Почему необходим оборотный штраф за утечки персональных данных?
На прошлой неделе АКИТ (Ассоциация компаний интернет-торговли) попросило отложить вступление в силу законопроекта об оборотных штрафов за утечку. На самом деле все представленные аргументы не выдерживают критики со стороны юриспруденции и здравого смысла. И вот почему.
Предлагаю сначала пройтись по аргументам АКИТ, точнее в их несостоятельности, а затем общий вывод о необходимости оборотного штрафа.
Применять штраф только к тем оператором персданных, кто допустил повторную утечку свыше 1 млн пользователей.
Да, конечно, OZON и WB могут похвастаться миллионами пользователей ежесуточно, однако такое условие в диспозиции штрафа выглядит издевательством по отношению к пользователям. АКИТ согласен только, если будут слиты данные пользователей с сопостовимым населением, например, Воронежа, Перми или Волгограда.
И ещё забыл упомянуть, что это должно быть повторно. Но если у оператора в принципе нет 1 млн пользователей, но есть 990 тысяч, то водораздел между этими 2 цифрами несущественный. Одни получат оборотный штраф, а другие получат 60.000.
В изначальной редакции предлагается оборотный штраф за повторный слив от 1000 перс данных пользователей. Это в гораздо большей степени соответствует духу 152-ФЗ и интересов пользователей, которые безвозмездно предоставляют свои данные, на которых компании косвенно зарабатывают миллиарды рублей.
Я бы законодателю предложил квалифицировать утечку 1 млн и выше как крупный размер с увеличением процента оборотного штрафа, чтобы стимулировать принятие действительных мер безопасности.
Сама утечка должна повлечь нарушения прав пользователей
Факт того, что те данные, которые не являются общедоступными и оказались слитыми, сам по себе свидетельствует о наличии нарушения 152-ФЗ и отдельно прав пользователей. Взять хотя бы самый минимум нарушенных прав — это моральный вред. А именно нравственные страдания. Помимо всего прочего можно дополнительно сюда приплести ст. 23 Конституции РФ на неприкосновенность частной жизни. Почему из-за слива Яндекс.Еды любой желающий может узнать мой номер телефона, а также узнать адрес, где я проживаю или куда чаще всего заказываю роллы?Этих аргументов самих по себе недостаточно для наличия нарушения прав пользователей? По-моему, более чем.
Слитые в сеть данные должны позволить без использования дополнительной информации идентифицировать пользователя
Определение персональных данных звучит так: “любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу”.
Из этого следует логичный вывод, что если информация является персональными данными, значит она в любом случае идентифицирует пользователя.
Иногда стоит консультироваться у грамотных юристов перед тем, как делать какие-либо противоречивые заявления.
Освободить операторов ПД от необходимости сообщать об утечке пользователям, чьи данные утекли.
Предлагается оставить обязанность уведомить Роскомнадзор, но и это АКИТ считает очень трудновыполнимым, поскольку специалисты по работе с персданными “просто не могут предоставить необходимую информацию в такие сроки”.
Точно ли многомиллиардный бизнес не может технически за 24 часа оповестить РКН? А что не так с оповещением пользователей? Хорошо, пусть пользователи будут оповещены не в течении 24 часов, а 72. В чем заключается сложность? Пользователей очень много? Дорого и технически непросто? Однако раз в неделю присылать спам-рассылки с напоминанием что-нибудь приобрести у оператора дешево и очень просто.
Выглядит чрезвычайно цинично и глупо. Даже адекватного аргумента не нашлось, почему невозможно оповестить пользователей.
“Штрафы могут просто уничтожить отечественный бизнес”
Оборотный штраф предлагается на уровне 0.1 - 3% годовой выручки. Перенесём этот аргумент на обычного пользователя.
Согласно данным Росстата на январь 2023 года средняя заработная плата по стране составляла 63 260 рублей (можно найти на сайте Росстата по запросу "заработная плата). Итого в год 759 120.
0.1% от этой суммы составляет колоссальные и разорительные 759.3 рубля.
3% уже более внушительная сумма в 22 777, 8 рублей, что всё равно посильно для обычного гражданина.
Штраф в развитых правопорядках стимулирует участников правоотношений не предпринимать тех действий, которые приведут к нарушению, он не является индульгенцией. К штрафу нужно относится серьезно и превентивно, а не думать о том, сколько раз в год можно заплатить, чтобы не разориться.
Дальнейшие рассуждения об уничтожении бизнеса излишни.
Отдельно в законопроект я бы добавил положение о том, что штраф компенсируется в пользу тех лиц, чьи персональные данные были слиты. А обращение в суд от имени пользователей осуществляет Роскомнадзор, к примеру, и компенсирует свои затраты на ведение суда в пользу бюджета.
Нужны ли стране повышенные и оборотные штрафы?