Штраф за утечку данных — 152-ФЗ и cap
AIARM утечка ПДн — DPA, gradation штрафа и cap, не фикс 5 млн в абзаце. Например, загрузите PDF или DOCX на aiarm.ru.
Зачем это руководство
Штраф за «любую утечку» без gradation — ружьё в споре; один инцидент может стоить больше годового контракта.
Как AIARM помогает
AIARM найдёт штрафы за конфиденциальность, ПДн и LoL — сверьте cap и роли сторон.
Когда использовать это руководство
Когда в договоре с IT-подрядчиком, аутсорсером или SaaS — штраф за утечку ПДн, нарушение 152-ФЗ, «data breach». Ключевой вопрос: соразмерен ли штраф и кто оператор.
Чек-лист: штраф за утечку персональных данных
Когда в договоре с IT-подрядчиком, аутсорсером или SaaS — штраф за утечку ПДн, нарушение 152-ФЗ, «data breach». Пройдите таблицу ниже и отметьте каждую строку: «ОК» или «требует исправления».
| № | Что проверить | Где в документе | Критерий «ОК» | Типичная ошибка |
|---|---|---|---|---|
| 1 | Роли 152-ФЗ | Договор | Оператор/обработчик ясно | Путаница ролей (DPA) |
| 2 | Сумма штрафа | Sanctions | С cap, связь с ущербом | Фикс 5–10 млн ₽ за инцидент (data-breach-penalty-clause) |
| 3 | Уведомление РКН | Обязанность | Срок 24 ч — на обработчике | Не прописано (152-ФЗ) |
| 4 | Меры | Security | Требования к защите | Только штраф без мер (security cluster) |
| 5 | Страхование | Risk | Cyber insurance | Нет (LoL) |
| 6 | Carve-out LoL | LoL | Утечка — в cap или carve-out | LoL исключает всё (limitation-of-liability-draft) |
| 7 | Симметрия | Стороны | Зеркально при обмене ПДн | Только на подрядчика (Кабала) |
| 8 | Решение | DPA | Отдельное соглашение | Один абзац в договоре (Юрист) |
Порядок проверки
- Определите роли: кто оператор, кто обработчик по 152-ФЗ.
- Проверьте сумму штрафа и cap — соразмерно ли риску и цене договора.
- Пропишите процедуру инцидента: уведомление, сроки, расследование.
- Согласуйте DPA / приложение по безопасности.
- LoL: carve-out для утечки по вине или gross negligence.
Пример из практики
Пример: штраф 3 млн ₽ за «любой инцидент» — при договоре 400 тыс. ₽/год
Неправильно: SaaS-договор: штраф 3 млн ₽ за нарушение конфиденциальности/ПДн без gradation и cap. Мелкий инцидент (ошибочная рассылка) — контрагент выставил полный штраф; урегулировали на 200 тыс. ₽. Без своевременной фиксации нарушения, претензии и расчётов позиция в переговорах и суде существенно слабее.
Правильно: DPA с tiered sanctions: уведомление в 24 ч, штраф gradation, cap = годовая плата × 2.
См. confidentiality-trap-clauses и trade-secret-penalty.
Частые вопросы: Как проверить штраф за утечку данных
Как проверить штраф за утечку данных?
Роли 152-ФЗ, cap, gradation (тяжесть инцидента), процедура уведомления, меры защиты, симметрия при обмене ПДн, carve-out в LoL.
5 млн ₽ за утечку — норма?
Для крупных B2B с большим объёмом ПДн — обсуждаемо; для типового SaaS — нужен cap и gradation.
152-ФЗ — штраф в договоре заменяет штраф РКН?
Нет: договорной штраф — между сторонами; административная ответственность — отдельно.
DPA обязателен?
При передаче ПДн обработчику — да, по 152-ФЗ и практике; не сводите к одному штрафному пункту.
Проверьте документ бесплатно
Загрузите PDF или DOCX — AIARM подсветит риски за минуты.