Закон ввёл оборотные штрафы за повторные утечки персональных данных
Закон № 420-ФЗ усилил ответственность за утечки и неуведомление Роскомнадзора. Основные изменения предусмотрены с 30 мая 2025 года.
Что произошло
30 ноября 2024 года подписан закон № 420-ФЗ об усилении административной ответственности за нарушения при обработке персональных данных. С 30 мая 2025 года предусмотрены оборотные штрафы за определённые повторные утечки и отдельная ответственность за неуведомление Роскомнадзора.
Для повторного нарушения, охватываемого количественными составами утечки, закон установил для компаний от 1% до 3% выручки, с пределами от 20 до 500 миллионов рублей. Специальные категории и биометрические данные имеют отдельные составы: одинаковую нижнюю границу применять ко всем утечкам нельзя.
Что это значит для бизнеса
Санкционный риск зависит от характера данных, масштаба инцидента и предыдущих наказаний. Кроме самой утечки оценивается выполнение обязанности сообщить о ней регулятору; устранение технической причины не заменяет уведомления.
Компаниям нужны совместные действия юридической службы и специалистов по безопасности. Одной формы согласия на обработку недостаточно для контроля доступа, обнаружения инцидента и восстановления последовательности событий.
Как использовать этот вывод
Составьте карту обрабатываемых данных и ответственных за сообщение об инциденте. Проверьте процедуру внутренней эскалации, регистрацию времени обнаружения и сохранение журналов доступа.
Для расчёта риска по конкретному событию установите применимую на его дату редакцию, категорию оператора и состав нарушения. Процент выручки и предел суммы следует определять по соответствующей части статьи, а не по общему названию «утечка».