В современном мире информационная безопасность становится критически важной для организаций, так как нарушение требований к защите данных может привести к финансовым (как это было с АО «Фирма «Агрокомплекс им. Н.И. Ткачева»), репутационным потерям и потере бизнеса или его части в ряде случаев.
Автор - Антон Костомахин – специалист по комплаенс Simplity.
Для компании как «держателя» баз данных, несоблюдение требований ИБ создает предпосылки для утечки информации. Персональные данные, хранящиеся в базе, могут быть обнародованы Интернете и использованы в негативных целях:
- получение финансовой выгоды
- торговля данными
- шантаж
- основа для мошенничества методами социальной инженерии в отношении родственников и близкого круга лиц человека, чьи данные были обнародованы
Кража данных становилась все более острым вопросом с 2021 года, что отражает динамика поисковых запросов. В ответ на этот вызов в 2024–2025 годах регуляторы значительно ужесточена ответственность за утечки персональных данных. Эти изменения направлены на усиление защиты информации граждан и стимулирование организаций к более ответственному обращению с данными.
Основные изменения за утечку данных в 2025 включают
1. Увеличение административных штрафов
- Для граждан: штрафы увеличены до 200–400 тыс. рублей.
- Для должностных лиц: штрафы составляют 400–600 тыс. рублей.
- Для юридических лиц: штрафы возросли до 5–15 млн рублей.
За повторные нарушения для юридических лиц предусмотрены оборотные штрафы до 3% годовой выручки. Примечание, данное нарушение применимо только в том случае, если в течении года после первого штрафа произошла еще одна утечка.
2. Введение уголовной ответственности
С 11 декабря 2024 года вступила в силу статья 272.1 УК РФ, предусматривающая наказание за незаконное использование, передачу, сбор или хранение персональных данных, полученных неправомерным путем.
Максимальное наказание — лишение свободы на срок до 10 лет, если действия повлекли тяжкие последствия или были совершены организованной группой.
3. Обязанность уведомления об утечках
Организации обязаны своевременно уведомлять Роскомнадзор о намерении обрабатывать персональные данные и о случаях утечек. Нарушение этих требований влечет штрафы:
- Для должностных лиц: 30–50 тыс. рублей за неуведомление о начале обработки данных; 400–800 тыс. рублей за неуведомление об утечке.
- Для юридических лиц и ИП: 100–300 тыс. рублей за неуведомление о начале обработки; 1–3 млн рублей за неуведомление об утечке.