А теперь серьёзно про уголовную ответственность за утечки в свете поправок
В инфополе разные специалисты из разных областей вдруг стали нагнетать идею о том, что поправки в УК РФ, принятые накануне, создают для них риски уголовной ответственности.
Лирическое отступление
Начать стоит с лирики — уголовная ответственность, при скрупулёзном и честном анализе норм уголовного кодекса, может возникнуть на основании более привычных и обыденных основаниях. Благо, система не рассчитана, чтобы пресекать всякое любое поведение, описанное в законе, сосредоточившись (и это правильно) на составах, несущих наибольшую опасность для общества, государства и определённых групп населения.
Конец лирического отступления
Так вот, начнём с базы, а именно с того, что же является преступлением, т. е. уголовно наказуемым деянием, для этого обратимся к ст. 14 УК РФ:
1. Преступлением признается виновно совершенное общественно опасное деяние, запрещенное УК РФ под угрозой наказания.
2. Не является преступлением действие (бездействие), хотя формально и содержащее признаки какого-либо деяния, предусмотренного настоящим Кодексом, но в силу малозначительности не представляющее общественной опасности.
Далее, чтобы закрепить, посмотрим на то, что такое вина и её формы (ст. 24 УК РФ):
1. Виновным в преступлении признается лицо, совершившее деяние умышленно или по неосторожности.
2. Деяние, совершенное только по неосторожности, признается преступлением лишь в случае, когда это специально предусмотрено соответствующей статьей Особенной части УК РФ.
Теперь посмотрим на поправки к УК РФ в связи с утечками персональных данных. Какие составы преступления мы видим:
(1) «Незаконные использование и (или) передача (распространение, предоставление, доступ), сбор и (или) хранение компьютерной информации, содержащей персональные данные, полученной путем неправомерного доступа к средствам ее обработки, хранения или иного вмешательства в их функционирование либо иным незаконным путем» — на мой вкус, в данном случае чётко прослеживается угроза за баз данных типа Глаза Бога (давно пора) и прочим поддерживающим эту базу лиц, чем для DPO или безопасников, поскольку субъект преступления должен понимать, что он использует некую базу персональных данных, которая точно получена незаконно. Да, он должен убедиться, что контрагент соблюдает требования законодательства об обработке персональных данных (базовый дьюдил никогда не помешает), должен прописать оговорки в договоры и с лицами, предоставляющими информацию, и с обработчиками, но риски именно уголовной ответственности для добросовестных участников информационного оборота могут возникать в исключительных случаях, когда такие участники также добросовестно забивают на все-любые контроли
(2) «Те же деяния, совершенные в отношении компьютерной информации, содержащей персональные данные несовершеннолетних лиц, специальные категории персональных данных и (или) биометрические персональные данные» — тут в целом то же самое, но с ужесточением для определённого вида данных, а соответственно — больше рисков для определённых сфер деятельности. Но, давайте начистоту, эти категории данных (кстати, в ФЗ «О персональных данных» данные несовершеннолетних защищаются, но не на уровне биометрии) должны ВСЕГДА обрабатываться, когда мы знаем откуда они, что у нас есть все нужные согласия и проч. Без этого, рисков и без уголовки хватает.
(3) «Деяния, предусмотренные частью первой или второй настоящей статьи, совершенные: а) из корыстной заинтересованности; б) с причинением крупного ущерба; в) группой лиц по предварительному сговору; г) с использованием своего служебного положения» — тут тоже рисков для DPO, специалистов и прочих добросовестных участников информационного оборота, на мой вкус, нет. Но эти положение — хорошее подспорье для DPO, чтобы ввести-таки сегрегацию доступов к персональным данным, а также продавить бизнес (да-да, это всегда сложно) на внедрение мониторинга и прочие технические меры защиты.
(4) «Деяния, предусмотренные частью первой, второй или третьей настоящей статьи, сопряженные с трансграничной передачей компьютерной информации, содержащей персональные данные, и (или) трансграничным перемещением носителей информации, содержащих персональные данные» — колл-центрам из определённых стран приготовится, важно, что этот риск трансграничной передачи намертво привязан в п. 1 и п. 2 выше со всеми данными мной ранее оговорками. При этом это хорошее обоснование для того, чтобы перепроверить, расчистить и структурировать трансграничку.
(5) «Создание и (или) обеспечение функционирования информационного ресурса (сайта в сети „Интернет“ и (или) страницы сайта в сети „Интернет“, информационной системы, программы для электронных вычислительных машин), заведомо предназначенного для незаконных хранения, передачи (распространения, предоставления, доступа) компьютерной информации, содержащей персональные данные, полученной незаконным путем» — и ещё один аргумент для хостеров Глаза Бога и иже с ним, а также подобных баз данных, т. е. лиц, которые поддерживают инфраструктуру хранения и обмена украденной информацией, опять же, на мой вкус, рисков для добросовестных участников информационного оборота нет.
Собственно, это все нововведения. Могу сказать, что государство очень чётко пытается ударить по крупным узлам незаконной обработки персональных данных злоумышленниками. Все указанные составы очень сложно применить к рядовым сотрудникам белого бизнеса (даже генеральным директорам): формулировки поправок в сочетании с общими положениями УК РФ, осложняют и делают бессмысленным разработку подобных кейсов (особенно, когда есть более простые и понятые пути (как НК РФ)).
Для лиц же, которые портят жизнь соотечественникам, прямо крадя миллиарды и нервы или способствуя этому, закон действительно жесток, но у них, думаю нет DPO. И это хорошо.
Опять же, время покажет, как нормы будут применяться, ведь только результат (в виде снижения нелегального оборота персональных данных с сопутствующим снижением уровня мошенничеств, например) будет маркером верности принятых решений.
Vkontakte
Twitter
Одноклассники
