Ответственность: что бывает за необезличенное

Словарь терминов этой главы

• Инцидент (personal data incident) — установленный факт неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлёкший нарушение прав субъектов. С него начинается отсчёт всех сроков.
• Уведомление об инциденте (incident notification) — обязанность оператора сообщить Роскомнадзору: в течение 24 часов о факте и принятых мерах, в течение 72 часов о результатах внутреннего расследования.
• Оборотный штраф (turnover-based fine) — штраф в процентах от выручки компании, а не фиксированная сумма. Для повторных утечек — от 1 до 3 процентов.
• Реестр учёта инцидентов (incident registry) — учёт инцидентов в области персональных данных, который ведёт Роскомнадзор.
• Идентификатор для КоАП (identifier) — уникальное обозначение сведений о физическом лице, содержащееся в информационной системе оператора. Утечки считаются и в субъектах, и в идентификаторах.

Краткий обзор: две первые главы — про правила. Третья — про цену их нарушения. До 30 мая 2025 года утёкшие миллионы строк стоили оператору десятки тысяч рублей — глава откроется двумя такими делами. Потом вступил в силу закон об оборотных штрафах, и та же утечка специальной категории стоит до 15 миллионов, повторная — процент выручки. Разберём процедуру инцидента (24 и 72 часа), шкалу штрафов КоАП, распределение ответственности между оператором и подрядчиком и закроем первый блок пособия таблицей «ситуация → обязанность → риск».