Обработка персональных данных без согласия субъекта — одно из самых распространённых нарушений в сфере защиты информации․ За последние годы законодательство в этой области существенно ужесточилось: штрафы выросли в несколько раз, а контроль со стороны Роскомнадзора стал заметно активнее․ В этой статье подробно разберём, какая ответственность предусмотрена за работу с персональными данными без согласия, кого могут оштрафовать и как организации защитить себя от санкций․
Что считается обработкой персональных данных без согласия
Согласно Федеральному закону № 152-ФЗ «О персональных данных», под обработкой понимается любое действие с данными: сбор, запись, систематизация, хранение, использование, передача, обезличивание, удаление․ По общему правилу оператор (компания, ИП, госорган) обязан получить согласие субъекта на обработку его персональных данных․
Нарушением считается, в частности:
- сбор и использование данных клиентов, сотрудников или посетителей сайта без их согласия;
- отсутствие письменного согласия в случаях, когда оно обязательно (например, при обработке специальных категорий данных — о здоровье, национальности и т․д․);
- обработка биометрических персональных данных (фото, видео, отпечатки пальцев) с нарушением установленных требований;
- передача данных третьим лицам без согласия субъекта;
- несоблюдение требований к содержанию и форме согласия․
Административная ответственность: статья 13․11 КоАП РФ
Основная норма, регулирующая ответственность в этой сфере,, статья 13․11 Кодекса РФ об административных правонарушениях․ В декабре 2023 года Госдума приняла законопроект № 353266-8, который увеличил штрафы в три и более раза․ Поправки вступили в силу с 23 декабря 2023 года․
Штрафы за обработку данных без письменного согласия (ч․ 2 ст․ 13․11 КоАП РФ)
За обработку персональных данных без письменного согласия субъекта (когда оно обязательно) или с нарушением требований к содержанию этого документа предусмотрены следующие санкции:
- для граждан, от 10 000 до 20 000 рублей;
- для должностных лиц — от 20 000 до 100 000 рублей;
- для юридических лиц — от 300 000 до 700 000 рублей․
Штрафы за нарушения при обработке биометрических данных
Нарушение требований в отношении биометрических персональных данных карается ещё строже:
- для должностных лиц — от 100 000 до 300 000 рублей;
- для юридических лиц — от 500 000 до 1 000 000 рублей․
Другие нарушения по статье 13․11 КоАП РФ
Кроме обработки без согласия, статья 13․11 предусматривает ответственность и за иные нарушения:
- неуведомление Роскомнадзора о начале обработки персональных данных — штраф до 300 000 рублей для организаций;
- невыполнение обязанности по предоставлению субъекту информации об обработке его данных, штраф для граждан от 2 000 до 4 000 рублей, для юридических лиц — значительно выше;
- утечка персональных данных, штрафы могут достигать миллиона рублей и более, а при повторных нарушениях вводятся оборотные штрафы․
Уголовная ответственность
Помимо административных штрафов, за неправомерные действия с персональными данными предусмотрена и уголовная ответственность по статье 137 УК РФ (нарушение неприкосновенности частной жизни) и статье 272–274 УК РФ (неправомерный доступ к компьютерной информации)․ Это актуально при незаконном сборе и распространении сведений о частной жизни, а также при крупных утечках․
Кто контролирует соблюдение закона
Надзор в сфере персональных данных осуществляет Роскомнадзор․ Проверки могут проводиться как планово, так и по жалобам граждан․ Поводом для проверки нередко становятся:
- жалобы клиентов или сотрудников;
- информация об утечках данных;
- анализ сайтов компаний (отсутствие политики конфиденциальности, форм согласия и т․д․)․
Как избежать штрафа: практические рекомендации
- Получайте согласие корректно․ Согласие должно быть конкретным, информированным и сознательным․ В нём указываются цели обработки, перечень данных и сроки действия․
- Оформляйте письменное согласие там, где это требуется законом (специальные категории данных, биометрия, передача третьим лицам)․
- Уведомьте Роскомнадзор о начале обработки персональных данных, если вы обязаны это сделать․
- Разместите на сайте политику обработки персональных данных и добавьте чекбоксы согласия в формы обратной связи․
- Обеспечьте защиту данных — техническую и организационную, чтобы исключить утечки․
- Проведите внутренний аудит документов: приказы, положения, согласия сотрудников и клиентов․
- Обучите персонал правилам работы с персональными данными․
Работа с персональными данными без согласия субъекта, серьёзное нарушение, за которое предусмотрены штрафы до 700 000 рублей для компаний, а при нарушениях с биометрическими данными — до 1 000 000 рублей․ Учитывая тенденцию к ужесточению ответственности и активную позицию Роскомнадзора, каждой организации, работающей с личными данными клиентов и сотрудников, стоит заблаговременно привести свои процессы и документы в соответствие с требованиями закона № 152-ФЗ․ Это позволит избежать не только финансовых потерь, но и репутационных рисков․