План мероприятий по обеспечению безопасности ПДн

На что обратить внимание

Юрист отметил в этом документе:

• Расходы на защиту информации следует планировать с оглядкой на часть 3.4-2 статьи 4.1 КоАП РФ: обстоятельством, смягчающим ответственность за утечку персональных данных, признаются документально подтверждённые расходы на средства защиты информации в размере не менее 0,1 процента совокупного размера выручки за каждый из трёх календарных лет, предшествующих инциденту, при наличии подтверждения соответствия требованиям по защите информации, полученного не ранее чем за двенадцать месяцев до инцидента. Планируемая сумма, договоры и первичные документы — доказательственная база этого обстоятельства, а трёхлетний характер условия означает, что разовое вложение в год проверки его не образует.
• Мероприятия по реагированию на инциденты планируются заранее и с конкретными сроками: уведомление уполномоченного органа направляется в течение двадцати четырёх часов с момента выявления инцидента, уведомление о результатах внутреннего расследования — в течение семидесяти двух часов (часть 3.1 статьи 21 Федерального закона № 152-ФЗ). Эти сроки невозможно соблюсти, если порядок действий не отработан и ответственные не назначены до инцидента.
• Уведомление Роскомнадзора об изменении ранее поданных сведений направляется не позднее 15-го числа месяца, следующего за месяцем, в котором возникли изменения, а о прекращении обработки — в течение десяти рабочих дней с даты прекращения (часть 7 статьи 22 Федерального закона № 152-ФЗ). Формы уведомлений утверждены приказом Роскомнадзора от 28.10.2022 № 180 и подаются через портал персональных данных.
• Ответственность за нарушения в области персональных данных ужесточена с 30 мая 2025 года Федеральным законом от 30.11.2024 № 420-ФЗ. Для юридического лица по статье 13.11 КоАП РФ: неуведомление Роскомнадзора об инциденте (часть 11) — от 1 до 3 млн рублей, для должностных лиц от 400 до 800 тыс. рублей; утечка данных от 1 000 до 10 000 субъектов (часть 12) — от 3 до 5 млн рублей; от 10 000 до 100 000 субъектов (часть 13) — от 5 до 10 млн рублей; свыше 100 000 субъектов (часть 14) — от 10 до 15 млн рублей; специальные категории (часть 16) — от 10 до 15 млн рублей; биометрия (часть 17) — от 15 до 20 млн рублей. Повторное правонарушение влечёт оборотный штраф от 1 до 3 процентов совокупного размера выручки за предшествующий год, но не менее 20 млн и не более 500 млн рублей (часть 15 — после частей 12–14, часть 18 — после частей 16 и 17).
• Уголовная ответственность по статье 272.1 Уголовного кодекса Российской Федерации (Федеральный закон от 30.11.2024 № 421-ФЗ): часть 1 — до четырёх лет лишения свободы; часть 2 (несовершеннолетние, специальные категории, биометрия) — до пяти лет; часть 3 (корыстная заинтересованность, крупный ущерб, группа лиц, служебное положение) — до шести лет; часть 4 (трансграничная передача) — до восьми лет; часть 5 (тяжкие последствия, организованная группа) — до десяти лет.
• План мероприятий строится от установленного уровня защищённости, а не от общих соображений: пункты 13–16 Требований, утверждённых постановлением Правительства Российской Федерации от 01.11.2012 № 1119, задают обязательный минимум для каждого уровня, а приказ ФСТЭК России от 18.02.2013 № 21 — состав и содержание мер. Если план не воспроизводит обязательные для уровня меры, он не закрывает требование закона, сколько бы мероприятий в нём ни было.
• Оценка эффективности реализованных мер (пункт 6 приказа ФСТЭК России от 18.02.2013 № 21) и контроль за выполнением требований к защите персональных данных (пункт 17 Требований, утверждённых постановлением Правительства Российской Федерации от 01.11.2012 № 1119) проводятся не реже одного раза в три года каждая и планируются отдельными мероприятиями. Оценка эффективности проводится также до ввода информационной системы в эксплуатацию.