Роскомнадзор при назначении штрафов учитывает не только сам факт нарушения, но и его характер, масштаб, последствия, статус оператора и поведение компании в ходе проверки. Поэтому две организации, допустившие формально одинаковое нарушение, могут получить принципиально разные штрафы.
На практике размер ответственности определяется не «по документу», а по тому, насколько опасным и системным признано нарушение и какие риски оно создало для прав субъектов персональных данных.
Какие факторы влияют на размер штрафа
Размер штрафа за нарушение требований законодательства о персональных данных формируется не по одному параметру, а на основании комплексной оценки ситуации. Ключевые факторы, которые учитываются при определении меры ответственности, следующие.
Вид нарушения требований 152-ФЗ
Разные составы нарушений предусматривают разные диапазоны санкций. Например:
-
отсутствие обязательных документов;
-
незаконный сбор персональных данных;
-
отсутствие уведомления в Роскомнадзор;
-
нарушение порядка хранения и защиты данных;
-
утечка персональных данных
квалифицируются по разным статьям КоАП и имеют различный «вес» при назначении штрафа.
Тяжесть и масштаб нарушения
Оценивается:
-
количество субъектов персональных данных, чьи права затронуты;
-
объём незаконно обработанных данных;
-
длительность нарушения;
-
потенциальный или фактический вред.
Чем больше масштаб и последствия, тем выше размер штрафа.
Количество выявленных нарушений
Если в ходе одной проверки выявлено сразу несколько нарушений (например, отсутствие ОРД, ошибки в уведомлении и нарушения на сайте), штрафы могут:
-
назначаться по нескольким составам;
-
суммироваться;
-
существенно увеличивать общую финансовую нагрузку.
Наличие вреда субъектам персональных данных
Если установлено, что:
-
произошла утечка данных;
-
данные были незаконно переданы третьим лицам;
-
нарушены права граждан,
это почти всегда ведёт к увеличению размера штрафа и усилению ответственности.
Степень вины оператора
При оценке вины учитывается:
-
было ли нарушение допущено по неосторожности или умышленно;
-
предпринимались ли меры по предотвращению нарушения;
-
как оператор действовал после выявления проблемы.
Добросовестное поведение и устранение нарушений могут быть признаны смягчающими обстоятельствами.
Роль повторности и системности нарушений
Повторность и системный характер нарушений являются одними из ключевых факторов, существенно увеличивающих размер штрафа за персональные данные.
Первичное нарушение
Если нарушение выявлено впервые и при этом:
-
отсутствует вред субъектам персональных данных;
-
нарушение не носит грубый характер;
-
оператор сотрудничает с Роскомнадзором и устраняет нарушения,
это может быть признано смягчающим обстоятельством, влияющим на размер штрафа в сторону его минимизации либо ограничения предписанием без санкций.
Повторное нарушение
Повторным считается нарушение, совершённое:
-
в течение установленного законом срока после привлечения к ответственности;
-
по тому же или аналогичному составу.
Повторность почти всегда рассматривается как отягчающее обстоятельство и ведёт к:
-
увеличению размера штрафа;
-
снижению шансов на замену штрафа предупреждением;
-
усилению контроля со стороны Роскомнадзора.
Системные нарушения
Системными считаются нарушения, которые:
-
не являются разовыми;
-
повторяются в различных процессах обработки данных;
-
свидетельствуют об отсутствии выстроенной системы защиты ПДн.
В таких случаях проверяющие исходят из того, что проблема носит не случайный, а организационный характер, что значительно повышает тяжесть ответственности.
Как Роскомнадзор оценивает повторность и системность
При проверках анализируются:
-
предыдущие проверки и предписания;
-
характер устранения ранее выявленных нарушений;
-
изменения (или их отсутствие) в системе обработки ПДн.
Если нарушения формально устранялись, но фактически сохранялись, это практически гарантирует усиление санкций.
Следующий логичный блок — разобрать, как влияет поведение оператора при проверке на размер штрафа.
Как влияет поведение оператора при проверке
Поведение оператора персональных данных в ходе проверки является одним из наиболее недооценённых факторов, влияющих на размер штрафа. При прочих равных именно действия компании во время контроля могут существенно изменить итоговые санкции.
Сотрудничество с Роскомнадзором
Если оператор:
-
своевременно предоставляет запрашиваемые документы;
-
не уклоняется от общения с проверяющими;
-
даёт разъяснения по существу выявленных вопросов,
это рассматривается как добросовестное поведение и может быть учтено как смягчающее обстоятельство при назначении штрафа.
Своевременное устранение нарушений
Когда оператор:
-
устраняет выявленные нарушения в срок, указанный в предписании;
-
подтверждает это документально и фактически;
Роскомнадзор вправе:
-
снизить размер штрафа,
-
либо ограничиться предупреждением,
-
либо не назначать санкции по отдельным составам.
Исполнение предписаний
Неисполнение или формальное исполнение предписаний почти всегда приводит к:
-
увеличению штрафа;
-
применению дополнительных составов ответственности;
-
повышенному вниманию при последующих проверках.
Уклонение и игнорирование требований
К отягчающим обстоятельствам относятся:
-
непредоставление документов;
-
затягивание сроков;
-
предоставление недостоверных сведений;
-
игнорирование требований Роскомнадзора.
Такое поведение практически гарантирует более жёсткие санкции, даже при относительно незначительных исходных нарушениях.
Поведение оператора при проверке может как снизить, так и существенно увеличить размер штрафа — иногда в большей степени, чем само нарушение.
Влияют ли документы и ОРД на размер штрафа
Наличие или отсутствие документов по персональным данным оказывает прямое влияние на размер штрафа, поскольку именно документация служит для Роскомнадзора основным доказательством того, что оператор исполняет свои обязанности по 152-ФЗ.
Отсутствие ОРД как фактор увеличения штрафа
Если у оператора отсутствует организационно-распорядительная документация по персональным данным, это означает, что:
-
не выстроена система обработки ПДн;
-
обязанности не распределены;
-
меры защиты формально не определены.
В такой ситуации любое выявленное нарушение рассматривается как системное, что почти всегда ведёт к увеличению размера штрафа.
Формальный комплект документов не снижает ответственность
Наличие документов само по себе не гарантирует снижения санкций. Если документы:
-
шаблонные;
-
не соответствуют фактическим процессам;
-
не применяются на практике;
для проверяющих они приравниваются к их отсутствию и не учитываются как смягчающее обстоятельство.
Рабочая система документации как смягчающий фактор
Если же у оператора:
-
разработан полноценный комплект ОРД;
-
документы адаптированы под специфику бизнеса;
-
сотрудники ознакомлены и реально исполняют требования;
это рассматривается как подтверждение добросовестности оператора и может:
-
снизить размер штрафа,
-
ограничить ответственность предупреждением,
-
исключить отдельные составы нарушений.
Для выстраивания такой системы разрабатывают организационно-распорядительную документацию по защите персональных данных
Как минимизировать размер штрафа или избежать его
Снижение размера штрафа или полное исключение ответственности возможно только при системной работе с персональными данными до и во время проверки. Формальный подход или попытки «закрыть документы задним числом» почти никогда не дают результата.
Провести предварительный аудит
Первый шаг — выявить реальные риски до проверки, а не в её ходе:
-
определить, какие персональные данные обрабатываются;
-
выявить точки несоответствия требованиям закона;
-
оценить состояние документов и процессов.
Привести процессы обработки ПДн в соответствие требованиям
Важно не просто оформить документы, а:
-
скорректировать фактические процессы;
-
ограничить сбор избыточных данных;
-
обеспечить законные основания обработки;
-
выстроить меры защиты.
Привести сайт и онлайн-сервисы в соответствие
Практика показывает, что большинство штрафов связано именно с сайтом.
Для анализа соответствия требованиям 152-ФЗ проводят аудит сайта на соблюдение законодательства по защите информации
Актуализировать уведомление в Роскомнадзор
Несоответствие уведомления реальной обработке — самостоятельный фактор риска.
Действовать корректно при проверке
Во время проверки необходимо:
-
сотрудничать с Роскомнадзором;
-
устранять нарушения в установленные сроки;
-
документально подтверждать принятые меры.
Такая модель поведения почти всегда снижает тяжесть ответственности.
На практике
На практике размер штрафа за персональные данные практически никогда не является «фиксированным». Он формируется индивидуально и может отличаться в разы при формально схожих нарушениях.
Опыт проверок показывает:
-
формальные документы не уменьшают штрафы;
-
системная работа по персональным данным — да;
-
именно организация обработки ПДн, а не наличие отдельных бумаг, определяет уровень ответственности.
