Уголовная ответственность за незаконный оборот персональных данных

Подписан ФЗ от 30.11.2024 № 421-ФЗ, криминализирующий, говоря в общем, незаконный оборот персональных данных.
У нас появляется новая статья 272.1 с длинным названием и двумя составами внутри.
Пробежимся по ней и оценим риски (дисклеймер: я не оспариваю, наверное, нужности криминализации, а хочу лишь посмотреть, не хватили ли через край).
🔹Итак, упрощая текст, незаконные использование, передача (распространение, предоставление, доступ), сбор, хранение ПД, полученных путём неправомерного доступа к компьютерам или (внимание!) иным незаконным путём.
Вот у меня интуитивное ощущение, что «иным незаконным путём» будет приравниваться на практике к неустановленному пути – точнее, будет такая логика: законным путём не мог получить? – не мог, значит, получил каким-то неустановленным незаконным путём. А наказуемо, напоминаю, даже хранение само по себе (ладно было бы хранение с целью распространения).
И напоминаю, что ПД – это любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу. То есть даже не тайна как в 137 статье…
Так и звучит приговор: «…получив в неустановленное время в неустановленном месте неустановленным способом, то есть способом незаконным, при отсутствии на то законных оснований, хранил на своём компьютере (телефоне) данные об ИНН Иванова…». И Иванов такой: не-не, я согласия ему не давал, откуда он это взял, не знаю.
И сразу средняя тяжесть в составе.
Дальше идут квалифицирующие признаки, и всё закономерно вырастает до тяжкого состава.
В части 4, к слову, есть трансграничная передача ПД – привет, облачные сервисы и сервера на территории иностранных государств! До восьми лет, к слову…
В статье есть примечание. Действие нормы не распространяется на случаи обработки ПД физическими лицами исключительно для личных и семейных нужд. Так, ну допустим. Это, как я понимаю, чтобы друг друга не пересажать за вбивание данных паспорта при покупке авиабилетов на всю семью, если перед этим у членов семьи не взято письменное согласие на обработку ПД. Потому что незаконный же способ получения! Ибо где согласие в письменной форме, которое должно быть по закону конкретным, предметным, информированным, сознательным и однозначным. Я сознательно утрирую, но всё же… Да, к слову, про личные и семейные нужды – а вот если, например, нам ПД нужны для иной благой цели? Ну например – мы же юристы, понимаем о чём речь – нам надо иск подать, а адреса ответчика у нас нет. До сего дня многие, закрыв глаза, в тг-ботах всё узнавали. Теперь ай-ай-ай, это статья.
И что теперь со ст. 137 УК? Она вообще жива теперь будет? Напоминаю, что по практике:

К таким сведениям относятся: фамилия, имя, отчество, дата и место рождения, пол, адрес места жительства, сведения из документа, удостоверяющего личность, идентификационный (регистрационный, учетный) номер налогоплательщика (при наличии), семейное положение, социальное положение, образование, национальность, профессия, доходы, иные сведения, относящиеся к субъекту персональных данных (3КСОЮ, 23.03.2022, № 88а-4692/2022).

Что осталось для этой статьи? Рукописные заметки о частной жизни лица?
🔹Второй состав криминализирует создание или обеспечение функционирования программы, заведомо предназначенных для незаконных хранения, передачи ПД, полученных незаконным путём. То есть криминализируется в том числе деятельность разного рода тг-ботов, направленных на получение информации, других типов программ. Средняя тяжесть. Очень надеюсь, что есть разработки, как это выявлять / расследовать.
Давайте будем надеяться, что практика всю эту историю как-то скорректирует в сторону адекватности. А то опять получится абсурд как в случае с трекерами для слежения за коровами и младенцами…

Корпоративные ценности: откуда это слово?

Слово ценность имеет древние корни.
👉Слово value происходит от латинского valor, что означает силу или здоровье.
👉Примерно в 13 веке это слово появилось в старофранцузском языке как valoir - ценность или цена.
👉Уже в конце 14-го века английское слово value стало обозначало степень, в которой что-то является ценным или достойным оценки.

Некоторые исследователи (Рокич, 1973) считают, что люди обладают одинаковыми ценностями, но по-разному воплощают абстрактные ценности в реальной жизни. Если это так, то нужно ориентироваться не только на то, как ценности сформулированы, но еще и на на то, как они проявляются в корпоративной жизни.

Например, в японской корпоративной культуре уважение тесно связано с иерархией. Сотрудники строго соблюдают вертикальную структуру организации. Младшие по должности или возрасту выражают глубокое уважение к старшим. Уважении проявляется в поведении и манерах: поклоны, форма обращения.

В Европейской корпоративной культуре, напротив, если сотрудники начнут делать поклоны руководителю, чтобы продемонстрировать уважение - это, мягко говоря, будет воспринято странно.

Такие же различия в проявлении ценностей будут и на уровне сотрудников, которые работают в одной компании, что неплохо учитывать тем, кто отвечает за корпоративную культуру в компании.

Самые цитируемые телеграмм-каналы по комплаенс

Коллеги, вышло исследования телеграмм-каналов по комплаенс.

Мой канал по цитируемости занял 5 место. При этом обогнав каналы, на которые подписано 2900, 1700, 1225 человек.

Что ждет экспертов в области антикоррупционного комплаенса в 2025 году?

Фактически в 2025 году всех ожидает рост стоимости жизни, который будет оказывать дополнительное давление на сотрудников. Поехать в отпуск станет дороже, повышение заработной платы не сделает богаче, а прежняя заработная плата приведет к снижению уровня жизни, так как цены вырастут.

👉 Один из факторов корпоративного мошенничества - это давление, которое повышает мотивацию нарушать правила. В 2025 давления хватит на всех, что это значит для комплаенс ?

Три группы нарушений, которые могут быть в зоне внимания в 2025 году.

📌Закупки
📌Подбор персонала
📌Гранты

Что можно предпринять ? Пересмотреть/улучшить программу по борьбе с корпоративным мошенничеством и коррупцией.

Общая структура такой программы может быть такой:

Общие положения

📍Вступление
📍Определение мошенничества
📍Определение коррупции
📍Заявление об отношении организации к мошенничеству и коррупции
📍Ссылки на кодекс поведения и этические принципы организации
📍Взаимосвязь с другими планами организации по управлению рисками

Основы борьбы с мошенничеством и коррупцией

📍Роли и ответственность
📍Повышение осведомленности о рисках мошенничества и коррупции
📍Подотчетность бизнес-подразделений в борьбе с мошенничеством и коррупцией
📍Управление рисками мошенничества и коррупции
📍Сканирование внешней среды
📍Разработка и внедрение программы антикоррупции и противодействию мошенничеству
📍Использование функции внутреннего аудита
📍Использование функции внешнего аудита
📍Внедрение системы управления информационной безопасностью
📍Ведение учета и конфиденциальность информации

Предотвращение мошенничества и коррупции

📍Продвижение системы обеспечения добросовестности
📍Управление конфликтами интересов
📍Управление рисками, связанными с подарками, гостеприимством, пожертвованиями и другими выгодами
📍Внедрение и поддержание системы внутреннего контроля
📍Показатели эффективности
📍Проверка сотрудников
📍Проверка и постоянное управление деловыми партнерами
📍Предотвращение мошенничества с использованием технологий
📍Физическая безопасность и управление активами

Выявление случаев мошенничества и коррупции

📍Обзор транзакций
📍Анализ отчетов управленческого учета
📍Выявление признаков ранних нарушений
📍Анализ данных
📍Каналы связи
📍Защита информаторов
📍Привлечение деловых партнеров и других внешних сторон
📍Рассмотрение жалоб
📍Выездные собеседования

Реагирование на случаи мошенничества и коррупции

📍Немедленные действия при обнаружении фактов мошенничества или коррупции
📍Расследование выявленного факта мошенничества или коррупции
📍Дисциплинарные процедуры
📍Антикризисное управление после обнаружения факта мошенничества или коррупции
📍Внутренняя отчетность и эскалация
📍Внешняя отчетность
📍Восстановление похищенных средств или имущества
📍Реагирование на случаи мошенничества и коррупции с участием деловых партнеров
📍Оценка внутреннего контроля, систем и оборудования
📍Процессы, проводимые после обнаружения мошенничества или коррупции третьими сторонами
📍Борьба с мошенничеством и коррупцией

Планируете ли вы улучшать свои антикоррупционные программы в ответ на изменение внешней среды? Например, можно оценить эффективность системы и оцифровать ее.

⚡️⚡️⚡️Принят новый закон об уголовной ответственности за картели, который изменяет ст.178 УК РФ.


Появился новый состав - картель на торгах. Лишение свободы до 5 лет.


⚡️Теперь ставки растут. Ошибки приобретают уголовный оттенок.

В чем проблема ?

Как быть с группой лиц и «семейными компаниями»?

Что делать с перепиской сотрудников и их коммуникациями с заказчиками- традиционными источниками доказательств картеля на торгах.


Что можно предпринять ?

Например, можете обучить своих сотрудников.

Мы с командой экспертов сделали набор из 4 крутейших курсов по картелям. Кстати курсы перед приобретением можете протестировать.


Что еще, на мой взгляд, можно предпринять расскажу в следующих постах.

​Что делать с картельными рисками?

На мой взгляд, сложность состоит в том, что наличие картеля устанавливается не на основании документов, а на основании поведения сотрудников, которое доказывает наличие устного соглашения.

😇 В результате риски "попасть" на картель становятся просто неопределенными.

Немного судебной практики в доказательства тезиса выше.

Пример 1. Компанию под фактическим контролем одного человека обвинили в картеле на торгах. Источник: Постановление АС МО по делу № А40-43715/2022.

Пример 2. У двух компаний, по их мнению, был один бенефициарный владелец. Он давал обязательные указания сотрудникам обеих компаний. Сотрудники компаний обменивались между собой ценовой и не ценовой информацией – это послужило доказательством картеля.

Антимонопольщики посчитали, что связь между компаниями есть(🥲), но они не подконтрольны одному лицу, поэтому их поведение — картель. Итог – штраф 138 млн.руб. Источник: Решение Арбитражного по делу № А55-16982/2020.

Пример 3. Суд констатировал, что хотя полномочия "Х" по контролю общества фактически равнозначны осуществлению функций единоличного органа (😢) юридического лица, но судом нижестоящей инстанции не учтено, что исходя из буквального толкования статьи 11 Закона N 135-ФЗ, компании, не отвечают признакам группы лиц, установленных частью 8 данной статьи, а поэтому не освобождены от соблюдения запретов, установленных частью 1 статьи 11.

Вывод напрашивается такой, что фактический контроль не всегда равен корпоративному контролю в смысле, который ему придает законодательство.

Источник: Постановление АС Северо-Западного округа от 10.10.2022 по делу № А56-109269/2020.

Антимонопольный комплаенс, как снизить картельные риски

Для тех, кто работает в отраслях, которые подвержены картелям, например, фарма, картели давно известная проблема. Но из-за ужесточения законодательства - проблема становится еще более актуальной.

Для того, чтобы верхеуровнево определить или актуализировать области риска, можно ответить на ряд вопросов:

👉являются ли ваши клиенты также и вашими конкурентами.

👉посещает ли ваш персонал, в частности, менеджеры либо сотрудники из отдела продаж торговые или профессиональные тренинги (ассоциации) с вашими конкурентами.

👉как часто сотрудники, в частности из управленческого звена либо из отдела продаж, приходят в вашу компанию от ваших конкурентов. Например, новый сотрудник может сделать два КП - одно от прежнего работодателя, а одно от вас.

👉имеется ли у ваших сотрудников коммерчески конфиденциальная информация о ценах вашего конкурента, структуре затрат или бизнес-планах.

👉вы вращаетесь на рынке, на котором взаимодействуют сотрудники сравнительно небольшого круга предприятий на довольно регулярной основе,

👉вы торгуете на рынке, на котором «все, кажется, знают всех остальных» в конкурирующих компаниях.

👉вы работаете в партнерстве со своими конкурентами, например, в совместных предприятиях.

👉 у вас есть сотрудники, которые общаются с сотрудниками ваших конкурентов,

👉 вы осуществляете свою деятельность на рынке, где имели случаи расследования картелей.

Приведенный выше список является сугубо иллюстративным, но в общих чертах может подсветить зоны, которые требуют внимания.

​Как спрогнозировать возникновение конфликта интересов?

Например, в компании работает 300 человек. Кто-то более вероятно допустит возникновение конфликта интересов, а кто-то менее. Следовательно, если мы выявим людей, склонных к реализации конфликта интересов, мы сможем сформировать группу сотрудников, с которыми нужно проработать вопросы профилактики КИ.

Как выявить людей склонных реализовать конфликт интересов?

В рамках одного проекта мы провели аудит, который позволил выявить две группы людей. Первая больше ориентировалась на личные интересы, а вторая помимо личных интересов также учитывала и интересы других людей.

Методология проекта основывалась на данных серии из 5 экспериментов, которые показали, что можно надежно и достоверно измерить насколько люди учитывают личные интересы и интересы других лиц. На мой взгляд, неплохая методика для профилактики корпоративных нарушений.


Что оценивать в корпоративной культуре может комплаенс в разрезе именно культуры нормативно-правового соответствия?

Результаты проекта , который я указал выше, и серии задокументированных экспериментов показывают, что комплаенс-менеджерам можно измерять корпоративную культуру во исполнения требований стандарта ISO 37301.

Необходимо учитывать, что различные исследования, которые проводят отделы по управлению персоналом в большей степени про другое и ориентированы на их задачи. Но, так как непосредственно комплаенс корпоративную культуру в своих целях нередко не замеряет, то он использует оценки корпоративной культуры, которые делают другие отделы и для других целей.

Причем, методик, которые позволяют оценивать именно культуру нормативно-правового соответствия довольно много. А какие методики используете вы ?

Этапы комплаенс-аудита

Раздел 4.1 ISO 37301 говорит нам о том, что при внедрении комплаенс-системы, сначала нужно понимать контекст организации, то есть общий смысл всего происходящего внутри и снаружи.


Чтобы его определить можно использовать разные апробированные методики или разработать свою.

Например, контекст можно определить путем оценки:

📝входящих финансовых потоков – они показывают нам, что риск мошенничества возрастает как с точки зрения вероятности, так и с точки зрения последствий по мере увеличения сумм.

📝некоммерческих сделок, например, грантов и пожертвований, так как их невозможно легко сравнить по принципу, сколько мы заплатили и сколько получили, это увеличивает вероятность мошенничества и риск того, что оно останется незамеченным.

📝операций с крупными и постоянными поставщиками – они показывают нам круг продавцов, взаимодействие с которыми, создает для них стимул подкупа, а для покупателя - возможность требовать откаты.

📝схем оплаты труда – они могут показать нам сотрудников, чьи чрезмерно агрессивные или нереалистичные показатели эффективности могут побудить их к мошенничеству с целью достижения показателей.

📝операций, которые требуют взаимодействие с клиентами и поставщиками на их предприятиях или в полевых условиях – они показывают нам круг персонала, у которых есть больше возможностей для создания «неподобающих» личных отношений.

Список можно продолжать дальше….

А какие способы оценки контекста используете вы ?

Картели и антимонопольный комплаенс

Одинаковые IP-адреса и "семейный бизнес" традиционно создают антимонопольные риски.

Но не всегда суды считают, что одинаковые IP-адреса - это доказательство картеля ,а компании, которые входят в "семейный бизнес" - это конкуренты.


Пример 1. Одинаковые IP-адреса - это не всегда картель.

«Вопреки позиции антимонопольного органа использование единого IP-адреса при подаче ценовых предложений и минимальное снижение НМЦ при участии в торгах сами по себе не свидетельствуют о заключении обществами запрещенного картельного соглашения».

Источник: Постановление АС Западно-Сибирского округа по делу № А75-14601/2020.

Пример 2. Семейный бизнес - это не всегда картель.

Апелляция посчитала, что компаниям не нужно было конкурировать, так как они "семейный бизнес", а значит картеля на торгах не было.

Источник: АС Западно-Сибирского округа по делу № А75-13398/2020