Как считается оборотный штраф за утечку персональных данных
У маленькой клиники и у федеральной сети штраф за повторную утечку персональных данных может оказаться одинаковым. Оборотная санкция по 152-ФЗ считается в процентах от выручки, но не может быть меньше 20 млн и больше 500 млн рублей. Разбираем на трёх примерах, как посчитать сумму для своей компании и почему штраф грозит не только крупному бизнесу.
У стоматологической клиники с выручкой 40 млн рублей и у федеральной розничной сети с выручкой 25 млрд рублей при повторной утечке персональных данных в постановлении может стоять одна и та же цифра. Оборотный штраф по 152-ФЗ считают в процентах от выручки, но нижнюю границу закон установил одинаковой для всех операторов. Дальше разбираем, как посчитать сумму для конкретной компании и кто реально рискует попасть под этот штраф.
Формула оборотного штрафа
Закон наказывает повторную утечку персональных данных не по фиксированной шкале, а в процентах от годовой выручки оператора. Ставка составляет от 1 до 3% выручки за прошедший календарный год. Для банков базой служит не выручка, а размер собственных средств на дату нарушения.
У ставки есть нижняя и верхняя граница. Меньше 20 млн рублей штраф не бывает, даже если расчёт по проценту даёт меньшую сумму. Утечка биометрических данных и специальных категорий сведений, например о здоровье, судимости или национальности, поднимает нижнюю границу до 25 млн рублей. Больше 500 млн рублей штраф не поднимается независимо от выручки компании.
Как посчитать сумму на трёх примерах
Стоматологическая клиника зарабатывает 40 млн рублей в год. От 1 до 3% выручки дают 400 тысяч рублей и 1,2 млн рублей. Закон всё равно требует не меньше 20 млн рублей, поэтому клиника заплатит именно эту сумму, в пятьдесят раз больше расчётной доли выручки.
Интернет-магазин зарабатывает 800 млн рублей в год. От 1 до 3% выручки дают 8 млн рублей и 24 млн рублей. Часть этого диапазона уже превышает нижнюю границу, поэтому итоговая сумма ляжет в интервале от 20 до 24 млн рублей. Конкретный процент внутри вилки суд выбирает с учётом обстоятельств дела.
Федеральная розничная сеть зарабатывает 25 млрд рублей в год. От 1 до 3% выручки дают 250 млн рублей и 750 млн рублей. Верхний потолок в 500 млн рублей сработает раньше, чем регулятор досчитает до трёх процентов, поэтому больше сеть не заплатит.
Формулу проще проверить на своих цифрах, чем прикидывать на глаз. Ориентир для расчёта под конкретную выручку даёт
.Кого касается оборотный штраф
Норма не делит бизнес на крупный и малый. Под неё попадает любой оператор персональных данных, юрлицо или ИП, у которого случилась вторая утечка любой категории данных, а не только биометрии. Выручка компании влияет только на то, сколько сверх минимума добавят к штрафу. На то, попадёт ли компания под оборотную санкцию вообще, выручка не влияет.
Нижняя планка одинакова для микробизнеса и корпорации. ИП с выручкой в несколько миллионов рублей при повторной утечке заплатит те же 20 млн рублей, что и компания с оборотом в сотни миллионов. Для небольшого бизнеса это на практике означает закрытие.
Что считается второй утечкой
Повторным нарушение признаётся, если компанию уже наказывали за утечку персональных данных и второй случай произошёл в течение года с даты первого постановления. Это общее правило статьи 4.6 КоАП РФ о повторности, а не специальная норма 152-ФЗ.
Первая утечка тоже стоит дорого, просто по фиксированной шкале. Утечка данных от 1 до 10 тысяч субъектов или от 10 до 100 тысяч обезличенных идентификаторов обходится в 3-5 млн рублей. Утечка от 10 до 100 тысяч субъектов стоит 5-10 млн рублей. Если пострадали больше 100 тысяч человек, штраф достигает 10-15 млн рублей. Именно второй случай любого масштаба запускает расчёт от выручки.
Как заплатить меньше
Закон называет два условия для снижения оборотного штрафа. Оператор должен потратить на информационную безопасность не менее 0,5% выручки за последние три года и уведомить Роскомнадзор о факте утечки в течение 24 часов с момента обнаружения. Проверяют оба условия вместе, одних расходов на защиту без своевременного уведомления недостаточно.
Порядок и сроки уведомления закреплены в статье 21 федерального закона от 27.07.2006 № 152-ФЗ. Форму уведомления удобно подготовить заранее, чтобы не искать её в момент инцидента, для этого подходит
Нужно ли уведомлять РКН? — пройти тест
.Что сделать сейчас
Проверьте, была ли у компании утечка персональных данных за последний год. Если да, второй инцидент за этот период автоматически считается повторным и запускает расчёт от выручки.
Соберите документы о расходах на информационную безопасность за три года: договоры, акты, счета. Без бумажного подтверждения довод про 0,5% от выручки суд не примет, даже если деньги реально потрачены.
Назначьте сотрудника, который свяжется с Роскомнадзором при инциденте, и подготовьте форму уведомления заранее. Оценить, готова ли компания к проверке и насколько защищены данные, поможет
Авто-аудит сайта — проверка на нарушения 152-ФЗ
.Частые вопросы
Что считается повторной утечкой персональных данных?
Вторая утечка у того же оператора в течение года после первого постановления о наказании. Правило общее для КоАП РФ, а не специфичное для 152-ФЗ.
Оборотный штраф всегда считают как 1-3% от выручки?
Нет. Итоговая сумма не может быть меньше 20 млн рублей и больше 500 млн рублей, даже если расчёт по проценту даёт другую цифру.
Грозит ли оборотный штраф небольшим компаниям?
Да. Нижняя граница в 20 млн рублей одинакова для ИП с выручкой в несколько миллионов и для корпорации с оборотом в миллиарды.
Как законно снизить сумму оборотного штрафа?
Нужно подтвердить два условия одновременно, расходы на информационную безопасность не менее 0,5% выручки за три года и уведомление Роскомнадзора в течение 24 часов с момента обнаружения утечки.