Статья: Аптечные сети могут столкнуться со штрафами до 500 млн руб. за утечку персональных данных. Данные на миллион

(Гордеева М.)

(«Фармацевтический вестник», 2025, № 14)

За ошибки при обработке персональных данных и их утечку ужесточили ответственность. Новые поправки вводят оборотные штрафы до 3% выручки за повторную утечку любой категории данных. Для аптечного сектора, ежедневно обрабатывающего миллионы записей о покупателях и пациентах, это означает серьезные финансовые риски.

С 30 мая в России вступили в силу поправки в законодательство о персональных данных, ужесточающие ответственность за его нарушение. «Эти изменения касаются абсолютно всех юридических лиц, вне зависимости от отрасли — будь то аптечные сети, фармацевтические компании, производители медицинских изделий или иные», — отмечает старший юрист Verba Legal Анастасия Мырсина.

Теперь для компаний, допустивших повторную утечку персональных данных любой категории, законом впервые вводятся оборотные штрафы — до 3% выручки (но не менее 25 млн и не более 500 млн руб.).

Кроме того, для коммерческих организаций и индивидуальных предпринимателей установлены штрафы:

• за нарушение обязанности уведомить об утечке персональных данных — от 1 млн до 3 млн руб.;
• за утечку персональных данных о не менее чем 1 тыс. физических лиц или не менее 10 тыс. идентификаторов — от 3 млн до 5 млн руб.;
• за утечку данных о не менее чем 10 тыс. физических лиц или не менее 100 тыс. идентификаторов — от 5 млн до 10 млн руб.;
• за утечку данных о более чем 100 тыс. физических лиц или более 2 млн идентификаторов — от 10 млн до 15 млн руб.;
• за утечку биометрических данных — от 15 млн до 20 млн руб.

По словам спикера Госдумы Вячеслава Володина, введение серьезной ответственности поможет решению проблемы, в том числе эффективнее бороться с кибермошенничеством.

За последние три-четыре года Роскомнадзор последовательно усиливает надзор и совершенствует нормативную базу, включая повышение ответственности.

«Новый этап развития законодательства — это введение оборотных штрафов за утечку персональных данных, повторную утечку, но тем не менее ранее такая санкция в принципе применялась только в антимонопольном регулировании. Это означает, что штраф может исчисляться как процент от выручки организации», — прокомментировала поправки Мырсина.

Эксперт подчеркивает, что существенно возросли штрафы по целому ряду составов нарушений, включая неправомерную обработку данных, несообщение об утечке, отсутствие согласий и прочее. «Для аптечных организаций, которые, как правило, обрабатывают широкий спектр персональных данных — от данных сотрудников до информации о клиентах программ лояльности и онлайн-заказов, это сигнал к действию», — говорит она.

Что советует юрист:

1. Провести внутренний аудит всех процессов обработки персональных данных.

2. Убедиться, что уведомление о начале обработки направлено в Роскомнадзор.

3. Привести в соответствие документы (политики обработки данных; формы согласий; договоры с контрагентами и иные локальные акты).

4. Выстроить систему работы с данными и обучить сотрудников правилам их обработки.

5. Оценить техническую защищенность IT-систем, чтобы минимизировать риски утечек.

Мырсина отмечает, что формального набора документов недостаточно. Проверяется не только наличие бумаг, но и реальная безопасность данных.

С 1 июля 2025 года также вступают в силу важные изменения, касающиеся использования баз данных. «Компании должны внимательно проверить, какие провайдеры и IT-решения используются для хранения и обработки персональных данных. Важно убедиться, что все данные российских граждан обрабатываются в информационных системах, физически размещенных в России, в соответствии с требованиями законодательства о локализации», — предупреждает юрист.

Подписано в печать

05.06.2025

---