14 октября Госдума приняла во втором и третьем чтениях законопроект № 404786-8, разрешающий банкам и другим финансовым организациям передавать банковскую тайну и персональные данные клиентов сторонним исполнителям. И для этого даже не потребуется отдельное согласие граждан.

Подрядчики должны соответствовать установленным требованиям: IT-компании — иметь аккредитацию, информационные системы — находиться в России, а саму передачу данных банки обязаны согласовывать с регулятором. ЦБ сможет запретить привлечение конкретного исполнителя.

Однако главное в том, что контроль за передачей данных усиливают, а гарантии компенсации пострадавшим — нет.

Закон обязывает подрядчиков защищать информацию, проходить ежегодный операционный аудит и сообщать об инцидентах в течение двух часов. За разглашение отвечать будут и исполнитель, и финансовая организация.

А теперь представим, что ваши данные все-таки утекли в сеть.

Штрафы за утечки могут достигать 15 млн рублей, а за повторные нарушения — 500 млн. Только деньги эти поступают в бюджет, а не гражданам, чьи данные оказались в руках мошенников.

Чтобы получить компенсацию, пострадавшему придется самостоятельно идти в суд и доказывать, что утечка действительно произошла, что опубликованные сведения принадлежат именно ему и что ему причинен ущерб. Даже моральный вред придется обосновывать отдельно.

Типичные присуждаемые судами суммы компенсации морального вреда — 5–50 тысяч рублей. Существенно больше удается получить, как правило, лишь при доказанных тяжелых последствиях, например оформлении мошенниками кредитов.

Получается удобная для системы конструкция: финансовые организации получают дополнительные возможности распоряжаться данными клиентов, регулятор контролирует процесс, государство собирает штрафы. При этом гражданин, чья частная жизнь оказалась под угрозой, должен самостоятельно собирать доказательства и добиваться компенсации через суд.

Почему при утечке персональных данных человек должен нести основное бремя доказывания, если сведения находились под контролем профессиональной финансовой организации?

По логике вещей, именно организация должна быть обязана подтвердить, что выполнила требования безопасности, а механизм возмещения ущерба не должен превращаться для пострадавшего в отдельное судебное испытание. По аналогии с обыкновенной кражей, бремя доказывания должно быть на госорганах.

Защита данных — это не только обязанность хранить их в безопасности. Это еще и ответственность за последствия, когда безопасность не обеспечили. Пока гражданину приходится самостоятельно доказывать собственную уязвимость, баланс интересов явно складывается не в его пользу.