За утечки персональных данных в России ввели штрафы в десятки миллионов

В июне компаниям придется быть более аккуратными и внимательными с персональными данными клиентов. В стране ввели целый ряд поправок к федеральному закону, а вместе с ними — многомиллионные штрафы за утечки и неправильную работу с информацией о людях. Эксперты уверены, что это станет серьезной финансовой нагрузкой для бизнеса. А чем это поможет клиентам — NGS.RU разбирается в этом материале (спойлер: ситуация со спам-звонками может улучшиться). Миллионные штрафы С 30 мая 2025 года вступают в силу масштабные поправки к Федеральному закону № 152-ФЗ «О персональных данных». Изменения серьезно ужесточают ответственность за утечку и незаконную обработку персональных данных. При этом в законе нет четкого перечня, что именно относится к персональным данным. Есть только определение, что это «любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу». А это и ФИО, и пол, и данные рождения, места жительства, образования и т. д. Теперь за утечку данных, которые множество компаний и сервисов получили у клиентов, ввели огромные штрафы. В постановлении много нюансов: например, штраф для части компаний в отдельных ситуациях могут рассчитать исходя из оборота. Могут получиться десятки миллионов рублей за нарушение. «Новые поправки существенно ужесточают административную и уголовную ответственность, что отражает стремление государства усилить защиту персональных данных в условиях роста киберугроз», — пояснила Юлия Казанцева, медицинский адвокат, президент «Корпорации медицинских юристов ШМП». Важный момент, на который стоит обратить внимание людям: закон вводит ответственность за отказ в услугах из-за отказа от сдачи биометрических данных. В последнее время крупные банки начали таким образом оказывать давление на клиентов — за него теперь можно получить штраф до 500 тысяч рублей. Эксперт напомнила, что с декабря 2024 года в стране введена ст. 272.1 УК РФ за незаконный сбор и хранение данных. Наказание — до 6 лет лишения свободы, особенно за нарушения, связанные с данными несовершеннолетних или биометрией. Новые поправки вынудят бизнес тратить больше средств на информационную безопасность и в целом на IT-систему в организации, уверены эксперты. «Компаниям нужно сейчас проводить срочный аудит процессов обработки данных и документации (политики, уведомления, защитные меры). Требования могут вызвать и технические сложности. Например, запрет на использование иностранных сервисов вроде Google Analytics может потребовать значительных ресурсов на перестройку IT-инфраструктуры», — подчеркнула Юлия Казанцева. Все это в итоге приведет к дополнительной финансовой нагрузке на бизнес, и эти расходы будет компенсировать конечный потребитель товаров и услуг. Эксперты ждут рост цен практически на все, так как только по официальным данным Роскомнадзора сейчас в реестре операторов персональных данных больше 900 тысяч организаций. Риски для медиков С 2025 года медицинские учреждения как операторы персональных данных столкнутся с существенными изменениями в работе. Медработники имеют дело со специальными категориями данных: информацией о состоянии здоровья людей, диагнозами, биометрией. И они требуют особой защиты, так как за их утечку или незаконную передачу штрафы еще выше. Ирина Потапова, юрист в сфере медицинского права, подчеркнула, что клиникам придется быть более внимательными при общении с клиентами с помощью мессенджеров. «Например, по WhatsApp нельзя консультировать, назначать лечение, корректировать его, оценивать результаты, — подчеркнула специалист. — Мессенджеры — не защищенные каналы связи, поэтому пересылать специальные категории данных нельзя». Она добавила, что медучреждение может получить штраф 10–15 миллионов рублей в первый раз, а повторные нарушения могут привести к штрафам до 3% годовой выручки или уголовной ответственности. При этом больница по-прежнему может не получать письменное согласие пациента по персональным данных при угрозе его жизни. Специалисты советуют всем компаниям, работающим с персональными данными, инвестировать в системы защиты информации не менее 0,1% выручки — по закону это может снизить штрафы в случае инцидентов. А также обновить формы согласий и локальных актов в соответствии с требованиями Роскомнадзора. Компаниям придется внедрять шифрование, DLP-системы, контроли доступа и проводить регулярные проверки на уязвимости. Куда и как жаловаться на спам-звонки и рассылки За утечку баз будут наказывать всех операторов персональных данных — будь то магазин, клиника или банк. Новые огромные штрафы касаются именно передачи информации, но ужесточили наказание и за незаконную обработку. Также штрафы получат те, кто незаконно пользуется данными. Эксперты считают, что поправки могут уменьшить количество спам-звонков, которые регулярно донимают людей. Если вы устали от звонков с предложениями от банков и компаний, которым давали согласие на рассылки и звонки, то нужно его отозвать. Сделать это можно, по совету Юлии Казанцевой, любым из трех способов: Позвонить на горячую линию.Написать в онлайн-чат или поддержку (например, через мобильное приложение).Отправить письменный отказ по почте или через личный кабинет. Сохраните подтверждение обращения (скриншот, номер заявки). Если звонки продолжаются, то можно подать жалобу в Роскомнадзор (если организация нарушает правила обработки персональных данных) или в ФАС (за навязчивую рекламу). В случае с банками и МФО жалобу стоит подать регулятору — в Банк России. Если звонят незнакомые организации, которым вы не давали согласие на это, то стоит под запись потребовать доказать законность получения ими ваших персональных данных. «Напишите официальный запрос в организацию: „Прошу предоставить информацию о законных основаниях обработки моих персональных данных, включая источник их получения“. И подайте жалобу в Роскомнадзор — за незаконное использование персональных данных (ст. 13.11 КоАП РФ)», — советует адвокат Юлия Казанцева. Она советует обязательно собирать доказательства нарушений и навязчивых звонков. Запишите звонок (сообщите собеседнику: «Разговор записывается»), сохраните СМС или письма (скрины с датой и номером или адресом отправителя), фиксируйте даты и время каждого контакта. Если будет доказано, что персональные данные использовались незаконно, организация может получить штрафы по части 1 или 2 статьи 13.11. «Нарушение законодательства в области персональных данных». За незаконную обработку компании после вступления в силу поправок могут получить штрафы от 150 до 700 тысяч рублей.