Нарушение требований в сфере персональных данных может обернуться сразу несколькими видами ответственности — от административного штрафа до уголовной статьи. При этом отвечать могут как организации, так и их должностные лица и работники. Разбираем основные виды ответственности.

Административная ответственность

Это самый распространённый вид наказания. Штрафы предусмотрены за:

• обработку персональных данных в случаях, не предусмотренных законом;
• обработку в целях, несовместимых с целями сбора;
• обработку без письменного согласия, когда оно обязательно;
• невыполнение обязанностей при взаимодействии с субъектом данных;
• невыполнение требований по защите данных;
• неисполнение обязанностей перед Роскомнадзором;
• нарушение требований к биометрическим данным в ЕБС.

Ключевые размеры штрафов:

• Обработка без письменного согласия — до 700 000 рублей для организации, при повторном нарушении — до 1 500 000 рублей.
• Нарушение правил обработки — до 300 000 рублей для организации, при повторном — до 500 000 рублей.
• Неисполнение обязанностей перед субъектом — до 80 000–90 000 рублей для организации.
• Неопубликование политики обработки — до 60 000 рублей.
• Неуведомление Роскомнадзора о намерении обрабатывать данные — до 300 000 рублей.
• Неуведомление об утечке — до 3 000 000 рублей.
• Утечка данных — от 5 000 000 до 20 000 000 рублей в зависимости от масштаба и категории данных.
• Повторная утечка — оборотный штраф от 1 до 3% выручки, но не менее 20–25 млн рублей и не более 500 млн рублей.

Важные нюансы:

Если выявлено несколько нарушений по одной статье — наказывают как за одно. Если по разным статьям — назначают наиболее строгое наказание. Одновременно могут привлечь и организацию, и должностное лицо. Но если наказали работника — организацию уже не привлекут. Освободиться от ответственности может та организация, которая приняла все предусмотренные законом меры для соблюдения правил.

Для малых предприятий и СОНКО предусмотрены пониженные размеры штрафов.

Гражданско-правовая ответственность

Оператор обязан возместить:

• моральный вред — независимо от возмещения имущественного вреда;
• убытки — при наличии вреда, противоправного поведения, вины и причинной связи.

Вина оператора презюмируется — её отсутствие доказывает сам оператор. Пострадавшему возмещает вред организация, а не её работники, допустившие нарушение.

Ответственность работодателя и работника

Работодатель перед работником несёт материальную ответственность, если по его вине причинён ущерб или моральный вред — например, не обеспечена защита данных. Возмещение — в полном объёме.

Работник перед работодателем может быть привлечён к:

• дисциплинарной ответственности — вплоть до увольнения за разглашение персональных данных, ставших известными в связи с исполнением обязанностей;
• материальной ответственности — в пределах прямого действительного ущерба, включая суммы, выплаченные пострадавшим по вине работника.

Для привлечения к дисциплинарной ответственности обязательна процедура: затребование объяснения, составление акта, приказ, ознакомление. Для материальной — проверка размера ущерба и причин его возникновения.

Уголовная ответственность

Предусмотрена за:

• незаконные использование, передачу, сбор или хранение компьютерной информации с персональными данными;
• создание и обеспечение функционирования ресурсов для незаконного хранения или распространения такой информации.

Не распространяется на обработку данных исключительно для личных и семейных нужд. К уголовной ответственности привлекают только физическое лицо — организация при этом не освобождается от административной.

Также уголовная ответственность предусмотрена за неправомерный отказ должностного лица предоставить гражданину документы, затрагивающие его права и свободы.

Ответственность при передаче данных третьим лицам

Здесь всё зависит от того, поручал ли оператор обработку данных третьему лицу.

Если поручения не было и оператор нарушил правила передачи — он отвечает за разглашение по общим правилам.

Если оператор правил не нарушал, а нарушило третье лицо — оператор не отвечает за его действия.

Если оператор поручил обработку и нарушил правила передачи — отвечает за разглашение, включая отсутствие согласия субъекта и обязательных сведений в поручении.

Если оператор поручил обработку, но нарушило третье лицо — оператор несёт гражданско-правовую ответственность перед субъектом за действия этого лица.

За действия своих работников, которым переданы данные для исполнения обязанностей, гражданско-правовую ответственность несёт оператор.