Изменения с 01.05.2025:

Увеличение действующих и введение новых штрафов

К персональным данным относится информация, по которой можно идентифицировать личность человека: ФИО, телефон, паспортные данные, адрес регистрации, место работы и должность, данные о судимостях, семейное положение, IP-адрес, а также биометрические данные и медицинская информация.

До внесения изменений за нарушения в работе с персданными физлиц штрафовали на суммы от 2 000 ₽ до 6 000 ₽, а компании — от 60 000 ₽ до 100 000 ₽. После внесения поправок суммы штрафов выросли в несколько раз.

Например, если компания просит паспортные данные, хотя для ее целей достаточно ФИО и телефона — это будет нарушением целей использования персональных данных. Оператор не должен собирать лишнюю информацию о пользователях.

Штрафы за сбор и обработку персданных с нарушением целей использования:

для физлиц — от 10 000 ₽ до 15 000 ₽;

для должностных лиц — от 50 000 ₽ до 100 000 ₽;

для организаций — от 150 000 ₽ до 300 000 ₽.

При повторном нарушении штрафы будут еще больше:

для физлиц — 30 000 ₽ ;

для руководителей — 200 000 ₽;

для организаций — 500 000 ₽.

Штрафы предусмотрены и за сбор персданных без письменного согласия владельцев, например, отдел кадров сделал копию свидетельства о рождении ребенка, чтобы выплачивать сотруднице больничный по уходу за ним, но не взял на это ее письменного согласия. Суммы штрафов составят:

для физлиц — до 15 000 ₽;

для руководителей — от 100 000 ₽ до 300 000 ₽;

для организаций — 300 000 ₽ – 700 000 ₽, при повторном нарушении — до 1,5 млн ₽.

Такая же ответственность предусмотрена, если владелец отозвал согласие на обработку своих персональных данных, а компания продолжает их хранить и использовать.

Ответственность за неуведомление Роскомнадзора о работе с чужими персональными данными

С 2006 года ИП и компании, занимающиеся обработкой персданных, обязаны уведомлять об этом Роскомнадзор.Однако за отсутствие уведомлений никакой ответственности не было: оператору могли выписать штраф за непредоставление информации контролирующим органам, который составлял всего 100 ₽ – 300 ₽ для физлиц, и 3 000 ₽ – 5 000 ₽ для организаций.

Новые штрафы за неуведомление Роскомнадзора о начале обработки персональных данных составят:

для физлиц — 5 000 ₽ – 10 000 ₽;

для руководителей — 30 000 ₽ – 50 000 ₽;

для компаний и ИП — 100 000 ₽ – 300 000 ₽.

Уведомление нужно подать до начала обработки данных, это можно сделать на сайте Роскомнадзора, через «Госуслуги» или отправить документы почтой. Например, если компания планирует нанимать сотрудников, она обязана уведомить Роскомнадзор о том, что будет собирать и хранить их данные.

Новые штрафы за неуведомление Роскомнадзора об утечке персданных в течение 24 часов с момента обнаружения составят:

для физлиц — 50 000 ₽ – 100 000 ₽;

для руководителей — 400 000 ₽ – 800 000 ₽;

для компаний и ИП — 1 – 3 млн ₽.

Подать уведомление нужно не только об утечках, но и о неправомерной передаче данных. Например, руководитель узнал, что сотрудник скачал клиентскую базу данных, и есть вероятность, что она попадет к злоумышленникам.

Уголовная ответственность за использование незаконно полученных персональных данных

С ноября 2024 года ввели уголовную ответственность за сбор, хранение и передачу персданных, которые получены незаконно. Например, купленные у преступников базы данных будут считаться полученными противоправным путем. За нарушения предусмотрены штраф 300 000 ₽ – 400 000 ₽, принудительные работы или лишение свободы сроком до четырех лет.

Если нарушения касаются данных несовершеннолетних или биометрии, санкции будут строже: штраф до 700 000 ₽ или лишение свободы на срок до пяти лет.

Максимальное наказание предусмотрено за передачу персональных данных россиян другим государствам: за это грозит штраф до 2 млн ₽ и лишение свободы до восьми лет. Если нарушения совершены группой лиц и повлекли тяжкие последствия, преступников могут посадить на 10 лет.

Уголовная ответственность предусмотрена и за создание интернет-ресурсов для хранения и распространения данных, полученных незаконно. Например, сайтов для продажи украденных баз данных или ресурсов, где выложены слитые фотографии документов. Изменения могут коснуться интернет-форумов, каналов и страниц в соцсетях, если там собирают персданные.

За нарушение предусмотрено лишение свободы на срок до пяти лет.