«Опора России» подсчитала издержки бизнеса из-за закона о личных данных
Исполнение поправок к закону «О персональных данных», которые сейчас рассматривает Госдума, может привести к дополнительным издержкам бизнеса на уровне почти 33 млрд руб. в год. Об этом сообщает «Коммерсантъ» со ссылкой на письмо исполнительного директора «Опоры России» Андрея Шубина главе комитета Госдумы по информполитике Александру Хинштейну.
Поправки к закону «О персональных данных» подготовила группа депутатов во главе с Александром Хинштейном. По ним все организации должны уведомлять Роскомнадзор о трансграничной передаче персональных данных в страны, «обеспечивающие адекватную защиту прав субъектов данных» (в список не входит, например, Китай). Регулятор может постфактум запретить отправку данных в течение 30 дней после подачи заявления.
Проект также обязывает всех операторов персональных данных быть постоянно подключенными к ГосСОПКА. Сейчас такая норма есть только для объектов критической информационной инфраструктуры (банки, операторы связи и другие).
Необходимость согласовывать передачу данных за рубеж, по мнению «Опоры России», «усложнит ведение внешнеторговой деятельности для малого и среднего бизнеса вплоть до полной остановки работы в связи с административными издержками по подготовке и отправке таких уведомлений». Малый бизнес обычно не имеет отдельной кадровой службы и не может позволить себе расходы на перестройку процессов и взаимодействие с Роскомнадзором, подчеркнули в организации. Там оценивают дополнительные издержки на составление и отправку уведомлений на уровне 32,8 млрд руб. в год.
Помимо этого, по оценке Института исследований интернета (ИИИ), расходы на само подключение к ГосСОПКА составят 1,7 трлн руб.: структурам, которые занимаются обработкой персональных данных, придется закупить сертифицированное ФСТЭК программное обеспечение для установления защищенного канала связи с ГосСОПКА, поясняет гендиректор ИИИ Карен Казарян.
В Роскомнадзоре не согласились с оценками «Опоры России», других экспертов и участников рынка, подчеркнув, что «оператор персональных данных должен уведомлять Роскомнадзор один раз для каждой страны, а не о каждой трансакции». По предложению Хинштейна сроки рассмотрения такого уведомления будут сокращены до десяти рабочих дней, добавили в ведомстве. В Минцифры газете сообщили, что планируют серию встреч с бизнесом для обсуждения и уточнения положений проекта.
Власти неоднократно обсуждали необходимость ужесточения наказания за утечки персональных данных. Так, с 1 марта 2021 года в России вступил в силу закон об изменении правил обработки общедоступных персональных данных — сведений о гражданах, которые те сами сообщили в соцсетях, на торговых площадках. Теперь эту информацию операторы — владельцы онлайн-платформ не могут распространять по умолчанию. Для таких действий потребуется отдельное согласие пользователя.
В декабре прошлого года Центробанк предложил проработать вопрос о закреплении в российском законодательстве понятий «обезличенные кредитные истории» и «обезличенные данные», чтобы облегчить передачу агрегированных сведений о заемщиках.
В конце февраля глава Минцифры Максут Шадаев заявил, что его ведомство предлагает ввести оборотные штрафы для допустивших утечку персональных данных компаний. По его словам, сейчас бизнес опасается скорее репутационных издержек, нежели штрафа. Сегодня максимальный штраф за утечку персональных данных для бизнеса составляет 500 тыс. руб.
