Страховщики назвали возможный размер компенсации пострадавшим от утечек данных
Размер компенсации «морального ущерба» гражданам, пострадавшим от утечки персональных данных, может зависеть от типа данных и составлять 1000–5000 руб. на одного человека. Общий лимит страхового покрытия таких рисков предлагается сделать от 5 млн до 1 млрд руб. в зависимости от объема хранимых компанией персданных. С такими предложениями выступил председатель рабочей группы Всероссийского союза страховщиков (ВСС) по страхованию информационных рисков Владимир Новиков на круглом столе в Совете Федерации. Вопрос компенсаций пользователям, чьи данные оказались в открытом доступе, более двух лет обсуждается в контексте законопроекта об оборотных штрафах для IT-компаний (операторов персональных данных), допустивших утечки персональных данных (ПД), с весны 2022 г. Законопроект предусматривает штраф в размере от 0,1 до 3% выручки компании за календарный год или за часть текущего года, но не менее 15 млн руб. и не более 500 млн руб. за повторную утечку данных. Также обсуждалась возможность создания фонда помощи пострадавшим, из которого будут выплачиваться денежные компенсации за утечки, сообщил Шадаев на конференции «Ведомостей» в апреле 2023 г. Тогда же Минцифры предложило задействовать портал «Госуслуги» в качестве третьей стороны при распределении компенсаций за утечки персональных данных. Но вопрос расчета размера компенсации до сих пор оставался нерешенным. Осенью 2023 г. обсуждалось создание в 2025 г. единого страхового фонда киберрисков с целью реализации механизмов возмещения потерь при киберинцидентах, писали «Ведомости». Более 70% российских компаний не страхуют киберриски, писали «Ведомости» тогда же со ссылкой на данные InfoWatch. В 14% случаев ущерба от потери данных превышает 1 млн руб. Решением проблемы могло бы стать введение требования обязательного страхования киберрисков, отмечал директор по маркетингу и коммуникациям страхового брокера Remind (ранее – Marsh) Армен Гюлумян. ВСС разработал проект стандартного страхового продукта, в котором будут указаны фиксированные суммы «морального ущерба» компенсации гражданам, пострадавшим от утечек персональных данных. «Я использовал словосочетание «моральный ущерб» в кавычках, потому что мы предлагаем вывести его в немного другое правовое поле, т. е. законодательно зафиксировать определенные суммы компенсации вне зависимости от ущерба. По мере развития продукта эти суммы могут быть пересмотрены», – пояснил Новиков. В качестве основы для определения размера выплат ВСС взял из действующего законодательства три категории персональных данных: простые данные (любая информация о человеке), специальные данные (расовая, национальная принадлежность, политические взгляды, интимная жизнь и проч.) и биометрия. Предполагается, что гарантированная компенсация за факт утечки составит 1000, 2000 и 5000 руб. в зависимости от типа данных. Для расчета общей страховой суммы ВСС предлагает учитывать объем этих данных у каждой компании. Например, если у оператора персональных данных хранится до 1000 записей, то общий лимит страхового покрытия составит 5 млн руб. Если 10 000 записей – общая сумма страховки будет 20 млн руб. При хранении 100 000 записей персданных лимит составит 100 млн руб., 1 млн записей – 500 млн руб. Максимальная страховая сумма получится у операторов, которые агрегируют более 1 млн записей, она составит 1 млрд руб. ВСС проработал модель урегулирования подобных страховых случаев, заявил Новиков на круглом столе в Совете Федерации. По задумке союза страховщиков, после того как Роскомнадзор зафиксирует факт утечки персональных данных, необходимо подтвердить данные каждого конкретного человека в этой утечке и проинформировать граждан об этом, например, через сервис госуслуг. Дальше пострадавшее лицо должно заявить, что оно считает себя пострадавшим и желает получить компенсацию. Подать заявление можно будет – условно – в течение трех месяцев, уточнил Новиков. Валидацией обращений может заниматься Национальная страховая информационная система (НСИС), которой доступны данные Роскомнадзора, страховых компаний и физлиц, полагает он. После всех проверок выплаты фиксированных сумм по факту утечек будут происходить в автоматическом режиме, отметил Новиков. Но, чтобы этот типовой продукт заработал, нужно проработать регламентацию процесса фиксации и валидацию утечки персданных, передачи информации о том, кто из физлиц попал в эту утечку, перечислил Новиков. Также союз страховщиков предлагает прописать в договоре страхования агрегированный лимит ответственности в случае обращения в суд. Если пострадавших будет настолько много, что сумма общего возмещения ущерба превысит страховую сумму, то будет включаться механизм либо понижающего коэффициента, либо очередности лиц, которые подали заявления, т. е. кому-то ущерб компенсируется, а кому-то – нет, пояснил Новиков. Механизм защиты прав тех, чьи персональные данные утекли, должен в равной степени распространяться на государственные и негосударственные информационные системы, заявил генеральный директор НСИС Николай Галушин. Также должна быть причинно-следственная связь между утечкой или наличием персональных данных в даркнете, интернете и каким-то событием у информационной системы, указал он. И должна быть причинно-следственная связь между произошедшим событием и нанесением морального вреда или физического вреда имуществу, добавил Галушкин. Еще прозвучало предложение принять и опубликовать положения о добровольном внесудебном возмещении вреда гражданам. В данном документе будут установлены разумные и справедливые формы, размеры, сроки возмещения вреда, а также условия их получения, сказал руководитель GR-проектов Ассоциации больших данных Марат Тахавиев. Несмотря на то что подобные положения носят рекомендательный характер, исполнение их операторами персональных данных должно подтверждать их добросовестность и учитываться при рассмотрении дел об утечках и назначении наказания, считает он. Наталья ЗАРУЦКАЯ, Екатерина КИНЯКИНА insur-info.ru
