Pokuta za únik osobních údajů: Jak se vyhnout pokutám za únik dat

Federální zákon č. 30.11.2024-FZ ze dne 420. listopadu XNUMX o změnách Kodexu správních deliktů Ruské federace zvyšuje úroveň odpovědnosti společností, individuálních podnikatelů a úředníků za porušení postupu zpracování osobních údajů.

Problém úniků osobních údajů se v posledních dvou letech výrazně zhoršil, útoky na komerční organizace a státní podniky s cílem odcizit informace o jednotlivcích se staly častějšími. Podle Roskomnadzoru bylo v roce 2023 ve veřejné doméně nalezeno více než 300 milionů takových záznamů.

Jak útočníci zneužívají osobní údaje

Neoprávněný přístup k osobním údajům a jejich šíření nejenže představuje vážnou hrozbu pro jednotlivce, ale také způsobuje škody společnostem, od kterých byly údaje odcizeny. Kromě získání komerčního prospěchu z prodeje dat nebo jejich použití k trestné činnosti se útočníci často snaží poškodit reputaci dotčeného provozovatele osobních údajů. Krádež osobních údajů, jako jsou databáze klientů, seznamy partnerů, může také ovlivnit vztahy s protistranami, konkurenceschopnost a finanční plány společností.

Ke krádežím dat dochází jak v důsledku zranitelností nalezených kyberzločinci v softwaru provozovatelů osobních údajů, tak i vinou insiderů – zaměstnanců firem, kteří mají přístup k informacím a přenášejí databáze z nedbalosti nebo úmyslně. Podvodníci provádějí cílené vyhledávání a psychologické zpracování insiderů ve finančních organizacích, pojišťovnách, mobilních operátorech, zdravotnických zařízeních, v maloobchodním sektoru, IT a dalších společnostech, které zpracovávají velké množství osobních údajů.

Podvodníci provozují širokou škálu osvědčených podvodných schémat využívajících osobní údaje k získávání peněz od obětí. V tomto případě jsou osobní údaje používány jak selektivně, například při volání z podvodných call center nebo odesílání falešných cílených zpráv jménem kolegů a přátel, tak i za účelem hromadných útoků, jako je spam a phishing.

Sociální inženýrství, navzdory zdánlivě složitějšímu podvodnému schématu, se stává stále rozšířenějším. Oběťmi se již nestávají jen lidé vzdálení digitálnímu životu, ale i slavné osobnosti, vedoucí firem, kancelářští pracovníci. Bohužel se spolu s technologiemi vyvíjejí i nástroje útočníků – podvodníci rychle ovládají metody umělé inteligence a aktivně využívají deepfakes.

Ve třetím čtvrtletí roku 2024 zaznamenala centrální banka více než 20 tisíc pokusů o podvodné transakce s využitím různých technik sociálního inženýrství zaměřených na klienty finančních institucí.

Počet incidentů zahrnujících sociální inženýrství neustále roste, takže důležitost ochrany osobních údajů je zákonodárci aktivně diskutována již mnoho let, seznam opatření k prevenci úniků se rozšiřuje a pokuty pro provozovatele osobních údajů za porušení se zpřísňují.

Zákon o pokutách za únik osobních údajů

V průběhu roku 2024 Státní duma pracovala na návrhu zákona č. 502104-8 „O změně Kodexu Ruské federace o správních deliktech (ve smyslu zpřísnění odpovědnosti za porušení postupu zpracování osobních údajů)“, který je ve veřejném sektoru a médiích často označován jako návrh zákona o pokutách za únik dat. Výsledkem mnohaměsíční práce poslanců byl federální zákon č. 30.11.2024-FZ ze dne 420. listopadu 30, který vstoupí v platnost 2025. května XNUMX.

Aktualizovaný zákon zvyšuje odpovědnost provozovatelů osobních údajů, zejména novelizací článku 13.11 zákona o správních deliktech „Porušení v oblasti osobních údajů“. Klíčové body tohoto dokumentu jsou:

1. Zavedení pokut za neoznámení případů úniku osobních údajů Roskomnadzoru.

Tuto povinnost stanoví federální zákon č. 14.07.2022-FZ ze dne 266. července 152, který zavádí odpovídající změny federálního zákona č. 266-FZ „O osobních údajích“. Federální zákon č. XNUMX-FZ rovněž zúžil seznam výjimek týkajících se osobních údajů, které může provozovatel zpracovávat bez oznámení oprávněnému orgánu, tj. Roskomnadzoru.

2. Zvýšení odpovědnosti a zavedení pokut za únik osobních údajů.

V současné době část 1 článku 13.11 zákona o správních deliktech Ruské federace stanoví maximální pokutu pro právnické osoby až do výše 100 tisíc rublů a za opakované správní delikty až do výše 300 tisíc rublů.

Zákonodárci se domnívají, že zaplacení takové pokuty je pro firmy levnější než zavedení souboru technických opatření k zamezení úniků a není úměrné možným důsledkům pro vlastníky odcizených osobních údajů. Nová opatření, včetně pokut za obrat, by měla stimulovat provozovatele osobních údajů k rozvoji infrastruktury informační bezpečnosti a ochraně dat jejich uživatelů.

Jak 420-FZ změní Kodex správních deliktů Ruské federace a odpovědnost provozovatelů osobních údajů

Výše pokuty bude záviset na několika faktorech:

• Objem úniku – počet subjektů osobních údajů v odcizené databázi a/nebo počet jedinečných identifikátorů – informace o osobách potřebné k identifikaci těchto osob.
• Přítomnost biometrických nebo osobních údajů zvláštní kategorie v odcizených informacích: rasa, národnost, politické názory, náboženské nebo filozofické přesvědčení, zdravotní stav, osobní životní údaje, trestní rejstřík atd.
• Opakovaný únik osobních údajů právnickou osobou, úřední osobou nebo fyzickou osobou, která byla dříve potrestána správním trestem za podobné delikty v oblasti ochrany osobních údajů.

Zákon stanoví odpovědnost jednotlivých podnikatelů na stejném základě jako právnické osoby.

Srovnávací tabulka změn v Kodexu správních deliktů Ruské federace:

Odpovědnost před vstupem v platnost
420-FZ

Odpovědnost po nabytí účinnosti
420-FZ 30. května 2025

Nepodání oznámení Roskomnadzoru

Pokuta za neoznámení Roskomnadzoru:

• Občané: 100–300 RUB.
• Úředníci a individuální podnikatelé: 300–500 rublů.
• Právnické osoby: 3–5 tisíc rublů.

Část 10 umění. 13.11 Zákoník o správních deliktech Ruské federace

Sankce za neoznámení, jakož i za pozdní oznámení Roskomnadzoru o plánovaném zpracování osobních údajů:

• Občané: 5–10 tisíc rublů.
• Úředníci: 30–50 tisíc rublů.
• Právnické osoby a individuální podnikatelé: 100–300 tisíc rublů.

Část 11 umění. 13.11 Zákoník o správních deliktech Ruské federace

Pokuta za neoznámení případů zjištění úniku osobních údajů Roskomnadzoru:

• Občané: 50–100 tisíc rublů.
• Úředníci: 400–800 tisíc rublů.
• Jednotliví podnikatelé a právnické osoby: 1–3 miliony rublů.

Únik dat prokázán

Čl. 13.11. Kodexu správních deliktů Ruské federace

Postih za únik dat:

• Občané: 2–6 tisíc rublů.
• Úředníci: 10–20 tisíc rublů.
• Právnické osoby: 60–100 tisíc rublů.

Trest za opakované porušení:

• Občané: 4–12 tisíc rublů.
• Úředníci: 20–50 tisíc rublů.
• Individuální podnikatel: 50–100 tisíc rublů.
• Právnické osoby: 100–300 tisíc rublů.

Pokuty za jednání nebo nečinnost provozovatele PDn, která vedla k úniku osobních údajů, jsou uvedeny v částech 12–18 článku 13.11 zákona o správních deliktech Ruské federace.

Část 12 umění. 13.11 Zákoník o správních deliktech Ruské federace

Pokuta za únik 1–10 tisíc subjektů osobních údajů a/nebo 10–100 tisíc jedinečných identifikátorů:

• Občané: 100–200 tisíc rublů.
• Úředníci: 200 tisíc – 400 tisíc rublů.
• Právnické osoby a individuální podnikatelé: 3–5 milionů rublů.

Část 13 umění. 13.11 Zákoník o správních deliktech Ruské federace

Pokuta za únik 10–100 tisíc entit a/nebo 100 tisíc–1 milionu identifikátorů:

• Občané: 200–300 tisíc rublů.
• Úředníci: 300–500 tisíc rublů.
• Právnické osoby a individuální podnikatelé: 5–10 milionů rublů.

Část 14 umění. 13.11 Zákoník o správních deliktech Ruské federace

Pokuta za únik více než 100 tisíc entit a/nebo více než 1 milionu identifikátorů:

• Občané: 300–400 tisíc rublů.
• Úředníci: 400–600 tisíc rublů.
• Právnické osoby a individuální podnikatelé: 10–15 milionů rublů.

Část 15 umění. 13.11 Zákoník o správních deliktech Ruské federace

Postih za opakovaný únik osobních údajů dle částí 12–14:

• Občané: 400–600 tisíc rublů.
• Úředníci: 800 tisíc – 1,2 milionu rublů.
• Právnické osoby a fyzické osoby-podnikatelé: pokuta za obrat – od 1 do 3 % z tržeb za předchozí kalendářní rok, nejméně však 20 milionů a nejvýše 500 milionů rublů.

Část 16 umění. 13.11 Zákoník o správních deliktech Ruské federace

Postih za únik informací obsahujících zvláštní kategorie osobních údajů:

• Občané: 300–400 tisíc rublů.
• Úředníci: 1–1,3 milionu RUB.
• Právnické osoby a individuální podnikatelé 10–15 milionů rublů.

Část 17 umění. 13.11 Zákoník o správních deliktech Ruské federace

Postih za únik informací včetně biometrických osobních údajů:

• Občané: 400–500 tisíc rublů.
• Úředníci: 1,3–1,5 milionu RUB.
• Právnické osoby a individuální podnikatelé: 15–20 milionů rublů.

Část 18 umění. 13.11 Zákoník o správních deliktech Ruské federace

Pokuta za únik informací obsahujících zvláštní kategorie osobních údajů a/nebo biometrické údaje, pokud dříve existovaly správní sankce za úniky osobních údajů různého druhu v souladu s částmi 12–17:

• Občané: 500–800 tisíc rublů.
• Úředníci: 1–2 milionu RUB.
• Právnické osoby a fyzické osoby-podnikatelé: pokuta za obrat – od 1 do 3 % z tržeb za předchozí kalendářní rok, nejméně však 25 milionů a nejvýše 500 milionů rublů.

Zároveň byl článek 4.1 „Obecná pravidla pro ukládání správních trestů“ doplněn částí 34-2, která zmírňuje sankce za únik zvláštních nebo biometrických osobních údajů.

Pokuta se snižuje na 0,1 minimální částky za příslušné porušení, ale nesmí být nižší než patnáct milionů rublů a vyšší než padesát milionů rublů, pokud jsou současně splněny následující podmínky:

1) roční výdaje provozovatele za předchozí tři roky na zajištění informační bezpečnosti s pomocí licencovaných organizací činily alespoň 0,1 % ročních příjmů;

2) je doloženo, že provozovatel v předchozím roce dodržoval zákonné požadavky na ochranu osobních údajů při jejich zpracování v informačních systémech;

3) viník se v minulosti nedopustil žádných porušení, pokud jde o shromažďování a zpracování osobních údajů, včasné oznámení Roskomnadzoru a také dodržoval pravidla pro informování občanů o politice provozovatele týkající se práce s osobními údaji a zničení/blokování osobních údajů v informačních systémech na vyžádání.

Trestní odpovědnost za neoprávněné použití osobních údajů

Kromě správních opatření zákonodárci zavedli zpřísnění trestní odpovědnosti proti kyberzločincům a zasvěceným osobám za protiprávní jednání s osobními údaji. Federální zákon č. 421-FZ ze dne 30. listopadu 2024 doplňuje trestní zákoník Ruské federace o nový článek 272.1 a tyto změny již vstoupily v platnost.

Část 1 tohoto článku stanoví sankce za shromažďování, používání, přenos a uchovávání osobních údajů v digitální podobě získaných nezákonně ve formě pokuty až do výše 300 tisíc rublů, nucené práce nebo odnětí svobody až na 4 roky.

Část 2 článku 272.1 trestního zákoníku Ruské federace zvyšuje odpovědnost, pokud údaje obsahují informace o nezletilých, zvláštní nebo biometrické údaje. Takové závažné porušení se trestá pokutou až do výše 700 tisíc rublů, nucenými pracemi nebo odnětím svobody až na 5 let.

Část 3 článku 272.1 trestního zákoníku Ruské federace rovněž stanoví zvýšenou odpovědnost, pokud okolnosti trestného činu byly:

• sobecký zájem;
• způsobení velkých škod;
• předchozí dohoda skupiny osob;
• zneužití úředního postavení útočníkem.

V tomto případě bude pachateli uložena pokuta až do výše 1 milionu rublů. Správní trest může být sloučen s nucenou prací až na 5 let nebo s odnětím svobody až na 6 let. Trest může zahrnovat i zákaz určitých činností až na tři roky.

Část 4 článku 272.1 trestního zákoníku Ruské federace stanoví odpovědnost za porušení zákona v oblasti přeshraničního předávání osobních údajů uložením pokuty až do výše 2 milionů rublů a odnětí svobody až na 8 let.

Část 5 článku 272.1 trestního zákoníku Ruské federace zvyšuje odpovědnost, pokud porušení postupu pro zpracování a nezákonné použití osobních údajů mělo za následek závažné následky, jakož i pokud byl trestný čin spáchán organizovanou skupinou. V tomto případě se pokuta zvýší na 3 miliony rublů a trest odnětí svobody až na 10 let.

Část 6 článku 272.1 trestního zákoníku Ruské federace stanoví odpovědnost za vytváření informačních zdrojů a škodlivých programů pro ukládání, zpracování a distribuci osobních údajů. Trestem v tomto případě bude pokuta až do výše 700 tisíc rublů. Pokutu lze kombinovat s nucenou prací nebo odnětím svobody až na pět let.

Regulátor očekává, že federální zákon č. 421 nejenže umožní trestní stíhání zločinců za nezákonné jednání s osobními údaji a poskytne důvody pro přijímání výpovědí od obětí, ale stane se také preventivním opatřením k prevenci kybernetické kriminality v této oblasti.

Zabránění únikům osobních údajů v důsledku zavinění zaměstnance

Zpřísnění opatření odpovědnosti pro provozovatele osobních údajů, včetně pokut za překročení limitu, má zvýšit pozornost společností věnovanou procesům shromažďování, zpracování a uchovávání osobních údajů a zajistit bezpečnost informací pomocí souboru technických prostředků k zamezení úniků.

Statistiky z posledních let ukazují, že ke každému pátému úniku osobních údajů dochází vinou zaměstnanců společnosti. Zaměstnanci, kteří jsou nespokojeni se svými pracovními podmínkami, ti, kteří se ocitli v obtížné finanční situaci, hráči her a další lidé závislí na „špatných“ návycích – ti všichni se mohou nechat přesvědčit zločincům a poskytnout jim přístup k informačním systémům organizace nebo uniknout databázi s osobními údaji.

Aby se firmy chránily před úniky citlivých dat v důsledku interních osob a zabránily výběru pokut za fluktuaci, implementují DLP řešení. DLP systém je softwarový balíček, který umožňuje sledovat akce uživatelů na pracovních stanicích, zabránit únikům informací mimo rámec společnosti v důsledku nedbalosti nebo zlého úmyslu zaměstnanců a také zavést zvláštní kontrolu nad zaměstnanci z rizikových skupin.

Jak se vyhnout pokutám za únik osobních údajů

DLP systém Solar Dozor je nástroj pro prevenci, detekci a vyšetřování incidentů informační a ekonomické bezpečnosti, který pomůže chránit cenné firemní informace a osobní údaje jejích klientů, partnerů a zaměstnanců před nezákonným jednáním zasvěcených osob.

Klíčové vlastnosti Solar Dozor pro ochranu osobních údajů před úniky:

• Monitorování komunikace zaměstnanců v rámci společnosti i s externími příjemci za účelem identifikace skrytých konfliktů a nelegálního přenosu informací prostřednictvím e-mailu, instant messengerů, sdílení obrazovky během videokonferencí atd.
• Analýza obsahu uložených a přenášených dat na přítomnost důvěrných informací, včetně kontroly IDID (identifikace ID) – rozpoznáváním určité posloupnosti čísel nebo písmen ve zprávách, charakteristických zejména pro jedinečné osobní údaje: DIČ, SNILS, údaje o kartě, informace o cestovním pase atd.; identifikace digitálních otisků prstů (DiFi, Digital Fingerprints) – porovnání textových, grafických a tabulkových dat s referenčními dokumenty, díky čemuž je možné najít plně nebo částečně zkopírované databáze zákazníků, seznamy osobních údajů atd.; a také vyhledávání důvěrných informací pomocí grafických šablon, například obrázků cestovních pasů nebo platebních karet.
• Řízení a blokování tisku a kopírování důvěrných informací na vyměnitelná média, včetně chytrých telefonů přes USB připojení, a také do cloudového úložiště.
• Kontrola pevných disků pracovních stanic, lokálních serverů a cloudového úložiště, zda nedošlo k porušení pravidel pro ukládání citlivých informací, včetně osobních údajů. Pokud se tyto informace nacházejí na nesprávném místě, systém upozorní bezpečnostního pracovníka, přesune soubor do karantény a na jeho místě vytvoří stub.
• Identifikace atypického chování uživatelů: práce v noci, zvýšená intenzita komunikace s externími příjemci, známky propuštění atd. – pro pečlivější sledování jednání zaměstnanců z rizikových skupin a prevenci potenciálního incidentu.
• Vyšetřování incidentů, identifikace pachatele a kontext událostí. Automatizovaný proces vyšetřování od detekce incidentu, zahájení případu, shromažďování důkazů a generování zpráv – v jednom multifunkčním modulu Dozor Detective. Okolnosti incidentu jsou zaznamenávány a dostupné na časové ose ve 4D přehrávači.

Možnosti a technologie DLP systémů se rychle rozvíjejí a zajišťují včasnou reakci na nelegitimní zpracování informací a zabraňují jejich neoprávněnému přenosu. Solar Dozor je jedním z účinných prostředků ochrany před úniky informací, který pomůže vyhnout se sankcím ve formě pokut za únik osobních údajů.

OSTATNÍ PRODUKTOVÉ ČLÁNKY

Ještě více o našich schopnostech

V květnu 2025 se současné pokuty za porušení pravidel pro práci s osobními údaji občanů několikanásobně zvýší. Zavedeny budou také vysoké správní pokuty za únik osobních údajů. Prozradíme vám, jaké pokuty budou uloženy za nepodání oznámení Roskomnadzoru a jaká bude pokuta za únik biometrických údajů na internetu.

Pokuty za neoznámení zahájení zpracování osobních údajů Roskomnadzoru

Organizace, jednotlivci-podnikatelé a osoby samostatně výdělečně činné, které shromažďují a zpracovávají osobní údaje, musí Roskomnadzoru podat oznámení o zahájení zpracování osobních údajů (článek 22 federálního zákona ze dne 27.07.2006 č. 152-FZ „O osobních údajích“):

• zaměstnanci a uchazeči o zaměstnání;
• protistrany;
• členové veřejných sdružení a náboženských organizací;
• návštěvníky na jednorázovou vstupenku do prostor společnosti;
• Celé jméno jakékoli osoby přijaté organizací.

Federální zákon č. 30.11.2024-FZ ze dne 420 zvyšuje stávající výše správních pokut za nepředložení oznámení Roskomnadzoru o zahájení zpracování osobních údajů, které musí všechny společnosti a individuální podnikatelé zaslat úřadu před zahájením práce s osobními údaji občanů. V současné době může nepodání takového oznámení vést k pokutě podle článku 19.7 zákona o správních deliktech Ruské federace ve výši 3 000 až 5 000 rublů.

Od 30. května 2025 se pokuty za nepředložení oznámení Roskomnadzoru o zahájení zpracování osobních údajů několikanásobně zvýší a budou činit (část 10 článku 13.11 zákona o správních deliktech Ruské federace):

• od 5 000 do 10 000 rublů – pro jednotlivce
• od 30 000 do 50 000 rublů – pro úředníky organizací
• od 100 000 do 300 000 rublů – pro jednotlivé podnikatele
• od 100 000 do 300 000 rublů – pro organizace

Abyste se vyhnuli stanoveným pokutám, musíte zaslat oznámení Roskomnadzoru ve formě schválené nařízením Roskomnadzoru ze dne 28.10.2022. 180. XNUMX č. XNUMX. To lze provést na webových stránkách Roskomnadzoru, prostřednictvím portálu státních služeb nebo zasláním papírového oznámení územnímu orgánu RKN poštou.

Po obdržení oznámení Roskomnadzor do 30 dnů zapíše společnost do rejstříku provozovatelů osobních údajů, což fakticky legalizuje její další kroky ke shromažďování a zpracování osobních údajů (část 4 článku 22 federálního zákona ze dne 27.07.2006. července 152 č. XNUMX-FZ „O osobních údajích“).

Zasílání oznámení Roskomnadzoru

• Jaká oznámení předkládat Roskomnadzoru: typy, lhůty a nové pokuty
• Oznámení Roskomnadzoru: kdo je povinen jej podat a proč, jak jej správně vyplnit a jaké chyby lze udělat
• Posílání oznámení Roskomnadzoru a práce s osobními údaji na webových stránkách společností
• “1C: Účetnictví 8”: jak vygenerovat oznámení o zpracování osobních údajů
• Příklad vyplnění oznámení o zpracování osobních údajů pro Roskomnadzor
• Podávání oznámení Roskomnadzoru: jak je vyplnit, měly by je osoby samostatně výdělečně činné podávat a bude za porušení lhůt pro podání uložena pokuta

Pokuty za neoznámení úniku osobních údajů Roskomnadzoru

Od 30. května 2025 se také zvýší pokuty za neoznámení úniku osobních údajů Roskomnadzoru. V současné době jsou společnosti za neoznámení takových oznámení pokutovány podle článku 19.7 zákona o správních deliktech Ruské federace a pokuta je stanovena v rozmezí od 3 000 do 5 000 rublů.

Od 30. května 2025 budou pokuty za neoznámení úniku osobních údajů (část 11 článku 13.11 zákona o správních deliktech Ruské federace):

• od 50 000 do 100 000 rublů – pro jednotlivce
• od 400 000 do 800 000 rublů – pro úředníky organizací
• od 1 do 3 milionů rublů – pro jednotlivé podnikatele
• od 1 do 3 milionů rublů – pro organizace

Aby se společnost vyhnula pokutě, musí do 24 hodin od úniku osobních údajů informovat Roskomnadzor volnou formou. Poté je nutné do 72 hodin od úniku informací provést interní vyšetřování a zaslat Roskomnadzoru opakované oznámení o výsledcích tohoto vyšetřování (část 3.1 článku 21 federálního zákona ze dne 27.07.2006 č. 152-FZ).

Oznámení lze zaslat agentuře v tištěné podobě poštou nebo elektronicky vyplněním doporučeného formuláře na webových stránkách Roskomnadzoru.

• Navigátor materiálů o odpovědnosti v oblasti osobních údajů
• Roskomnadzor jmenuje hlavní chyby v oznámeních o zpracování osobních údajů
• Pokuty za porušení předpisů v oblasti nakládání s osobními údaji od 30. května 2025: úniky na internet a neinformování RKN
• Které společnosti mohou být v roce 2025 pokutovány za porušení pravidel zpracování osobních údajů
• Jak pracovat s osobními údaji v roce 2025, abyste se vyhnuli pokutě od Roskomnadzoru

Pokuty za únik osobních údajů

Zároveň se výrazně zvýší pokuty pro společnosti za samotný únik osobních údajů – jejich nezákonný přenos třetím stranám. V současné době jsou provozovatelé osobních údajů odpovědní za únik osobních údajů občanů podle části 2 článku 13.11 zákona o správních deliktech Ruské federace a maximální pokuta za toto porušení dosahuje 700 000 rublů.

Od 30. května 2025 bude za nezákonné předávání osobních údajů občanů v počtu od 1 000 do 10 000 osob třetím stranám ukládána pokuta ve výši (část 12 článku 13.11 zákona o správních deliktech Ruské federace):

• od 100 000 do 200 000 rublů – pro jednotlivce;
• od 200 000 do 400 000 rublů – pro úředníky organizací;
• od 3 do 5 milionů rublů – pro jednotlivé podnikatele;
• od 3 do 5 milionů rublů – pro organizace.

Nezákonný přenos osobních údajů více než 10 000, ale ne více než 100 000 osob třetím stranám bude mít za následek uložení pokut ve výši (část 13 článku 13.11 zákona o správních deliktech Ruské federace):

• od 200 000 do 300 000 rublů – pro jednotlivce;
• od 300 000 do 500 000 rublů – pro úředníky organizací;
• od 5 do 10 milionů rublů – pro jednotlivé podnikatele;
• od 5 do 10 milionů rublů – pro organizace.

Za nezákonný přenos osobních údajů třetím stranám bude více než 100 000 osob pokutováno ve výši (část 14 článku 13.11 zákona o správních deliktech Ruské federace):

• od 300 000 do 400 000 rublů – pro jednotlivce;
• od 400 000 do 600 000 rublů – pro úředníky organizací;
• od 10 do 15 milionů rublů – pro jednotlivé podnikatele;
• od 10 do 15 milionů rublů – pro organizace.

Opakované předávání osobních údajů třetím stranám bez právního důvodu bude mít za následek následující pokuty (nová část 15 článku 13.11 zákona o správních deliktech Ruské federace):

• od 400 000 do 600 000 rublů – pro jednotlivce;
• od 800 000 do 1,2 milionu rublů – pro úředníky organizací;
• od 1 do 3 % z celkové výše příjmů z prodeje veškerého zboží, prací a služeb za kalendářní rok předcházející roku, ve kterém bylo porušení zjištěno – pro jednotlivé podnikatele a organizace.

Pokuty za únik biometrických osobních údajů

Za nezákonné předávání biometrických osobních údajů třetím stranám, včetně snímků obličeje, hlasových nahrávek a otisků prstů, budou zavedeny samostatné pokuty.

Od 30. května 2025 bude za nezákonný přenos biometrických údajů ukládán pokut ve výši (část 17 článku 13.11 zákona o správních deliktech Ruské federace):

• od 400 000 do 500 000 rublů – pro jednotlivce;
• od 1,3 do 1,5 milionu rublů – pro úředníky organizací;
• od 15 do 20 milionů rublů – pro jednotlivé podnikatele;
• od 15 do 20 milionů rublů – pro organizace.

Opakovaný přenos biometrických údajů bez právního důvodu bude potrestán pokutami v následujících výších (část 18 článku 13.11 zákona o správních deliktech Ruské federace):

• od 500 000 do 800 000 rublů – pro jednotlivce;
• od 1,5 do 2 milionu rublů – pro úředníky organizací;
• od 1 do 3 % z celkové výše příjmů z prodeje veškerého zboží, prací a služeb za kalendářní rok předcházející roku, ve kterém bylo porušení zjištěno – pro jednotlivé podnikatele a organizace.

Minimální pokuta uložená organizacím a individuálním podnikatelům za opakovaný únik biometrických údajů bude 25 milionů rublů a maximální 500 milionů rublů.

Trestní odpovědnost za porušení předpisů v oblasti nakládání s osobními údaji

Kromě pokut je od 11. prosince 2024 v platnosti článek 272.1 trestního zákoníku Ruské federace, který stanoví trestní odpovědnost za nezákonné používání, shromažďování a uchovávání počítačových informací obsahujících osobní údaje občanů. Za tyto činy lze nyní uložit trest:

• pokuta až do výše 300 000 rublů;
• nucené práce až na 4 roky;
• odnětí svobody až na 4 roky.

Stejné činy spáchané v souvislosti s počítačovými informacemi obsahujícími osobní údaje nezletilých osob nebo biometrické osobní údaje se trestají:

• pokuta až do výše 700 000 rublů;
• nucené práce až na 5 roky;
• odnětí svobody až na 5 roky.

Týž čin spáchaný ze sobeckého zájmu, způsobující škodu velkého rozsahu nebo skupinou osob na základě předchozího spiknutí se trestá:

• pokuta až do výše 1 milionu rublů;
• nucené práce až na 5 let s pokutou až 1 milion rublů;
• odnětí svobody až na 6 let s pokutou až do výše 1 milionu rublů.

Dávejte pozor! Trestní odpovědnost se nevztahuje na případy zpracování osobních údajů fyzickými osobami výhradně pro osobní nebo rodinné potřeby.

Zpracování osobních údajů

• Jak zpracovávat osobní údaje: nová doporučení od Roskomnadzor
• Práce s osobními údaji v “1C: Správa platů a lidských zdrojů 8” ed. 3
• Shromažďování osobních údajů: nové požadavky na společnosti
• Jak mohou společnosti zničit osobní údaje
• Jak vypracovat zásady zpracování osobních údajů v roce 2025
• Kdo a kdy by měl Roskomnadzoru podat oznámení o ukončení zpracování osobních údajů

Materiál používá fotografie: ImageFlow / Shutterstock / Fotodom.