Нарушение в сфере персональных данных

Содержание статьи:

Ответственность за нарушение закона о персональных данных

Лицам, нарушившим требования закона о персональных данных, в зависимости от конкретных обстоятельств и серьезности деяния может грозить не только административная и уголовная ответственность, но также гражданско-правовая и даже дисциплинарная (таблица 1). При этом административная ответственность с 1 июля 2017 года ужесточилась – вместо одного состава правонарушения ст. 13.11 КоАП РФ теперь предусматривает семь, а максимальный штраф составляет 75 тыс. руб.

Таблица 1. «Виды ответственности за нарушение закона о персональных данных»

Вид ответственности

Нарушение

Санкция

Норма

Неправомерный отказ в предоставлении гражданину и (или) организации информации, предоставление которой предусмотрено законом, несвоевременное ее предоставление либо предоставление заведомо недостоверной информации

Административный штраф на должностных лиц в размере от 5 тыс. до 10 тыс. руб.

Обработка персональных данных в случаях, не предусмотренных законом, либо обработка, несовместимая с целями сбора персональных данных

Предупреждение или административный штраф:

  • на граждан – от 1 тыс. до 3 тыс. руб.;
  • на должностных лиц – от 5 тыс. до 10 тыс. руб.;
  • на юридических лиц – от 30 тыс. до 50 тыс. руб.

Обработка персональных данных без письменного согласия субъекта, когда это необходимо, либо обработка данных с нарушением требований к составу сведений, включаемых в такое согласие

  • на граждан – от 3 тыс. до 5 тыс. руб.;
  • на должностных лиц – от 10 тыс. до 20 тыс. руб.;
  • на юридических лиц – от 15 тыс. до 75 тыс. руб.

Невыполнение оператором обязанности по опубликованию или обеспечению иным образом неограниченного доступа к политике обработки персональных данных

Предупреждение или административный штраф:

  • на граждан – от 700 до 1 тыс. руб.;
  • на должностных лиц – от 3 тыс. до 6 тыс. руб.;
  • на индивидуальных предпринимателей – от 5 тыс. до 10 тыс. руб.;
  • на юридических лиц – от 15 тыс. до 30 тыс. руб.

Невыполнение оператором обязанности по предоставлению субъекту персональных данных информации, касающейся обработки его персональных данных

Предупреждение или административный штраф:

  • на граждан – от 1 тыс. до 2 тыс. руб.;
  • на должностных лиц – от 4 тыс. до 6 тыс. руб.;
  • на индивидуальных предпринимателей – от 10 тыс. до 15 тыс. руб.;
  • на юридических лиц – от 20 тыс. до 40 тыс. руб.

Невыполнение оператором в установленные сроки требования субъекта персональных данных или его представителя либо Роскомнадзора об уточнении персональных данных, их блокировании или уничтожении (если данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки)

Предупреждение или административный штраф:

  • на граждан – от 1 тыс. до 2 тыс. руб.;
  • на должностных лиц – от 4 тыс. до 10 тыс. руб.;
  • на индивидуальных предпринимателей – от 10 тыс. до 20 тыс. руб.;
  • на юридических лиц – от 25 тыс. до 45 тыс. руб.

Невыполнение оператором при обработке персональных данных без использования средств автоматизации обязанности по соблюдению условий, обеспечивающих их сохранность и исключающих несанкционированный к ним доступ, если это повлекло неправомерный или случайный доступ к данным, их уничтожение, изменение, блокирование, копирование, предоставление, распространение либо иные неправомерные действия в отношении них

  • на граждан – от 700 до 2 тыс. руб.;
  • на должностных лиц – от 4 тыс. до 10 тыс. руб.;
  • на индивидуальных предпринимателей – от 10 тыс. до 20 тыс. руб.;
  • на юридических лиц – от 25 тыс. до 50 тыс. руб.

Невыполнение оператором, являющимся государственным или муниципальным органом, обязанности по обезличиванию персональных данных либо несоблюдение установленных для этого требований или методов

Предупреждение или наложение административного штрафа на должностных лиц в размере от 3 тыс. до 6 тыс. руб.

Непредставление или несвоевременное представление в государственный или иной уполномоченный орган сведений, представление которых предусмотрено законом либо предоставление таких сведений в неполном объеме или в искаженном виде

  • на граждан – от 100 до 300 руб.;
  • на должностных лиц – от 300 до 500 руб.;
  • на юридических лиц – от 3 тыс. до 5 тыс. руб.

Незаконное собирание или распространение сведений о частной жизни лица, составляющих его личную или семейную тайну, без его согласия либо распространение этих сведений в публичном выступлении, публично демонстрирующемся произведении или СМИ

Ш траф до 200 тыс. руб., либо обязательные работы на срок до 360 ч асов , либо исправительны е работы на срок до одного года, либо принудительные работы на срок до двух лет ( с лишением права занимать определенные должности на срок до трех лет или без такового ) , либо арест на срок до четырех месяцев, либо лишение свободы на срок до двух лет ( с лишением права занимать определенные должности на срок до трех лет )

То же деяние, совершенное с использованием служебного положения

Ш траф от 100 тыс. до 300 тыс. руб. , либо лишение права занимать определенные должности на срок от двух до пяти лет, либо принудительные работы на срок до четырех лет ( с лишением права занимать определенные должности на срок до пяти лет или без такового ) , либо арест на срок до шести месяцев, либо лишение свободы на срок до четырех лет ( с лишением права занимать определенные должности на срок до пяти лет )

Незаконное публичное распространение информации, указывающей на личность лица, не достигшего 16 лет, по уголовному делу, либо информации, содержащей описание полученных им в связи с преступлением физических или нравственных страданий

Ш траф от 100 тыс. до 300 тыс. руб., либо лишение права занимать определенные должности на срок от трех до пяти лет, либо принудительны е работ ы на срок до пяти лет ( с лишением права занимать определенные должности на срок до шести лет или без такового ), либо арест на срок до шести месяцев, либо лишение свободы на срок до пяти лет ( с лишением права занимать определенные должности на срок до шести лет )

Неправомерный отказ должностного лица в предоставлении документов и материалов, непосредственно затрагивающих права и свободы гражданина, либо предоставление ему неполной или заведомо ложной информации, если это причинило вред правам и законным интересам граждан

Ш траф до 200 тыс. руб., либо лишение права занимать определенные должности на срок от двух до пяти лет

Неправомерный доступ к охраняемой законом компьютерной информации, если это повлекло ее уничтожение, блокирование, модификацию либо копирование

Ш траф до 200 тыс. руб. , либо исправительные работы на срок до одного года, либо ограничение свободы на срок до двух лет, либо принудительны е работ ы на срок до двух лет, либо лишение свободы на тот же срок

Причинение лицу убытков в результате нарушения правил обработки его персональных данных.

Под убытками при этом понимаются:

  • расходы, которые лицо произвело или должно будет произвести для восстановления нарушенного права;
  • утрата или повреждение его имущества;
  • неполученные доходы, которые лицо получило бы, не будь его право нарушено.

Причинение гражданину морального вреда (нравственных страданий) вследствие нарушения правил обработки персональных данных

Компенсация морального вреда (независимо от возмещения имущественного вреда и понесенных субъектом убытков)

Разглашение одним работником персональных данных другого, если они стали известны ему в связи с исполнением трудовых обязанностей

Иные нарушения в области персональных данных при их обработке

Штрафы за нарушения в закона о защите персональных данных: как защитить себя с 1 июля?

Непросто соблюсти простые правила, если они бессмысленны

Государственная служба по вопросам защиты персональных данных (ГСЗПД) получает с 1 июля 2012 года законодательное подкрепление своим полномочиям в виде весьма значительных административных штрафов. Насколько значительными являются эти санкции можно понять из простого сравнения. За невыполнение законных требований должностного лица налоговой службы полагается штраф в размере от 85 до 170 гривен (статья 1633 КоАП). Уклонение должностного лица от выполнения законных требований прокурора может вылиться в штраф от 34 до 85 гривен (статья 1858 КоАП). За невыполнение же законных требований должностного лица ГСЗПД должностному лицу предприятия или гражданину – СПД грозит штраф в размере от 1700 до 3400 гривен (статья 18840 КоАП с 1 июля 2012 года). Справедливости ради стоит отметить, что суровость санкций за невыполнение требований должностных лиц различных органов в КоАП установлены часто в размере, прямо не связанном с действительной значимостью для общества той сферы, в которой имеет место нарушение (другими словами, ГСЗПД не важнее прокуратуры в 40 раз). Скорее наоборот, чем меньше у определенного органа других рычагов воздействия на нарушителя, тем выше может быть административный штраф, применяемый к нему либо к его должностным лицам. Кстати за невыполнение законных требований должностного лица ГСЗПД вводится санкция только в отношении должностного лица и гражданина-СПД. Это весьма резонно, поскольку рядовые граждане вряд ли смогут примерить на себя роль нарушителя тех норм законодательства о защите персональных данных, за нарушения которых установлена административная ответственность. По этой же причине ниже мы рассматриваем административные санкции за прочие нарушения только в отношении должностных лиц и граждан-СПД.

Оставим невыполнение требований ГСЗПД. Основаниями для возможных санкций, не связанных с реакцией на запросы должностных лиц ГСЗПД остаются:

Нарушение

Санкция статьи 18839 КоАП

Как не стать нарушителем?

Неуведомление либо несвоевременное уведомления субъекта персональных данных (физического лица, чьи данные обрабатываются) о его правах в связи с внесением его персональных данных в базу, о цели сбора этих данных и лицах, которым они передаются

штраф в размере 5100 – 6800 гривен (6800 – 11900 гривен при повторном в течение года нарушении)

Уведомление (содержащее информацию о правах субъекта в связи с обработкой, цели сбора данных, лицах, которым будут передаваться данные) должно быть совершено в письменном виде в течение 10 рабочих дней после включения персональных данных в базу. Уведомление можно не осуществлять если персональные данные собираются из общедоступных источников. Минюст под таковыми понимает печатные СМИ, средства телерадиовещания, Интернет-порталы, публичные выступления и прочие источники информации, к которым лица имеют свободный, неограниченный законодательством доступ (разъяснение от 21.12.2011 г. «Некоторые вопросы практического применения Закона Украины «О защите персональных данных». )

Неуведомление либо несвоевременное уведомления ГСЗПД об изменении ведомостей, которые подаются для государственной регистрации базы персональных данных

штраф в размере 3400 – 6800 гривен (6800 – 11900 гривен при повторном в течение года нарушении)

Уведомление осуществляется на протяжении 10 рабочих дней с даты изменений путем направления в ГСЗПД заявления, форма которого утверждена приказом Минюста № 1824/5 от 8 июля 2011 года.

Уклонение от государственной регистрации баз персональных данных

штраф в размере 8500 – 17000 гривен

По мнению представителей ГСЗПД, об уклонении в условиях действующего законодательства может идти речь, в случае если по результатам проверки будет установлено наличие незарегистрированной базы персональных данных, после чего ГСЗПД издаст предписание об устранении нарушения, которое владелец базы неправомерно не удовлетворит. В этом случае возможно составление уполномоченным должностным лицом Службы протокола об административном нарушении, который далее подлежит направлению в местный суд для принятия решения о привлечении к ответственности.

Несоблюдение установленного законодательством о защите персональных данных порядка защиты персональных данных в базе, которое повлекло незаконный доступ к ним

штраф в размере 5100 – 17000 гривен

Некоторые требования к системе защиты персональных данных уже установлены Типовым порядком обработки персональных данных в базах персональных данных, утвержденным приказом Минюста № 3659/5 от 30.12.2012 г.

Для обработки персональных данных в автоматизированной системе установлены требования авторизации и идентификации при допуске к обработке, обеспечение антивирусной защиты и бесперебойного питания элементов системы. Для обработки в картотеках предусмотрено их хранение в помещениях (шкафах, сейфах) под замком либо с контролем доступа. Стоить учесть, что Типовой порядок обязывает создать условия для защиты персональных данных и не указывает, что если приведенные выше минимальные требования выполнены, то порядок защиты считается соблюденным. В случае несанкционированного доступа к персональным данным нарушение может считаться совершенным ввиду самой реализованной возможности несанкционированного доступа

Как можно заметить, соблюсти условия, которые помогут не стать нарушителем, возможно. Пусть даже те, кому эти правила выполнять, в подавляющем большинстве своем не видят в них смысла и ценности. В условиях действия санкций за нарушения законодательства о защите персональных данных остается полагаться на благоразумие ГСЗПД и Министерства юстиции (которое уже несколько раз, пусть не системно, но разъяснило нормы законодательства, держась ближе к здравому смыслу, нежели к формально-логическому толкованию закона). Далее, надеемся, последуют законодательные изменения, направленные на усиление защиты так называемых уязвимых персональных данных, а не открытой информации о гражданах, которой мы обмениваемся ежедневно безо всяких регистраций, уведомлений и зачитывания друг другу прав.

Данные персональные, а ответственность — глобальная

Иногда полезно понизить градус

Нам представляется уместным начать с того, чтобы «понизить градус» и устранить излишний накал страстей, связанных с так называемым введением с 1 июля 2012 года уголовной и административной ответственности за нарушения законодательства в сфере защиты персональных данных.

Начнем с уголовной ответственности. Действительно, с 1 июля 2012 года (если вступление в силу Закона № 3454-VI в очередной раз не будет отсрочено) уголовное наказание за незаконные сбор, хранение, изменение, использование, уничтожение, распространение конфиденциальной информации о лице будет наказываться штрафом от 8500 до 17000 гривен либо исправительными работами до двух лет, либо арестом сроком до шести месяцев, либо же ограничением свободы сроком до трех лет. В случаях если преступление совершено повторно или таковым причинен существенный вред (свыше 100 налоговых социальных льгот, установленных на 1 января года, для 2012 года — это 53650 гривен) правам свободам и интересам лица, наказание может достичь пяти лет лишения свободы.

Однако стоит учесть, что статья 182 «Нарушение неприкосновенности частной жизни» в Уголовном кодексе была и до принятия Закона о защите персональных данных, так что никакой концептуально новой уголовной ответственности с 1 июля не будет.

Полнейший бред и к тому же опасный

(Б. Акунин «Статский советник»)

«Новая» ответственность за незаконный сбор и распространение конфиденциальной информации о лице была введена немногим более года назад, с 10 мая 2011 года, когда вступила в силу новая редакция Закона Украины «Об информации». Напомним, что в отличие от предыдущей редакции этого Закона, новая уже не содержала определения понятия «конфиденциальная информация» как ведомостей, которые находятся во владении, пользовании либо распоряжении отдельных физических или юридических лиц и распространяются по их желанию в соответствии с предусмотренными ими условиями. В связи с этим конфиденциальная информация о лице, даже будучи незаконно разглашенной, то есть более не находящейся во владении и распоряжении отдельных лиц, с 10 мая 2011 года не теряет статус конфиденциальной. В этом кроется существенное изменение, ведь попросту говоря, если раньше написанное мелом на заборе автоматически не могло иметь статус конфиденциальной информации, то теперь может. Сейчас важно не то, находится ли информация во владении ограниченного круга лиц, а то, кого эта информация касается. С учетом Решения Конституционного Суда Украины от 20.01.2012 г. № 2-рп/2012 под информацией о личной и семейной жизни лица следует понимать любые сведения или совокупность сведений о личных имущественных и неимущественных отношениях, о событиях и явлениях, отношениях, связанных с лицом или членами его семьи. Такая информация признается конфиденциальной.

Итак, законодательные изменения мая 2011 года и толкование Конституционным Судом понятия «информации о личной и семейной жизни» в совокупности уже полгода как позволяют усадить на скамью подсудимых любого, кто имеет документальное подтверждение существования других людей.

Непросто соблюсти простые правила, если они бессмысленны

Придя в себя после осознания того, что общество состоит сплошь и рядом из нарушителей неприкосновенности личной жизни и эти нарушители чудом уже полгода избегают уголовной ответственности, можно тут же снова выйти из себя. Зачем? Затем, чтобы быть в себе с 1 июля 2012 года (вернувшись, можно обнаружить там проверяющих), особенно если вы — должностное лицо предприятия или гражданин-СПД.

Государственная служба по вопросам защиты персональных данных (ГСЗПД) получает с 1 июля 2012 года законодательное подкрепление своим полномочиям в виде весьма значительных административных штрафов. Насколько значительными являются эти санкции, можно понять из простого сравнения. За невыполнение законных требований должностного лица налоговой службы полагается штраф в размере от 85 до 170 гривен (статья 163-3 КоАП). Уклонение должностного лица от выполнения законных требований прокурора может вылиться в штраф от 34 до 85 гривен (статья 185-8 КоАП). За невыполнение же законных требований должностного лица ГСЗПД должностному лицу предприятия или гражданину-СПД грозит штраф в размере от 1700 до 3400 гривен (статья 188-40 КоАП с 1 июля 2012 года).

Справедливости ради стоит отметить, что суровость санкций за невыполнение требований должностных лиц различных органов в КоАП установлены часто в размере, прямо не связанном с действительной значимостью для общества той сферы, в которой имеет место нарушение (другими словами, ГСЗПД не важнее прокуратуры в 40 раз). Скорее наоборот, чем меньше у определенного органа других рычагов воздействия на нарушителя, тем выше может быть административный штраф, применяемый к нему либо к его должностным лицам. Кстати, за невыполнение законных требований должностного лица ГСЗПД вводится санкция только в отношении должностного лица и гражданина-СПД. Это весьма резонно, поскольку рядовые граждане вряд ли смогут примерить на себя роль нарушителя тех норм законодательства о защите персональных данных, за нарушения которых установлена административная ответственность. По этой же причине ниже мы рассматриваем административные санкции за прочие нарушения только в отношении должностных лиц и граждан-СПД.

Оставим невыполнение требований ГСЗПД. Основаниями для возможных санкций, не связанных с реакцией на запросы должностных лиц ГСЗПД, остаются:

Санкция статьи 188-39 КоАП

Как не стать нарушителем?

Неуведомление либо несвоевременное уведомления субъекта персональных данных (физического лица, чьи данные обрабатываются) о его правах в связи с внесением его персональных данных в базу, о цели сбора этих данных и лицах, которым они передаются

штраф в размере 5100 — 6800 гривен (6800 — 11900 гривен при повторном в течение года нарушении

Уведомление (содержащее информацию о правах субъекта в связи с обработкой, цели сбора данных, лицах, которым будут передаваться данные) должно быть совершено в письменном виде в течение 10 рабочих дней после включения персональных данных в базу. Уведомление можно не осуществлять, если персональные данные собираются из общедоступных источников. Минюст под таковыми понимает печатные СМИ, средства телерадиовещания, интернет-порталы, публичные выступления и прочие источники информации, к которым лица имеют свободный, неограниченный законодательством доступ

(разъяснение от 21.12.2011 г. «Некоторые вопросы практического применения Закона Украины «О защите персональных данных»).

Неуведомление либо несвоевременное уведомления ГСЗПД об изменении ведомостей, которые подаются для государственной регистрации базы персональных данных

штраф в размере 3400 — 6800 гривен (6800 — 11900 гривен при повторном в течение года нарушении)

Уведомление осуществляется на протяжении 10 рабочих дней с даты изменений путем направления в ГСЗПД заявления, форма которого утверждена приказом Минюста № 1824/5 от 8 июля 2011 года.

Уклонение от государственной регистрации баз персональных данных

штраф в размере 8500 — 17000 гривен

По мнению представителей ГСЗПД, об уклонении в условиях действующего законодательства может идти речь в случае, если по результатам проверки будет установлено наличие незарегистрированной базы персональных данных, после чего ГСЗПД издаст предписание об устранении нарушения, которое владелец базы неправомерно не удовлетворит. В этом случае возможно составление уполномоченным должностным лицом Службы протокола об административном нарушении, который далее подлежит направлению в местный суд для принятия решения о привлечении к ответственности.

Несоблюдение установленного законодательством о защите персональных данных порядка защиты персональных данных в базе, которое повлекло незаконный доступ к ним

штраф в размере 5100 — 17000 гривен

Некоторые требования к системе защиты персональных данных уже установлены Типовым порядком обработки персональных данных в базах персональных данных, утвержденным приказом Минюста № 3659/5 от 30.12.2012 г.

Для обработки персональных данных в автоматизированной системе установлены требования авторизации и идентификации при допуске к обработке, обеспечение антивирусной защиты и бесперебойного питания элементов системы. Для обработки в картотеках предусмотрено их хранение в помещениях (шкафах, сейфах) под замком либо с контролем доступа. Стоить учесть, что Типовой порядок обязывает создать условия для защиты персональных данных и не указывает, что если приведенные выше минимальные требования выполнены, то порядок защиты считается соблюденным. В случае несанкционированного доступа к персональным данным нарушение может считаться совершенным ввиду самой реализованной возможности несанкционированного доступа.

Как можно заметить, соблюсти условия, которые помогут не стать нарушителем, возможно. Пусть даже те, кому эти правила выполнять, в подавляющем большинстве своем не видят в них смысла и ценности. В условиях действия санкций за нарушения законодательства о защите персональных данных остается полагаться на благоразумие ГСЗПД и Министерства юстиции (которое уже несколько раз, пусть не системно, но разъяснило нормы законодательства, держась ближе к здравому смыслу, нежели к формально-логическому толкованию Закона). Далее, надеемся, последуют законодательные изменения, направленные на усиление защиты так называемых уязвимых персональных данных, а не открытой информации о гражданах, которой мы обмениваемся ежедневно безо всяких регистраций, уведомлений и зачитывания друг другу прав.

управляющий партнер «Cai & Lenard Law Firm»

Административная ответственность за нарушение в области персональных данных

Автор: А. Гусев

01.07.2017 вступит в силу Федеральный закон от 07.02.2017 № 13-ФЗ, направленный на повышение эффективности реализации мер административной ответственности в области персональных данных, обеспечение защиты прав субъектов персональных данных. Об этих изменениях рассказал эксперт журнала.

01.07.2017 вступит в силу Федеральный закон от 07.02.2017 № 13-ФЗ «О внесении изменений в Кодекс Российской Федерации об административных правонарушениях» (далее – Федеральный закон № 13-ФЗ), направленный на повышение эффективности реализации мер административной ответственности в области персональных данных, обеспечение защиты прав субъектов персональных данных. Об этих изменениях мы и расскажем в статье.

Что поднимется под персональными данными?

Напомним, что под персональными данными понимается любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных) (ст. 3 Закона о персональных данных[1]).

К персональным данным можно отнести любую информацию, которая получена от работника, или информацию о работнике, которая позволяет идентифицировать именно его.

К такой информации, в частности, можно отнести следующие сведения:

  • ФИО, в том числе прежние;
  • дату и место рождения;
  • гражданство;
  • адрес места жительства (места регистрации);
  • семейное, социальное и имущественное положение;
  • образование, специальность, профессию;
  • номера контактных телефонов;
  • сведения о доходах, имуществе и имущественных обязательствах.

Заметим, что перечень персональных данных, обрабатываемых в учреждении в связи с реализацией служебных или трудовых отношений, а также в связи с оказанием государственных или муниципальных услуг и осуществлением государственных или муниципальных функций, должен быть утвержден приказом органа государственной власти (п. 1 Перечня мер, направленных на обеспечение выполнения обязанностей, предусмотренных Законом о персональных данных, утвержденного Постановлением Правительства РФ от 21.03.2012 № 211). Например, перечень персональных данных, обрабатываемых МВД, утвержден Приказом МВД РФ от 29.12.2016 № 925 «О некоторых вопросах обработки персональных данных в МВД России».

За что предусмотрена ответственность?

В соответствии со ст. 90 ТК РФ лица, виновные в нарушении положений законодательства РФ в области персональных данных при обработке персональных данных работника, привлекаются к дисциплинарной и материальной ответственности в порядке, установленном Трудовым кодексом и иными федеральными законами, а также к гражданско-правовой, административной и уголовной ответственности в порядке, предусмотренном федеральными законами.

Административная ответственность за совершение правонарушения в области персональных данных определена в ст. 13.11 КоАП РФ.

Напомним, что административным правонарушением признается противоправное, виновное действие (бездействие) физического или юридического лица, за которое КоАП РФ установлена административная ответственность (ч. 1 ст. 2.1 КоАП РФ). Юридические лица подлежат административной ответственности за совершение административных правонарушений в случаях, предусмотренных статьями разд. II КоАП РФ или законами субъектов РФ об административных правонарушениях (ч. 1 ст. 2.10 КоАП РФ). Юридическое лицо признается виновным в совершении административного правонарушения, если будет установлено, что у него была возможность соблюдения правил и норм, за нарушение которых КоАП РФ или законами субъекта РФ предусмотрена административная ответственность, но оно не приняло все зависящие от него меры по их соблюдению (ч. 2 ст. 2.1 КоАП РФ).

Согласно ст. 2.4 КоАП РФ административной ответственности подлежит должностное лицо в случае совершения им административного правонарушения в связи с неисполнением либо ненадлежащим исполнением своих служебных обязанностей. Под должностным лицом понимается лицо, постоянно, временно или в соответствии со специальными полномочиями осуществляющее функции представителя власти, то есть наделенное в установленном законом порядке распорядительными полномочиями в отношении лиц, не находящихся в служебной зависимости от него, а равно лицо, выполняющее организационно-распорядительные или административно-хозяйственные функции в государственных органах, органах местного самоуправления, государственных и муниципальных организациях, а также в Вооруженных Силах РФ, других войсках и воинских формированиях РФ.

Необходимо отметить, что до вступления в силу изменений, внесенных в КоАП РФ Федеральным законом № 13-ФЗ, максимальный размер штрафа за нарушение требований законодательства РФ о персональных данных для юридических лиц составлял 10 000 руб. При этом данная редакция ст. 13.11 КоАП РФ не позволяла в полной мере обеспечить эффективную защиту прав и интересов субъектов персональных данных, соблюдение принципа неотвратимости наказания за совершенное правонарушение в области персональных данных. Кроме того, состав данной статьи не учитывал тяжесть негативных последствий совершенных правонарушений.

В целях повышения эффективности реализации мер административной ответственности в области персональных данных Федеральным законом № 13-ФЗ дифференцированы составы административных правонарушений в области персональных данных с учетом ущерба, причиненного нарушением, путем изменения действующей редакции ст. 13.11 КоАП РФ и установлены дополнительные составы административных правонарушений в области персональных данных.

Обработка персональных данных в случаях, не предусмотренных законодательством РФ в области персональных данных, либо их обработка, несовместимая с целями сбора персональных данных.

Согласно ст. 3 Закона о персональных данных под обработкой персональных данных понимается любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая их сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (их распространение, предоставление, доступ к ним), обезличивание, блокирование, удаление и уничтожение.

Заметим, что государственный орган обязан утвердить правила обработки персональных данных, устанавливающие процедуры, направленные на выявление и предотвращение нарушений законодательства РФ в сфере персональных данных, а также определяющие для каждой цели обработки персональных данных содержание обрабатываемых персональных данных, категории субъектов, персональные данные которых обрабатываются, сроки их обработки и хранения, порядок уничтожения при достижении целей обработки или при наступлении иных законных оснований. Так, порядок обработки персональных данных в центральном аппарате Минобороны утвержден Приказом Минобороны РФ от 16.06.2012 № 1500.

На основании ч. 1 ст. 13.11 КоАП РФ (в редакции, вступающей в силу 01.07.2017) обработка персональных данных в случаях, не предусмотренных законодательством РФ в области персональных данных, либо обработка персональных данных, несовместимая с целями их сбора, за исключением случаев, определенных ч. 2 данной статьи, если эти действия не содержат уголовно наказуемого деяния, влечет предупреждение или наложение административного штрафа:

  • на граждан – в размере от 1 000 до 3 000 руб.;
  • на должностных лиц – от 5 000 до 10 000 руб.;
  • на юридических лиц – от 30 000 до 50 000 руб.

Обработка персональных данных без согласия в письменной форме субъекта персональных данных на их обработку.

Статьей 9 Закона о персональных данных предусмотрено, что субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе.

Согласие на обработку персональных данных должно быть конкретным, информированным и сознательным.

Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт получения такого согласия форме, если иное не установлено федеральным законом. В случае получения согласия на обработку персональных данных от представителя субъекта персональных данных полномочия данного представителя на дачу согласия от имени субъекта проверяются оператором.

В соответствии со ст. 7 Закона о персональных данных операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта, если иное не предусмотрено данным законом.

Согласно ч. 8 ст. 9 Закона о персональных данных персональные данные могут быть получены оператором от лица, не являющегося субъектом персональных данных, при условии предоставления оператору подтверждения наличия оснований, указанных в п. 2 – 11 ч. 1 ст. 6, ч. 2 ст. 10 и ч. 2 ст. 11 Закона о персональных данных.

Исходя из ч. 2 ст. 13.11 КоАП РФ (в редакции, которая вступит в силу 01.07.2017) обработка персональных данных без согласия в письменной форме субъекта персональных данных на их обработку в случае, когда такое согласие должно быть получено в соответствии с законодательством РФ в области персональных данных, если эти действия не содержат уголовно наказуемого деяния, либо обработка персональных данных с нарушением установленных законодательством РФ в области персональных данных требований к составу сведений, включаемых в согласие в письменной форме субъекта на обработку его персональных данных, влечет наложение административного штрафа:

  • на граждан – в размере от 3 000 до 5 000 руб.;
  • на должностных лиц – от 10 000 до 20 000 руб.;
  • на юридических лиц – от 15 000 до 75 000 руб.

Невыполнение обязанности по опубликованию или обеспечению иным образом неограниченного доступа к документу, определяющему политику учреждения силовых ведомств в отношении обработки персональных данных, или сведениям о реализуемых требованиях к защите персональных данных.

Напомним, что в силу ст. 3 Закона о персональных данных оператором является государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными. В соответствии с ч. 2 ст. 18.1 Закона о персональных данных оператор обязан опубликовать документ, определяющий его политику в отношении обработки персональных данных, сведения о реализуемых требованиях о защите персональных данных или иным образом обеспечить неограниченный доступ к ним. Оператор, осуществляющий сбор персональных данных с использованием информационно-телекоммуникационных сетей, обязан опубликовать в соответствующей информационно-телекоммуникационной сети документ, определяющий его политику в отношении обработки персональных данных, и сведения о реализуемых требованиях к защите персональных данных, а также обеспечить возможность доступа к указанному документу с использованием средств соответствующей информационно-телекоммуникационной сети.

Невыполнение оператором обязанности по опубликованию документа, определяющего политику оператора в отношении обработки персональных данных, или сведений о реализуемых требованиях к защите персональных данных или обеспечению иным образом неограниченного доступа к ним влечет предупреждение или наложение административного штрафа (ч. 3 ст. 13.11 КоАП РФ (вступает в силу 01.07.2017)):

  • на граждан – в размере от 700 до 1 000 руб.;
  • на должностных лиц – от 3 000 до 6 000 руб.;
  • на юридических лиц – от 15 000 до 30 000 руб.

Невыполнение обязанности по предоставлению субъекту персональных данных информации, касающейся обработки его персональных данных.

Согласно ч. 7 ст. 14 Закона о персональных данных субъект персональных данных имеет право на получение информации, касающейся обработки его персональных данных, в том числе содержащей:

  • подтверждение факта обработки персональных данных оператором;
  • правовые основания и цели обработки персональных данных;
  • цели и применяемые оператором способы обработки персональных данных;
  • наименование и место нахождения оператора, сведения о лицах (за исключением работников оператора), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с оператором или федерального закона;
  • обрабатываемые персональные данные, относящиеся к соответствующему субъекту персональных данных, источник их получения, если иной порядок представления таких данных не предусмотрен федеральным законом;
  • сроки обработки персональных данных, в том числе сроки их хранения;
  • порядок осуществления субъектом персональных данных прав, предусмотренных Законом о персональных данных;
  • информацию об осуществленной или предполагаемой трансграничной передаче данных;
  • наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если их обработка поручена или будет поручена такому лицу;
  • иные сведения.

При этом ч. 8 ст. 14 Закона о персональных данных предусмотрены случаи, когда право субъекта персональных данных на доступ к его персональным данным может быть ограничено.

В соответствии со ст. 20 Закона о персональных данных оператор обязан сообщить в порядке, предусмотренном ст. 14 закона, субъекту персональных данных или его представителю информацию о наличии персональных данных, относящихся к соответствующему субъекту персональных данных, а также предоставить возможность ознакомления с этими персональными данными при обращении субъекта или его представителя либо в течение 30 дней с даты получения запроса субъекта или его представителя.

Невыполнение оператором предусмотренной законодательством РФ в области персональных данных обязанности по предоставлению субъекту персональных данных информации, касающейся обработки его персональных данных, влечет предупреждение или наложение административного штрафа (ч. 4 ст. 13.11 КоАП РФ):

  • на граждан – в размере от 1 000 до 2 000 руб.;
  • на должностных лиц – от 4 000 до 6 000 руб.;
  • на индивидуальных предпринимателей – от 10 000 до 15 000 руб.;
  • на юридических лиц – от 20 000 до 40 000 руб.

Несоблюдение сроков выполнения требований по защите прав субъектов персональных данных об уточнении персональных данных, их блокировании или уничтожении.

Обязанности оператора по устранению нарушений законодательства, допущенных при обработке персональных данных, по уточнению, блокированию и уничтожению персональных данных установлены в ст. 21 Закона о персональных данных. Так, в силу ч. 1 этой статьи в случае выявления неточных персональных данных при обращении субъекта персональных данных или его представителя либо по их запросу или запросу уполномоченного органа по защите прав субъектов персональных данных оператор обязан заблокировать персональные данные, относящиеся к этому субъекту персональных данных, или обеспечить их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) с момента такого обращения или получения указанного запроса на период проверки, если блокирование персональных данных не нарушает права и законные интересы субъекта персональных данных или третьих лиц.При этом в случае подтверждения факта неточности персональных данных оператор на основании сведений, представленных субъектом персональных данных или его представителем либо уполномоченным органом по защите прав субъектов персональных данных, или иных необходимых документов обязан уточнить персональные данные либо обеспечить их уточнение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) в течение семи рабочих дней со дня представления таких сведений и снять блокирование персональных данных.

Невыполнение оператором в сроки, установленные законодательством РФ в области персональных данных, требования субъекта персональных данных или его представителя либо уполномоченного органа по защите прав субъектов персональных данных об уточнении персональных данных, их блокировании или уничтожении в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, приведет к предупреждению или наложению административного штрафа (ч. 5 ст. 13.11 КоАП РФ, которая начнет действовать 01.07.2017):

  • на граждан – в размере от 1 000 до 2 000 руб.;
  • на должностных лиц – от 4 000 до 10 000 руб.;
  • на юридических лиц – от 25 000 до 45 000 руб.

Невыполнение требований о сохранности персональных данных при их обработке без использования средств автоматизации.

Напомним, что особенности обработки персональных данных, осуществляемой без использования средств автоматизации, установлены Положением, утвержденным Постановлением Правительства РФ от 15.09.2008 № 687. В силу п. 13 указанного положения обработка персональных данных, осуществляемая без использования средств автоматизации, должна осуществляться таким образом, чтобы в отношении каждой категории персональных данных можно было определить места хранения персональных данных (материальных носителей) и установить перечень лиц, осуществляющих обработку персональных данных либо имеющих к ним доступ.

Необходимо обеспечивать раздельное хранение персональных данных (материальных носителей), обработка которых осуществляется в различных целях.

При хранении материальных носителей должны соблюдаться условия, обеспечивающие сохранность персональных данных и исключающие несанкционированный доступ к ним. Перечень мер, необходимых для обеспечения таких условий, порядок их принятия, а также перечень лиц, ответственных за реализацию указанных мер, устанавливаются оператором.

В соответствии с ч. 6 ст. 13.11 КоАП РФ (вступает в силу 01.07.2017) невыполнение оператором при обработке персональных данных без использования средств автоматизации обязанности по соблюдению условий, обеспечивающих сохранность персональных данных при хранении материальных носителей персональных данных и исключающих несанкционированный доступ к ним, если это повлекло неправомерный или случайный доступ к персональным данным, их уничтожение, изменение, блокирование, копирование, предоставление, распространение либо иные неправомерные действия в отношении персональных данных, при отсутствии признаков уголовно наказуемого деяния влечет наложение административного штрафа:

  • на граждан – в размере от 700 до 2 000 руб.;
  • на должностных лиц – от 4 000 до 10 000 руб.;
  • на юридических лиц – от 25 000 до 50 000 руб.

Невыполнение государственным органом обязанности по обезличиванию персональных данных либо несоблюдение установленных требований или методов по их обезличиванию. Совершение данного деяния чревато предупреждением или наложением на должностных лиц административного штрафа в размере от 3 000 до 6 000 руб. (ч. 7 ст. 13.11 КоАП РФ, вступает в силу 01.07.2017).

В соответствии со ст. 3 Закона о персональных данных под обезличиванием персональных данных понимаются действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных. При этом обезличивание персональных данных должно обеспечивать не только их защиту от несанкционированного использования, но и возможность их обработки. Для этого обезличенные данные должны обладать свойствами, сохраняющими основные характеристики обезличиваемых персональных данных.

Требования и методы по обезличиванию персональных данных приведены в Приказе Роскомнадзора от 05.09.2013 № 996.

Итак, мы смогли убедиться, что в соответствии с изменениями, внесенными в КоАП РФ Федеральным законом № 13-ФЗ, с 01.07.2017 в целях повышения эффективности реализации мер административной ответственности в области персональных данных дифференцируются составы административных правонарушений в области персональных данных с учетом ущерба, причиненного нарушением, путем изменения действующей редакции ст. 13.11 КоАП РФ и устанавливаются дополнительные составы административных правонарушений в области персональных данных.

[1] Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных».