Справочник «Вайбкодинг в России» · модуль 3 · Персональные данные
Глава 3.5
Защита данных
и утечка
С 30 мая 2025 года штраф за утечку зависит от числа пострадавших и идентификаторов и при повторной утечке считается от годовой выручки. В главе разобраны меры защиты, которые требует закон, порядок действий в первые 24 и 72 часа после утечки и вся шкала штрафов статьи 13.11 КоАП.
- Закон
- 152-ФЗ ст. 19, 21 ч. 3.1 · ПП № 1119 · КоАП РФ ст. 4.1 ч. 3.4-2, 13.11 ч. 11–18 · УК РФ ст. 272.1
- Уровень
- Средний
- Связанные главы
- 1.1 Ответственность · 3.1 ПДн в продукте · 9.1 Брутфорс
- Зачем это знать
- Чтобы утечка не превратилась из инцидента в банкротство
§1Что требует закон
Оператор обязан принимать правовые, организационные и технические меры, чтобы защитить данные от неправомерного доступа, уничтожения, изменения, копирования и распространения (ч. 1 ст. 19). Часть 2 статьи 19 перечисляет, чем это достигается.
152-ФЗ «О персональных данных»ст. 19, ч. 2, выдержкиред. от 26.07.20262. Обеспечение безопасности персональных данных достигается, в частности:
1) определением угроз безопасности персональных данных при их обработке в информационных системах персональных данных;
[…]
5) учетом машинных носителей персональных данных;
6) обнаружением фактов несанкционированного доступа к персональным данным и принятием мер […] по реагированию на компьютерные инциденты в них;
7) восстановлением персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
8) установлением правил доступа к персональным данным […], а также обеспечением регистрации и учета всех действий, совершаемых с персональными данными в информационной системе персональных данных;
9) контролем за принимаемыми мерами […].
Подробные требования установлены постановлением Правительства № 1119 от 01.11.2012 и приказом ФСТЭК № 21 от 18.02.2013. Постановление вводит четыре уровня защищённости: первый — самый строгий, четвёртый — самый мягкий. Уровень зависит от типа угроз, категории данных и числа субъектов. Для SaaS-сервиса с обычными данными (имя, телефон, почта) клиентов и посетителей чаще всего получается третий или четвёртый уровень; для специальных категорий и биометрии — выше.
| Пункт ст. 19 | Что это в SaaS-сервисе |
|---|---|
| Определение угроз | Модель угроз: какие данные где лежат, кто и как может до них добраться |
| Правила доступа | Роли и минимальные права; доступ к базе продакшена — у ограниченного круга; отзыв доступов при увольнении в день увольнения |
| Регистрация действий | Журнал: кто, когда выгрузил или изменил данные; хранение журналов отдельно от базы |
| Обнаружение доступа | Оповещения о массовых выгрузках, подборе паролей, входе с новых адресов (глава 9.1) |
| Восстановление | Резервные копии с проверкой восстановления; копии тоже зашифрованы и тоже в России |
| Учёт носителей | Выгрузки на ноутбуки и флешки запрещены или учтены |
Оператор также взаимодействует с ГосСОПКА — государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак — и информирует её об инцидентах, повлёкших утечку (ч. 12 ст. 19).
§224 и 72 часа после утечки
152-ФЗ «О персональных данных»ст. 21, ч. 3.1ред. от 26.07.20263.1. В случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов персональных данных, оператор обязан с момента выявления такого инцидента оператором, уполномоченным органом по защите прав субъектов персональных данных или иным заинтересованным лицом уведомить уполномоченный орган по защите прав субъектов персональных данных:
1) в течение двадцати четырех часов о произошедшем инциденте, о предполагаемых причинах, повлекших нарушение прав субъектов персональных данных, и предполагаемом вреде, нанесенном правам субъектов персональных данных, о принятых мерах по устранению последствий соответствующего инцидента, а также предоставить сведения о лице, уполномоченном оператором на взаимодействие с уполномоченным органом […];
2) в течение семидесяти двух часов о результатах внутреннего расследования выявленного инцидента, а также предоставить сведения о лицах, действия которых стали причиной выявленного инцидента (при наличии).
Срок идёт с момента, когда об инциденте узнал оператор, Роскомнадзор или иное заинтересованное лицо. Если базу выложили на форуме и об этом написал журналист, отсчёт начался с публикации, даже если оператор узнал позже.
- Зафиксировать время, остановить утечку: закрыть доступ, отозвать ключи, сменить пароли.
- Через форму на pd.rkn.gov.ru: что произошло, предполагаемые причины, вред, принятые меры, контакт ответственного. Параллельно — информирование ГосСОПКА.
- Причина, объём (сколько субъектов и идентификаторов), виновные при наличии.
- Уведомить пострадавших, если есть риск для них, устранить причину, задокументировать меры. Эти документы понадобятся для смягчения штрафа.
§3Шкала штрафов за утечку
Части 12–14 ст. 13.11 устанавливают штраф по объёму утечки. Идентификатор — уникальное обозначение сведений о человеке в системе оператора (глава 3.1). В частях 10–18 ИП отвечает как организация, а строка «должностное лицо» относится только к должностным лицам государственных и муниципальных органов и некоммерческих организаций (примечания 1–2 к ст. 13.11). Коммерческая компания отвечает как юридическое лицо.
Для организации — от 1 до 3 % выручки за предыдущий год, но не менее 20 млн и не более 500 млн ₽.
Для организации — от 1 до 3 % выручки, но не менее 25 млн и не более 500 млн ₽.
Утечка менее чем 1 000 субъектов и 10 000 идентификаторов под части 12–14 не попадает, но остаётся нарушением обязанности по защите и уведомлению: ч. 11 за неуведомление применяется независимо от объёма.
§4Снижение оборотного штрафа
КоАП даёт способ снизить оборотный штраф тем, кто вкладывался в защиту заранее. Условия проверяются вместе.
КоАП РФст. 4.1, ч. 3.4-2ред. от 26.07.20263.4-2. За административные правонарушения, предусмотренные частями 15 и 18 статьи 13.11 настоящего Кодекса, административное наказание в виде административного штрафа назначается в размере одной десятой минимального размера административного штрафа […], но не менее пятнадцати миллионов рублей и не более пятидесяти миллионов рублей в случае выполнения […] одновременно следующих условий:
1) ежегодные расходы оператора в течение трех календарных лет […] на мероприятия по обеспечению информационной безопасности, проведенные организациями, имеющими лицензию […], составляли не менее одной десятой процента годового совокупного размера суммы выручки […];
2) оператор соблюдал требования к защите персональных данных […] при условии документального подтверждения указанного факта, проведенного в течение двенадцати месяцев, предшествующих моменту выявления административного правонарушения;
3) обстоятельства, отягчающие административную ответственность, предусмотренные примечанием 5 к статье 13.11 настоящего Кодекса, отсутствовали.
Для компании с выручкой 2 млрд ₽ это означает: тратить на защиту силами лицензированных организаций не меньше 2 млн ₽ в год в течение трёх лет и ежегодно подтверждать соответствие требованиям документально. По общему правилу повторная утечка обошлась бы в 1–3 % выручки, то есть от 20 до 60 млн ₽. При выполнении условий штраф равен одной десятой минимума: 1/10 от 20 млн ₽ — 2 млн ₽, это ниже нижней границы, поэтому назначат 15 млн ₽. Верхняя граница в 50 млн ₽ применяется к крупным компаниям, у которых 1/10 минимума больше 50 млн ₽.
§5Уголовная ответственность
КоАП наказывает оператора, который не уберёг данные. Уголовный кодекс — тех, кто незаконно получил, хранит, использует или продаёт данные, а также тех, кто создаёт ресурсы для их распространения. Статья 272.1 введена законом от 30.11.2024 № 421-ФЗ.
| Часть ст. 272.1 УК | Что наказывается | Максимум |
|---|---|---|
| ч. 1 | Использование, передача, сбор, хранение компьютерной информации с персональными данными, полученной незаконно | 4 года лишения свободы |
| ч. 2 | То же — данные несовершеннолетних, специальные категории, биометрия | 5 лет |
| ч. 3 | Из корыстной заинтересованности, с крупным ущербом, группой, с использованием служебного положения | 6 лет |
| ч. 4 | Сопряжённое с трансграничной передачей | 8 лет |
| ч. 5 | С тяжкими последствиями или организованной группой | 10 лет |
| ч. 6 | Создание и поддержка сайта, программы, бота для хранения и распространения незаконно полученных данных | 5 лет |
Telegram-бот, который по номеру телефона выдаёт сведения из слитых баз, подпадает под ч. 6: это программа, заведомо предназначенная для распространения незаконно полученных данных. Разработчику такого бота грозит до 5 лет лишения свободы, даже если сам он базы не похищал. Пользователь, который ищет по такому боту, получает и использует незаконно полученные данные — ч. 1. Действие статьи не распространяется только на обработку данных для личных и семейных нужд (примечание 1).
§6Частые ошибки
§7Проверьте себя
- Назовите пять мер из ч. 2 ст. 19 закона 152-ФЗ и покажите, как они выглядят в SaaS-сервисе.
- Что и в какие сроки оператор сообщает Роскомнадзору после утечки? С какого момента считается срок?
- Утекли данные 15 000 клиентов с 40 000 идентификаторов. Какая часть ст. 13.11 применяется и какой штраф грозит организации?
- Когда штраф за утечку становится оборотным и в каких границах?
- При каких условиях оборотный штраф снижают до 1/10 минимума?
- Почему разработчик бота для поиска по утёкшим базам отвечает по ст. 272.1 УК, даже если сам ничего не похищал?
ст. 19 152-ФЗПП № 1119 — уровни 1–4приказ ФСТЭК № 21ГосСОПКА — об инцидентах24 ч — уведомление72 ч — расследованиеч. 11 — до 3 млн за молчание1–10 тыс. субъектов — 3–5 млн10–100 тыс. — 5–10 млн> 100 тыс. — 10–15 млнбиометрия — 15–20 млн1–3 % выручкиот 20 (25) до 500 млнснижение — 1/10 минимума, 15–50 млнУК 272.1 — до 10 летСправочник «Вайбкодинг в России» · модуль 3 · глава 3.5Макаров Максим Николаевич