Когда возникает задача
Задача появляется в трёх типичных ситуациях: регулятор (Роскомнадзор) начал проверку, контрагент или клиент предъявил претензию о незаконной обработке его данных, либо произошла утечка. В каждом случае у юриста есть ограниченное время для квалификации нарушения, оценки рисков и выработки позиции. Ошибка на этом этапе — неверно определить субъектный состав или вид нарушения — умножает санкции.
Дополнительный триггер — плановые и внеплановые проверки. Роскомнадзор вправе проводить их как самостоятельно, так и совместно с иными ведомствами. Если компания работает с биометрией, медицинскими сведениями или данными детей, риск внимания регулятора повышен кратно.
Правовая и организационная рамка
Основа — Федеральный закон № 152-ФЗ «О персональных данных». Актуальную редакцию необходимо проверять: закон неоднократно менялся, в том числе в части трансграничной передачи, уведомления об утечках и требований к локализации.
Параллельно действуют:
- КоАП РФ — административная ответственность операторов (глава 13, статьи, касающиеся обработки персональных данных; конкретные составы и санкции уточняйте в актуальной редакции КоАП);
- УК РФ — уголовная ответственность физических лиц при наличии умысла, в том числе за неправомерный доступ к охраняемой информации (ст. 272 УК) и незаконный оборот специальных технических средств (ст. 138.1 УК);
- ГК РФ — возмещение убытков и компенсация морального вреда субъекту данных;
- отраслевые регуляторы: ФНС, ЦБ, Минздрав устанавливают дополнительные требования к обработке данных в своих сферах.
Организационная рамка включает также внутренние документы оператора: политику обработки персональных данных, согласия, регламенты, договоры с обработчиками. Их отсутствие или формальное наличие — самостоятельное основание для санкций.
Пошаговый алгоритм
Шаг 1. Квалификация ситуации
Определите, что произошло: нарушение порядка обработки (например, отсутствие согласия, несоответствие целей), нарушение при хранении или передаче, утечка с внешним или внутренним нарушителем. От этого зависит применимый состав и ведомство, которое будет рассматривать дело.
Шаг 2. Фиксация и сохранение доказательств
- Сохраните логи систем, переписку, скриншоты с датой и временем.
- Подготовьте внутренний акт о выявленном инциденте.
- Обеспечьте неизменность зафиксированных данных — при необходимости привлеките нотариуса или технического специалиста для осмотра.
Уничтожение или изменение доказательств после начала проверки переводит ситуацию в качественно иную плоскость.
Шаг 3. Уведомление регулятора об утечке
Если произошла утечка персональных данных, 152-ФЗ обязывает оператора уведомить Роскомнадзор в установленные сроки (конкретные сроки и форму уведомления проверяйте в актуальной редакции закона и подзаконных актах). Несоблюдение срока — самостоятельный состав нарушения.
- Уведомление направляется через портал Роскомнадзора.
- Параллельно направьте уведомление субъектам данных, если это предусмотрено законом для данного случая.
- Зафиксируйте факт и дату отправки уведомления.
Шаг 4. Оценка административных рисков
По каждому выявленному нарушению:
- определите применимый состав КоАП;
- установите субъект ответственности (оператор — юридическое лицо, должностное лицо, ИП);
- оцените, является ли нарушение длящимся — это влияет на исчисление срока давности привлечения к ответственности;
- проверьте наличие отягчающих обстоятельств (повторность, масштаб обработки, категория данных).
Санкции по КоАП за нарушения в сфере персональных данных существенно возросли после реформ последних лет. Актуальный размер штрафов проверяйте в действующей редакции КоАП — суммы могут значительно отличаться от тех, что фигурируют в учебных материалах прошлых лет.
Шаг 5. Формирование правовой позиции
- Соберите доказательства наличия согласий, политик, инструктажей сотрудников.
- Подготовьте объяснения о принятых мерах защиты — технических и организационных.
- Зафиксируйте факты устранения нарушения после его выявления: это учитывается при назначении наказания.
- При наличии оснований подготовьте ходатайство о замене штрафа предупреждением (применимо для субъектов МСП при определённых условиях — проверьте актуальные нормы КоАП).
Шаг 6. Взаимодействие с регулятором
- Не уклоняйтесь от контакта: непредставление документов по запросу — отдельное нарушение.
- Контролируйте сроки ответов на запросы Роскомнадзора.
- При проверке обеспечьте участие уполномоченного лица оператора и юриста.
- Ведите реестр переданных документов.
Типичные ошибки
- Смешение оператора и обработчика. Ответственность у них разная. Договор с обработчиком не снимает с оператора обязанностей по 152-ФЗ, но распределяет часть рисков.
- Формальные согласия. Согласие, которое не соответствует требованиям к содержанию (нет конкретных целей, перечня данных, срока), не защитит в споре.
- Игнорирование срока уведомления об утечке. Нарушение срока — это отдельный состав, который добавляется к основному.
- Отсутствие локализации. Хранение данных российских граждан на серверах за рубежом при отсутствии российской копии — системная ошибка, выявляемая при любой проверке.
- Разрыв между документами и практикой. Политика обработки есть, а фактически данные передаются третьим лицам без оснований. Несоответствие документов реальной практике хуже полного отсутствия документов: добавляет состав недостоверного уведомления.
- Недооценка уголовных рисков для физических лиц. Если в утечке участвовал сотрудник с умыслом, уголовная составляющая требует отдельного анализа и иной тактики защиты.
Практический чек-лист
- [ ] Квалифицирован вид нарушения и применимый состав
- [ ] Доказательства зафиксированы и сохранены в неизменном виде
- [ ] Уведомление регулятора об утечке направлено в срок (при наличии основания)
- [ ] Субъекты данных уведомлены (при наличии обязанности)
- [ ] Оценены риски по КоАП, ГК, УК применительно к конкретным лицам
- [ ] Собраны доказательства принятых мер защиты и устранения нарушения
- [ ] Подготовлена позиция для взаимодействия с Роскомнадзором
- [ ] Проверено наличие и содержание договоров с обработчиками
- [ ] Проверено соответствие согласий требованиям 152-ФЗ
- [ ] Проверена локализация данных
LegalTech в задачах персональных данных
Системы управления комплаенсом (GRC-платформы) позволяют вести реестр обработки, отслеживать статус согласий и автоматически формировать уведомления об истечении сроков хранения. Это снижает риск «забытых» нарушений, которые обнаруживаются только при проверке.
Инструменты e-discovery и анализа данных помогают в сжатые сроки установить объём утечки и круг затронутых субъектов — информация, критически необходимая для уведомления регулятора.
При выборе LegalTech-решений обращайте внимание на то, где хранятся данные самого инструмента: использование облачного иностранного сервиса для обработки персональных данных россиян может само по себе создать нарушение.
Вывод
Ответственность за нарушения в сфере персональных данных перестала быть абстрактным риском. Размеры санкций существенны, регуляторная активность повышается, а сами нарушения нередко носят системный характер — то есть одна проверка выявляет сразу несколько составов. Алгоритм работы юриста должен быть отработан заранее: реагировать на утечку или запрос регулятора с нуля в сжатые сроки крайне сложно.
Инвестиция в превентивный аудит и актуализацию документов многократно дешевле защиты по уже возбуждённому делу об административном правонарушении — и тем более по уголовному.
Источники для проверки
- Официальное опубликование правовых актов: https://pravo.gov.ru
- Верховный Суд Российской Федерации: https://vsrf.ru
- Картотека арбитражных дел: https://kad.arbitr.ru
Материал носит информационный характер. Перед применением проверьте актуальную редакцию норм и релевантную судебную практику.