Роскомнадзор (РКН) призвал бизнес сообщить о произошедших утечках персональных данных (ПДн), чтобы избежать ответственности в связи с ужесточением норм законодательства, которые вступают в силу с 30 мая 2025 года. Сейчас в случае утечки, согласно действующему законодательству, компании не получают штрафов, в том числе оборотных, за неуведомление РКН.

По словам заместителя руководителя РКН Милоша Вагнера, датой правонарушения, связанного с утечкой ПДн, будет считаться момент, когда было подтверждено раскрытие данных неограниченному кругу лиц. Таким подтверждением может быть, например опубликование базы данных злоумышленниками либо получение уведомления от самой компании, допустившей утечку, пояснил он.

«У компаний до 30 мая есть время, чтобы проинформировать уполномоченные органы о произошедших ранее инцидентах. И тогда, соответственно, к ним будут применяться меры ответственности, предусмотренные действующим сегодня законодательством», — заявил Вагнер.

Он подчеркнул, что после вступления в силу новой редакции КоАП не только сам факт утечки ПДн, но и неуведомление РКН о ней также будет рассматриваться как правонарушение.

На сегодняшний день наказание за утечки ПДн регулируется двумя федеральными законами, принятыми в конце ноября 2024 года. 421-ФЗ предусматривает ответственность за получение ПДн без законных оснований и за неправомерный доступ к ним, а 420-ФЗ ужесточает ответственность за нарушение при обработке и хранении ПДн.

Уголовная ответственность за незаконное использование ПДн действует с 11 декабря 2024 года, а штрафы за допущение утечек данных, нарушение обработки ПДн и отсутствие уведомления РКН о факте утечки будут применяться с 30 мая 2025 года.

Директор Центра научно-технологической политики МГУ им. М.В. Ломоносова Тимофей Воронин считает, что компании не будут активно сообщать о фактах утечки данных, так как эта информация может стать публичной, что может ударить по бренду и имиджу организации.