Неправильная обработка ПДн и уголовные дела – примеры
Немного статистики: за первое полугодие 2025 года МВД было выявлено 601 нарушение правил обработки ПДн, и по 313 из них возбуждены уголовные дела.
Это 100 нарушений в месяц, грубо, чтобы оштрафовать все компании в РФ нужно примерно 573,75 лет. Шутка.
Данные касаются новой статьи – 272.1 УК РФ «Незаконное использование ... информации, содержащей персональные данные…» — она вступила в силу с декабря 2024 года.
По следам статьи на Хабре хочу немного попугать вас и поделиться нескольким кейсами:
❗Cookie на сайте без согласия
Digital-агентство из Екатеринбурга устанавливало на всех лендингах клиентов пиксели Facebook и Яндекс.Метрику без cookie-баннера.
Результат проверки РКН: каждый лендинг — отдельное нарушение. 47 лендингов × 300 тыс. рублей = 14,1 млн рублей штрафа.
❗Лид-формы без DPA
В компании «Небо» лиды поступали из ВКонтакте в CRM-систему. Соглашение о передаче персональных данных (DPA) с CRM не было подписано.
Результат проверки РКН: передача ПДн без поручения клиентов нарушает статью 6 ФЗ №152. Штраф 700 тыс. рублей + предписание прекратить обработку всех данных.
❗Биометрия в маркетинге
Ритейлер в торговом центре установил камеры с подсчетом посетителей по лицам для отчетов по digital-рекламе.
Результат проверки РКН: обработка биометрических данных без специального согласия. Штраф 15 млн рублей, возбуждение уголовного дела по статье 272.1 УК РФ в отношении директора.
❗Google Analytics на сайте
Федеральная сеть фитнес-клубов использовала Google Analytics на своих региональных сайтах.
Результат проверки РКН: 25 городов × 1 млн. рублей = 25 млн. штрафа.
❗Принудительная ликвидация бизнеса
По Федеральному закону №115-ФЗ банки получили право инициировать ликвидацию бизнеса.
Предприятие с оборотом 120 млн рублей в год оплатило ИП за год в сумме 15 млн. Банк заподозрил компанию в транзитных переводах. Компания направила стандартный ответ, но не предоставила детальных разъяснений.
Результат: банк инициировал ликвидацию бизнеса. При принудительной ликвидации по инициативе банка у компании есть всего 6 месяцев на то, чтобы «обелить» себя. В отличие от ликвидации по инициативе ИФНС, там процедура проще.
Что с этим делать
✅ Провести аудит использования ПДн: какие данные, куда передаются, где хранятся, кто отвечает. Тут я писал про классы ИСПДн, а тут про новые законы.
✅ Проверить контрактную базу: есть ли DPA, как оформлены согласия, учитывается ли биометрия
✅ Проверить сайты на предмет использования зарубежных сервисов
Про это, кстати, есть хорошая народная мудрость: «берегите ваши и чужие ПДн смолоду».