственности могут привлечь не только за утечку‚ но и за:

1. Несанкционированный доступ к персональным данным (например‚ сотрудник HR-службы скачал базу клиентов).
2. Несогласованное распространение даже одной записи‚ если она содержит сведения о частной жизни (фото‚ переписка‚ медкарта).
3. Неудаление данных по требованию субъекта в установленный срок (не позднее 10 рабочих дней).

Кого проверяет Роскомнадзор

Любую организацию‚ которая:

• оформляет клиентскую карту в магазине;
• ведёт базу подписчиков email-рассылки;
• хранит резюме соискателей;
• обрабатывает заявки через сайт или мессенджер.

Фактически‚ если у вас есть хотя бы одна анкета или один контакт клиента‚ вы уже считаетесь «оператором персональных данных» и попадаете под контроль.

Что считается распространением

Закон трактует «распространение» очень широко. Это может быть:

• пересылка базы контактов подрядчику без согласия владельцев;
• публикация отзыва клиента с фамилией и фото без разрешения;
• даже создание доступа к закрытому разделу сайта для сторонних пользователей‚ если они могут увидеть чужие данные.

Важно: для квалификации важен сам факт передачи‚ а не наличие вреда. Пострадавший может даже не узнать об утечке‚ но штраф всё равно наложат.

Алгоритм защиты для бизнеса и физлиц

Проверьте юридический статус

Если вы обрабатываете данные не только своих сотрудников‚ но и клиентов‚ подайте уведомление в Роскомнадзор и включите сведения о себе в реестр операторов.

Минимизируйте объём

Храните только то‚ без чего нельзя выполнить задачу. Например‚ при доставке курьеру достаточно адреса и телефона; СНИЛС и паспорт не нужны.

Введите процедуры

• Шифрование баз данных на уровне диска и при передаче по сети (TLS 1.2+).
• Разграничение прав: доступ к базе только у руководителя и одного доверенного сотрудника.
• Контракты с подрядчиками – обязательно включите пункт о нераспространении данных и ответственности за утечку.
• Журнал аудита – ведите логи‚ кто и когда просматривал записи.

Подготовьте документы

1. Политика обработки персональных данных – публикуется на сайте и выдаётся клиенту при первом обращении.
2. Согласие – отдельное или в составе договора; должно быть «информированным‚ конкретным и сознательным».
3. Ответ на запрос субъекта – шаблон письма‚ которое вы отправите в течение 10 дней после требования удалить или предоставить копию данных.

Что делать при проверке Роскомнадзора

Шаг 1. Проверьте документы: убедитесь‚ что политика актуальна‚ согласия храняться‚ журналы ведутся.

Шаг 2. Назначьте ответственное лицо (DPO): даже в микробизнесе должен быть сотрудник‚ который разбирается в вопросе и может общаться с инспектором.

Шаг 3. Если замечены нарушения‚ немедленно устраните их и зафиксируйте мероприятия (скриншоты‚ акты‚ письма). Это снизит штраф или поможет договориться о предупреждении.

Кейс из практики

В июне 2023 года Роскомнадзор оштрафовал небольшую юридическую компанию на 2 млн ₽; Суть: сотрудник HR-службы‚ уволившись‚ оставил на рабочем компьютере файл «Соискатели 2022» с 4 000 резюме. Доступ к папке был открыт для всех пользователей сети. На следующий день данные оказались на торрент-трекере. Компания признала вину‚ но штраф снизили только до 800 000 ₽‚ так как руководство оперативно удалили файлы‚ сменили пароли и обучили персонал.

Новые санкции за распространение личных сведений превращают защиту персональных данных из «желательной процедуры» в обязательное условие ведения бизнеса. Главное — помнить: штрафы крупнее‚ чем затраты на безопасность. Уделите час на аудит своих процессов уже сегодня‚ чтобы избежать многомиллионных потерь уже завтра.