Эксперт Музалевский: небольшие штрафы не стимулируют российский бизнес защищать персональные данные
изображение: grok
Фёдор Музалевский, директор технического департамента RTM Group, прокомментировал для CISOCLUB статистику штрафов за утечки персональных данных в России. По его мнению, общая сумма взысканий остаётся слишком незначительной, чтобы стать для бизнеса серьёзным стимулом вкладываться в защиту информации. При этом для изменения ситуации важны не только размеры штрафов, но и широта привлечения организаций к ответственности.
«В первую очередь в голову приходит пословица: «Курам на смех». Общее наказание за утечки за полгода меньше, чем стоимость внедрения системы предотвращения утечек. При этом нет показательной информации (вопрос не к исследованию Инфовотч, а к регуляторам) – кого оштрафовали, за что конкретно, комментарии и практика. Ну и сведения о десятках (даже не сотнях) проверок среди миллионов операторов ПДн – также ни о чем», — отметил Фёдор Музалевский.
Эксперт считает, что нынешняя практика может формировать у компаний противоположную мотивацию: вместо инвестиций в защиту данных они готовы принять небольшой штраф как возможные издержки. В такой модели вероятность проверки и наказания может восприниматься как более значимый фактор, чем сама обязанность обеспечивать безопасность персональных данных.
«Подобная статистика вызывает не желание защищать персданные, а напротив, как с ОСАГО: остановят – заплачу штраф, а если повезет, в ДТП не попаду, и платить не придется», — пояснил эксперт.
По мнению Фёдора Музалевского, для повышения эффективности надзора необходимо расширять практику проверок и привлечения операторов персональных данных к ответственности. Тогда повторные нарушения, за которые предусмотрены более серьёзные санкции, смогут сильнее влиять на решения бизнеса.
«Вопрос применения оборотных штрафов в этом контексте, наверное, не очень актуален, а вот широта привлечения к ответственности – очень даже. Материалов о нарушениях, очевидно, можно набрать десятки тысяч (хватит ли проверяющих у РКН – вопрос открытый), и после них, когда повторное нарушение будет грозить не сотней тысяч рублей, что-то может быть и изменится в пользу защиты данных от утечек», — заявил Фёдор Музалевский.
Ещё одним инструментом эксперт считает публичное раскрытие результатов проверок. По его мнению, публикация информации об утечках, привлечённых к ответственности организациях и материалах проверок помогла бы другим операторам оценивать собственные риски и учитывать выявленные нарушения без ожидания визита регулятора.
«Было бы неплохо на сайте РКН размещать информацию о том, у кого какие данные утекли (ведь уже случилось, чего секретничать), кто к какой ответственности был привлечен, и материалы проверки – чтобы аналогичные ситуации можно было экстраполировать на организации, до которых проверка не дошла. Тогда даже при такой скромной (а точнее смешной) статистике надзор был бы продуктивным», — заключил Фёдор Музалевский.
