Как в 2023 году предлагали учитывать сертификат защиты и несообщение об утечке?
На вебинаре РКН обсуждалась будущая модель оценки ответственности. Размеры штрафов и окончательное нормативное оформление на дату источника не установлены.
Короткий ответ
Добровольную сертификацию предполагалось учитывать в пользу оператора, а несообщение об утечке – против него. Так источник от 1 марта 2023 года передаёт обсуждение на вебинаре Роскомнадзора. На эту дату размеры будущих штрафов ещё обсуждались, а окончательного порядка льготы за сертификат материал не устанавливает.
Смысл первой части предложения в оценке заранее предпринятых мер защиты. Сертификация рассматривалась как смягчающее обстоятельство, а не как разрешение допускать утечки. Даже в такой модели наличие документа само по себе не означало бы отсутствия нарушения или гарантированного освобождения от наказания.
Вторая часть касалась поведения после инцидента. Предлагалось усиливать оценку ответственности, если оператор не уведомил об утечке. Это отличается от вопроса, какие меры защиты были приняты до неё: компания могла иметь сертификат, но ненадлежащим образом отреагировать на обнаруженное раскрытие.
Нужно разделять эту дискуссию и самостоятельные обязанности по реагированию, предусмотренные статьёй 21 Закона № 152-ФЗ. Инициатива о будущей оценке штрафа не заменяет предусмотренный законом порядок действий оператора.
При использовании исторического сообщения нельзя обещать конкретную скидку, процент снижения или замену штрафа предупреждением: таких параметров выбранный источник не подтверждает. Для реального дела необходимо выяснить применимые нормы и основания назначения наказания. А из обсуждения марта 2023 года следует более узкий вывод: предлагалось учитывать и качество предварительной организации защиты, и добросовестность последующего сообщения об утечке. Готовым механизмом расчёта санкции эта позиция не является.
Если нужно применить ответ к Вашей ситуации или документам, Проверить сайт на соответствие 152-ФЗ: юрист проверит вводные и учтёт обстоятельства, которые короткий ответ не охватывает.
Что ещё полезно знать
Частые вопросы по теме
- Какую дату суд учёл при утечке: взлом или публикацию данных?
- Почему микропредприятие получило штраф, хотя само сообщило об утечке?
- Чем предложение штрафовать выручкой за первую утечку отличалось от повторности?
- Почему расходов 0,1% выручки было недостаточно для уверенности в снижении штрафа за утечку?
- Может ли ответственный за обработку данных лично получить штраф за их распространение в Telegram?
