Ответственность за несоблюдение ФЗ №152 - Форум по вопросам информационной безопасности

Добрый день! У меня такой вопрос:

Какую ответственность несет организация, обрабатывающая ПД, ИСПДн которой имеет класс К1???

Т.е. какие именно штрафы, цифры тут фигурируют. Могут ли конролирующие органы приостановить деятельность организации?

Возможно, не совсем по Вашему вопросу, но близко к нему.
К большому сожалению, как правило (посмотрите форум), все риски операторов ПДн, связанные с неисполнением 152 ФЗ, связывают с действиями регуляторов. А ведь закон предполагает защиту интересов граждан!
Задача же регуляторов - обеспечить защиту этих интересов... Здесь без принуждения не обойтись, ведь оператор, в большинстве случаев, обрабатывает не свои ПДн, а ПДн граждан, потеря (хищение) этих данных является для него относительным риском. Иначе бы в форумах больше говорили об эффективности защиты, а не о том, как избежать штрафов регулятора при минимальных затратах.
А ведь основные риски, рано или поздно, будут связаны именно с исками граждан к операторам в суде. Жаль, что об этом мы сегодня мало задумываемся... .

Полностью согласен с утверждением г-на Щеглова о том, что надо при обработке ПДн защищать интересы субъектов.
И я думаю, что большинство коммерческих организаций это осознают и готовы принять на себя риски исков "обиженных" граждан. Но только не надо им мешать в деле защиты ИБ. Ведь практика показывает, что такие иски субъекты должны уже подавать к гос.учереждениям. Ведь те БД с ПДн, что мы видим на рынках, это БД гос.органов.
С другой стороны, ну выполнит организация все требования ФСТЭК и ФСБ, получит сертификаты и т.п. и будет утечка.
Что, ФСТЭК и ФСБ соответчиками по искам выступят?
Нет конечно.
А пока действительно, все боятся не исков, а "наездов" регуляторов. Видимо, на данном этапе, это страшнее -:)

А по существу кто-то что-нибудь знает?

В ФЗ №512 прописано, что органы могут принимать санкции вплоть до лишения лицензии и ответственность несет оператор в соответствии с действующим законодательством РФ.

А что конкретно угрожает оператору, его руководству, ответственным за ИБ???

Вроде слышал, что максимальный штраф в соответствии с административным кодексом для юр. лиц - от 4 до 5 тыс. руб.

Неужели сложно в интернете посмотреть административный кодекс.
Там и статьи есть, и санкции.
Можно посмотреть в ветке http://dom.bankir.ru/showthread.php?t=78706&page=94 (сообщение от Лукацкого), там есть сводная табличка.

Есть реальные факты применения штрафов уже в этом году...
за не выполнение п. 25.4 ФЗ 152.

вчера только генеральному делал сводную информацию, в которой и этот вопрос раскрывался:

Ответственность за нарушение требований
Федерального закона Российской Федерации N 152-ФЗ "О персональных данных"

Положения Закона «О персональных данных» предусматривают следующие виды ответственности: Статья 24 Закона № 152-ФЗ: «Лица, виновные в нарушении требований настоящего Федерального закона, несут гражданскую, уголовную, административную, дисциплинарную и иную предусмотренную законодательством Российской Федерации ответственность».

Кодекс об Административных Правонарушениях РФ (КоАП РФ)

«…КоАП РФ. Статья 13.11. Нарушение установленного законом «О персональных данных» порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных)
Нарушение установленного законом «О персональных данных» порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных) – влечет предупреждение или наложение административного штрафа…»

«…КоАП РФ. Статья 13.12. Нарушение правил защиты информации
Влечет наложение административного штрафа на юридических лиц - от десяти тысяч до пятнадцати тысяч рублей или административное приостановление деятельности на срок до девяноста суток.»

«…КоАП РФ. Статья 13.14. Разглашение информации с ограниченным доступом
Разглашение информации, доступ к которой ограничен федеральным законом «О персональных данных» (за исключением случаев, если разглашение такой информации влечет уголовную ответственность), лицом, получившим доступ к такой информации в связи с исполнением служебных или профессиональных обязанностей, за исключением случаев, предусмотренных частью 1 статьи 14.33 настоящего Кодекса, (Ст.14.33- недобросовестная конкуренция) влечет наложение административного штрафа...»

«…КоАП РФ. Статья 5.39. Отказ в предоставлении гражданину информации
Неправомерный отказ в предоставлении гражданину собранных в установленном порядке документов, материалов, непосредственно затрагивающих права и свободы гражданина, либо несвоевременное предоставление таких документов и материалов, непредоставление иной информации в случаях, предусмотренных законом «О персональных данных», либо предоставление гражданину неполной или заведомо недостоверной информации – влечет наложение административного штрафа…»

Уголовный Кодекс РФ (УК РФ)

«…УК РФ. Статья 137. Нарушение неприкосновенности частной жизни
1. Незаконное собирание или распространение сведений о частной жизни лица, составляющих его личную или семейную тайну, без его согласия либо распространение этих сведений в публичном выступлении, публично демонстрирующемся произведении или средствах массовой информации - наказываются штрафом, либо обязательными работами на срок от ста двадцати до ста восьмидесяти часов, либо исправительными работами на срок до одного года, либо арестом на срок до четырех месяцев...»


«…УК РФ. Статья 140. Отказ в предоставлении гражданину информации
Неправомерный отказ должностного лица в предоставлении собранных в установленном порядке документов и материалов, непосредственно затрагивающих права и свободы гражданина, либо предоставление гражданину неполной или заведомо ложной информации, если эти деяния причинили вред правам и законным интересам граждан, - наказываются штрафом, либо лишением права занимать определенные должности или заниматься определенной деятельностью на срок от двух до пяти лет...»


«…УК РФ. Статья 272. Неправомерный доступ к компьютерной информации
1. Неправомерный доступ к охраняемой законом компьютерной информации, то есть информации на машинном носителе, в электронно-вычислительной машине (ЭВМ), системе ЭВМ или их сети, если это деяние повлекло уничтожение, блокирование, модификацию либо копирование информации, нарушение работы ЭВМ, системы ЭВМ или их сети, - наказывается штрафом, либо исправительными работами на срок от шести месяцев до одного года, либо лишением свободы на срок до двух лет…»
В настоящее время в связи с принятием Федерального закона № 152 «О персональных данных» планируется внести изменения в некоторые законодательные акты РФ, в том числе в Кодекс об Административных Правонарушениях РФ и Уголовный кодекс РФ, что повлечет существенное увеличение размера наказания за нарушения в сфере обработки персональных данных.

Трудовой кодекс

Статья 81 - Однократное грубое нарушение работником трудовых обязанностей - разглашение охраняемой законом тайны (государственной, коммерческой, служебной и иной), ставшей известной работнику в связи с исполнением им трудовых обязанностей, в том числе разглашение персональных данных другого работника - увольнение

Статья 90 - Нарушение норм, регулирующих получение, обработку и защиту персональных данных работника - увольнение

несобдюдение правил работы с информацией, повлекшее нарушение материальных интересов лиц, к которым эта информация относится, предусматривает_____________ответственность.
Варианты ответов:
1.личную
2.гражданско-правовую
3.уголовную
4.дисциплинарную

Вашим преподователям не мешает подучить матчасть и научиться корректно формулировать вопросы :)

Ответ зависит от того, кто эти лица, какие именно правила нарушены, какие именно материальные интересы нарушены и в чем заключается нарушение этих интересов :)

Скорее всего предполашается, что правильный ответ - 2. Если некоторое лицо (физическое или юридическое) обязалось исполнять определенные правила, не исполнило их и тем самы причинило убытки третьим лицам, оно обязано эти убытки возместить.

Это не личная ответственность. Например, ответственность за нарушение правил может нести юридическое лицо (например, по статье 13.11 КоАП), а ответственность юридического лица не всегда влечет за собой личную ответсвенность кого-либо из его сотрудников.

Это не уголовная ответственность, поскольку для натупления уголовной ответственности (статья 274 УК РФ) требуется нарушение не каких-то абстрактных правил, а вполне определенных правил эксплуатации ЭВМ,

Это не дисципллинарная ответственность, поскольку она возможна только в рамках трудовых отношенийц.

На сайте РСОК висит документ "Обобщенные предложения органов государственной власти и заинтересованных организаций по гармонизации
законодательства в сфере персональных данных". Одно из предложений самого Роскомнадзора:

Несоблюдение оператором требований по обеспечению
безопасности персональных данных при их обработке без использования средств автоматизации, в
информационных системах персональных данных,
требований к материальным носителям биометрических
персональных данных и технологиям хранения таких
Статья 13.11 проекта федерального закона № 217355-4 «О внесении изменений в некоторые законодательные акты Российской Федерации в связи с принятием
Федерального закона «О ратификации Конвенции
Совета Европы о защите физических лиц при
автоматизированной данных вне информационных
систем персональных данных, Повлекшее за собой нарушение прав и законных интересов
субъектов персональных данных влечет наложение
административного штрафа на должностных лиц – от
пятидесяти до ста тысяч рублей;
на лиц, осуществляющих предпринимательскую
деятельность без образования юридического лица – от
пятидесяти до ста тысяч рублей или административное
приостановление деятельности на срок до 90 суток;
на юридических лиц – от пятисот тысяч до 1 миллиона
рублей или административное приостановление деятельности на срок до 90 суток.

http://pd.rsoc.ru/docs/13081554Fd.pdf