В Госдуму внесли законопроект о многомиллионных штрафах за невыполнение требований о хранении персональных данных россиян. Депутаты Виктор Пинский и Даниил Бессарабов предложили наказывать компании штрафом от 2 до 6 млн рублей при первом нарушении и до 18 миллионов — при повторном. Ирина Фиш объясняет, зачем нужен этот законопроект и кого он коснется.
Интернет, как любое массовое явление, нуждается в регулировании, хотя бы в целях безопасности его пользователей, потому что эта система полностью открыта и любыми данными могут воспользоваться. А ведь в социальные сети выкладывают чуть ли не подробную биографию с телефонами, адресами своими и своих друзей. Только что прошла кампания в фейсбуке по сбору номеров телефонов. Обещали, конечно же, полную безопасность и нераспространение информации, но кто знает, кто знает… Мы уже сталкивались с ситуациями, когда выяснялось, что сети известно про нас то, что, казалось бы, не должно быть.
Поэтому эта быстрорастущая сфера находится под постоянным вниманием законодателей во всем мире. Но наказания за нарушения законов об информации в других странах намного жестче, чем у нас.
В 2006-м году в России был принят закон N 149-ФЗ "Об информации, информационных технологиях и о защите информации", в котором попытались урегулировать отношения между государством, интернет-компаниями и пользователями. Где-то это удалось, где-то не очень, поэтому этот закон постоянно обновляется. Статья 16 регулирует меры, направленные на защиту информации, в ней разъясняются обязанности ее обладателей, а именно: они должны создать условия, при которых любой несанкционированный доступ к информации должен быть предотвращен. А если это случилось, факт взлома должен быть своевременно обнаружен, предотвращены неблагоприятные последствия, не должны быть разрушены технические средства ее обработки, предусмотрена незамедлительная возможность восстановления измененной или уничтоженной вследствие взлома информации.
В сентябре 2015 года эта статья была дополнена: интернет-компании обязали хранить базы данных о российских гражданах на территории Российской Федерации. Сбор, хранение и использование этих баз в Российской Федерации тоже регулируется законодательно, специальным законом N 152-ФЗ "О персональных данных". Использовать, распространять, передавать и получать информацию о гражданах РФ бесконтрольно не получится.
Меры наказания за нарушение этого закона тогда приняты не были, но шума этот небольшой пункт наделал много. Несмотря на то, что аналогичные законы были приняты во многих странах мира, крупные компании возражали против изменений в законе. Видимо, это связано с серьезными затратами. Кому хочется вкладывать дополнительные средства, когда и так неплохо: хранятся данные о российских гражданах где-нибудь в Америке — и ладно. Можно и воспользоваться при случае, не нарушая закона нашей страны. Но этот пункт направлен исключительно на безопасность. Не устраивает ситуация, когда сервера паспортной службы МВД РФ, например, находятся за пределами России.
В социальных сетях огромные объемы информации о нас с фотографиями, видео и подробностями жизни. И, очевидно, храниться они должны в России.
В любом случае мера эта была предусмотрена еще 5 лет назад, То есть времени исполнить закон у компаний было достаточно.
Но все это время никаких санкций к нарушителям закона не применялось. Доходило до анекдотов: в апреле этого года в отношение Facebook* и Twitter было начато административное производство, у них потребовали представить документы и подтвердить локализацию баз российских пользователей в РФ. Компании выдали формальные ответы, не содержащие конкретики ни об исполнении закона, ни о сроках исполнения в будущем. В результате они были оштрафованы — внимание — всего на 3000 (три тысячи) рублей.
Теперь депутаты решили это исправить. Статью 13.11 КоАП предлагается дополнить двумя пунктами, в которых говорится:
8. Невыполнение оператором при сборе персональных данных, в том числе посредством информационно-телекоммуникационной сети "Интернет", предусмотренной законодательством Российской Федерации в области персональных данных обязанности по обеспечению записи, систематизации, накопления, хранения, уточнения (обновления, изменения), извлечения персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации,
- влечет наложение административного штрафа на граждан в размере от тридцати тысяч до пятидесяти тысяч рублей; на должностных лиц — от двухсот тысяч до пятисот тысяч рублей; на юридических лиц - от двух миллионов до шести миллионов рублей.
9. Повторное совершение административного правонарушения, предусмотренного частью 8 настоящей статьи,
-влечет наложение административного штрафа на граждан в размере от пятидесяти тысяч до ста тысяч рублей; на должностных лиц — от пятисот тысяч до одного миллиона рублей; на юридических лиц — от шести миллионов до восемнадцати миллионов рублей.
Полагаю, это очень своевременная мера. Сравните, например, 3000 рублей штрафа Facebook* и Twitter со штрафами на Западе.
В 2018 г. Антимонопольная служба Италии (AGCM) оштрафовала Facebook* на 10 млн евро за использования личных данных пользователей в коммерческих целях. Facebook* в нарушение Кодекса прав потребителей обманным путем побуждал потребителей регистрироваться на платформе, не информируя о своей деятельности по сбору данных в коммерческих целях.
В 2018 г. Национальная комиссия по делам информационных технологий и правам человека (CNIL) Франции оштрафовала Google на 50 млн евро за "отсутствие прозрачности, неудовлетворительное информирование и отсутствие действительного согласия" при обработке и использовании персональных данных пользователей для показа им персонализированной рекламы.
В США идут расследования Конгресса и Федеральной торговой комиссии после скандала с Cambridge Analytica в отношение Facebook*. Социальную сеть обвиняют в передаче данных 87 млн пользователей без их уведомления сторонней компании. Соцсеть нарушила соглашение, заключенное с ФТК в 2011 году. Согласно ему, Facebook обязан получать согласие пользователя перед тем, как передать его приватную информацию другим лицам. Максимальный штраф по этому делу может составить $5 млрд.
С мая 2018-го года в Евросоюзе действуют новые правила обработки персональных данных, установленные Общим регламентом по защите данных (GDPR). В соответствии с ними за различные нарушения в этой сфере предусмотрены штрафы в размере до €10 млн, а в случае предприятия - до 2% от общего мирового годового оборота предыдущего финансового года.
Несоблюдение приказа контролирующего органа влечет наложение административного штрафа до €20 млн или (для предприятия - до 4% от общего мирового годового оборота предыдущего финансового года).
Таким образом, в Европе штрафы, предусмотренные за нарушения в сфере персональных данных, более чем в 100 раз больше предлагаемых в России (даже пока еще не принятых).
Кроме того, депутаты хотят ужесточить наказания и по другим статьям, дополнив их пунктами о повторных нарушениях.
В статье 13.31 о неисполнении юридическими лицами-распространителями информации обязанностей за повторные нарушения закона предлагается штраф до 6 миллионов рублей. В нынешней редакции максимальная сумма штрафа — 1 миллион рублей. А в Германии штрафы за подобные правонарушения в 5 раз больше (до €500 тыс.), в Великобритании — в 1,5 раза больше.
Приняты меры по защите детей: за повторное нарушение и распространение информации, причиняющей вред здоровью и (или) развитию детей, предлагается штрафовать на миллион. Сейчас максимум — 500 000 руб. Для сравнения: США Федеральная торговая комиссия оштрафовала разработчиков сервиса обмена короткими видео TikTok на $5,7 млн за нарушение закона о защите конфиденциальности детей в интернете (COPPA). Сервис уличили в нелегальном сборе персональных данных детей до 13 лет без согласия их родителей.
И против терроризма: Статья 13.37. "Распространение владельцем аудиовизуального сервиса информации, содержащей публичные призывы к осуществлению террористической деятельности, материалов, публично оправдывающих терроризм, или других материалов, призывающих к осуществлению экстремистской деятельности либо обосновывающих или оправдывающих необходимость осуществления такой деятельности" предусматривала максимальный штраф для юридических лиц до миллиона рублей. Сейчас предлагается дополнить ее пунктом о штрафе за повторное нарушение до 5 миллионов рублей.
Все эти меры — часть общей борьбы за безопасность интернет-пространства. Массово и систематически нарушают российское законодательство крупные международные интернет-гиганты, монополисты, которые не реагируют на предупреждения и запросы. Именно поэтому и увеличены суммы штрафов и введены новые за повторные нарушения.
Ужесточение законодательства позволит избежать блокировок, которые отражаются на пользователях. Сейчас существует всего два способа развития событий: либо ты соблюдаешь закон, либо тебя блокируют. Новый закон позволит действовать иначе.
Кроме того, появится возможность бороться с бизнесом интернет-пиратов, которые дают ссылки на незаконные ресурсы. Теперь они должны будут удаляться по требованию. Иначе штраф. Ну, а у крупных ресурсов появится ответственность за распространение и публикацию фейков и глупостей.
- * иностранный агент, экстремистская организация, запрещенная на территории РФ
