Впервые о введении оборотных штрафов для компаний, которые допустят утечку данных, заговорили в апреле 2022 года. Планируемый размер взыскания — до 1% от годового оборота компании.

Главная причина разработки такой меры — несоизмеримый размер существующих штрафов с прибылью крупных компаний. Так, согласно действующему протоколу Роскомнадзора и статье 13.11 КоАП РФ, в августе 2021 года компания Oriflame была оштрафована на 30 тыс. рублей, что не может идти в сравнение с ее годовым оборотом (в 2021 году компания заработала 1,3 млрд евро). Единственное, что волновало бизнес до разработки новой меры — репутационные издержки. Крупные штрафы дают еще один стимул вкладываться в информационную безопасность.

Окончательный вариант законопроекта обещают опубликовать в середине сентября. Сегодня рабочая группа при Минцифры обсуждает применение оборотного штрафа за утечку, но только при краже данных более 10 тыс. граждан — если в руки злоумышленников попало меньше информации, компанию ждет фиксированный штраф.

Кроме того, власти разработали систему смягчающих и отягчающих обстоятельств. Если компания сразу же сообщает об утечке в Роскомнадзор, прикладывает максимум усилий для ее устранения и сотрудничает с надзорными органами, наказание будет меньше, а если пытается скрыть факт утечки — больше.

Эксперты считают важным не количество субъектов, чьи данные утекли, а какая именно информация была украдена. Если в сеть попала база номеров телефонов и ФИО — это одно, другое дело — когда злоумышленники получают доступ к паспортным данным и информации о банковских счетах.

IT-компании не поддерживают введение новой меры и делятся своими опасениями: даже очень крупные суммы, вложенные в безопасность, не гарантируют, что данные не смогут украсть. Бизнес рассчитывает, что оборотные штрафы будут введены только за повторную утечку, а наказанием за первичное нарушение, по их мнению, должно быть предупреждение.