Утекли персональные данные клиентов – что делать бизнесу?

Чем грозит утечка персональных данных?

Помимо очевидного репутационного ущерба, компании, допустившие утечку, могут быть подвергнуты значительным штрафам. В зависимости от характера нарушения и его последствий применяются разные нормы законодательства:

• КоАП РФ (ст. 13.11 и 13.14). За нарушение правил обработки и защиты персональных данных предусмотрены штрафы до 300 тысяч рублей, а за разглашение сведений с ограниченным доступом – до 200 тысяч рублей.
• Законопроекты 2024 года. Ожидается введение оборотных штрафов, которые могут составить от 5 до 500 миллионов рублей, в зависимости от масштаба утечки и её последствий.

В случае доказанной халатности в защите данных также могут применяться уголовные статьи УК РФ, такие как ст. 137, 138 и 272, предусматривающие наказание до двух лет лишения свободы для виновных лиц.

Как компаниям минимизировать последствия утечки?

Первым шагом при утечке данных является оперативное выяснение, какие именно данные оказались в публичном доступе. Это может быть информация о заказах без привязки к конкретным лицам, либо более серьёзные сведения, такие как адреса, пароли и паспортные данные. После инцидента необходимо как можно скорее:

1. Уведомить Роскомнадзор. На это дается 24 часа с момента выявления утечки. В течение следующих 72 часов нужно предоставить информацию о принятых мерах.
2. Оповестить клиентов. Важно сообщить пострадавшим о том, какие шаги предприняты для защиты их данных и предотвращения повторных утечек.
3. Провести внутреннее расследование. Это поможет установить причины инцидента и разработать меры для его недопущения в будущем.

Профилактика: как снизить вероятность утечек?

Для минимизации риска утечек данных и предотвращения юридических и финансовых последствий необходимо:

• Проводить регулярные аудиты процессов хранения и обработки персональных данных.
• Ограничить доступ к конфиденциальной информации, предоставляя его только тем сотрудникам, для которых это действительно необходимо.
• Обеспечить шифрование данных при их пересылке и хранении.
• Обучать сотрудников правилам безопасного обращения с данными и ответственности за их разглашение.