Первые дела по оборотным штрафам за ПДн: что показывает практика

Закон вступил в силу в мае. Прошло почти два месяца - и первые дела по оборотным штрафам за утечки персональных данных уже дошли до решений. Мы в команде читали их с карандашом в руке: очень интересно, как суды и регулятор на практике интерпретируют то, что на бумаге выглядело размыто.

Спойлер: практика ещё только складывается, и это само по себе важно знать.

Что за дела и откуда берём информацию

Публично доступных решений пока немного - несколько актов из арбитражей, часть дел ещё в процессе. Роскомнадзор периодически публикует пресс-релизы, юридические телеграм-каналы агрегируют информацию. Мы смотрели именно на то, что уже получило конкретный процессуальный результат, а не на возбуждённые дела без итога.

Важная оговорка: данные неполные, и делать из двух-трёх прецедентов универсальные выводы - путь к ошибкам. Но тенденции уже читаются.

Что видно в первых делах

Размер штрафов - ближе к нижней границе. В случаях, которые прошли через суд, итоговые суммы оказались скромнее теоретического максимума. Суды применяли смягчающие обстоятельства - добровольное уведомление об утечке, сотрудничество с регулятором, отсутствие рецидива. Если вспомнить как была устроена шкала в законе, нижний порог в 0,1% оборота и без того бьёт по-настоящему при крупной выручке - так что «смягчённые» решения не означают мягкого наказания.

Журнал событий решает. В двух случаях из тех, что мы видели, компании смогли существенно снизить штраф именно потому, что предоставили журналы доступа к ПДн, логи SIEM и технический отчёт о том, что именно утекло и когда. Компании без нормальной системы логирования получали оценку «нарушитель не принял разумных мер защиты» - и это сразу другой ценовой диапазон.

Уведомление регулятора в 24 часа - отдельный вопрос. Один из кейсов - компания сообщила об инциденте на третий день. Формально нарушение срока, но суд принял во внимание, что уведомление всё же было подано и содержало полный объём информации. Смягчили, но не обнулили. Для нас это сигнал: клиентам, которые до сих пор не выстроили процедуру реагирования на инцидент с ПДн, нужно делать это прямо сейчас.

Субъект штрафа - оператор, а не исполнитель. В одном деле компания пыталась аргументировать, что утечка произошла через подрядчика. Суд не принял это как основание для снятия ответственности - оператор несёт ответственность за всю цепочку обработки. Этот тезис мы и раньше объясняли клиентам, но теперь есть конкретный прецедент.

Что из этого следует для нашей работы

Когда в ноябре мы писали про типичные пробелы в аудитах, речь шла о гипотетических рисках. Теперь картина подтверждается реальными решениями.

Три вещи, которые сейчас первее всего в аудите защиты данных:

• Журналирование и его полнота. Не просто «логи есть», а логи достаточные - кто, когда, что делал с персональными данными. SIEM должен собирать это с систем-операторов ПДн, а не только с сетевой периметра.

• Процедура уведомления об инциденте. Пошаговый регламент, кто звонит в РКН, что отправляет, в течение каких часов. Лучше отработать на учениях, чем обнаруживать пробелы в ночь после инцидента.

• Договоры с подрядчиками, обрабатывающими ПДн. Не шаблонные строки «подрядчик обязуется соблюдать 152-ФЗ», а конкретные требования: аудит, право проверки, меры защиты, уведомление в случае инцидента на их стороне.

Чего пока нет

Публичной статистики по всем возбуждённым делам - нет. Понимания, как суды будут трактовать «оборот» в холдинговых структурах - пока нет. Как будут считать повторные нарушения, если первый инцидент был до мая, а второй после - тоже открытый вопрос.

Правоприменительная практика будет уточняться весь оставшийся год. Мы следим за публичными решениями и обновляем рекомендации по мере появления новых кейсов. Если у вас есть утечка или проверка РКН прямо сейчас - это не время ждать устоявшейся практики, это время действовать с тем, что известно на сегодня.