Сколько на самом деле стоит штраф: два уровня ст. 88 и поэтапное применение в первые годы

Одной цифры не существует. Их две

В Законе 195/2024 не один потолок штрафа, а два. Ст. 88 ч. (1) предусматривает штрафы до 1 000 000 леев или, в случае предприятия, до 1% от общего оборота, полученного в году, предшествующем санкции, причём в расчёт берётся большее значение. Ст. 88 ч. (2) предусматривает до 2 000 000 леев или, на тех же условиях, до 2% — с тем же правилом большего значения.

На рынке звучит только вторая цифра. Эта статья занимается арифметикой: какое несоответствие попадает в какой уровень, как выбирают между фиксированной суммой и процентом и что означает поэтапность из ст. 90 ч. (4), о которой почти никто не пишет.

Если вопрос звучит «кто рискует и как этого избежать» — ответ в статье о санкциях. Здесь мы отвечаем на другой: сколько именно и как это считается.

Таблица уровней

Линия раздела видна сразу: уровень 1 наказывает за то, как вы организовали обработку (реестр, договоры, безопасность, DPIA, DPO, уведомления об утечках), уровень 2 — за то, было ли у вас право обрабатывать и как вы обошлись с человеком за данными (правовое основание, согласие, права, передача).

Практический вывод: отсутствующий реестр операций по обработке (ст. 30) и баннер cookie, который запускает трекеры до выбора пользователя (ст. 5–7), — это не одна категория риска. Первое — уровень 1, второе — уровень 2. Полный контекст обязанностей в руководстве по Закону 195/2024.

Третью строку стоит выделить отдельно. Как только Центр вынес корректирующую меру, её неисполнение переводит вас на 2% независимо от того, каким был уровень исходного несоответствия. Самое дорогое, что можно сделать, — это не само отклонение, а игнорирование ответа надзорного органа на него.

Чего эти цифры не означают

Четыре уточнения, которые меняют расчёт сильнее, чем ожидает большинство.

«Общий оборот» — это не прибыль. В тексте сказано «общий оборот», а не чистый результат, не маржа и не выручка одного направления. Фирма, прокрутившая 40 миллионов и вышедшая в ноль, считается от этих 40 миллионов.

Год отсчёта — год, предшествующий санкции, а не год, в котором произошло отклонение. Если оборот за этот год не зарегистрирован, ст. 88 ч. (5) предписывает брать последний предшествующий год, в котором предприятие имело оборот. Новая фирма из расчёта не выпадает: при отсутствии применимого процента остаётся фиксированный потолок.

Санкции применяются и к органам, и к публичным учреждениям, согласно ст. 88 ч. (4). Категории операторов, освобождённой из-за бюджетного финансирования, нет.

Деньги не идут субъекту персональных данных. Ст. 86 ч. (2): штраф зачисляется в государственный бюджет. Это денежная санкция, применяемая Центром к оператору при констатации нарушения (ст. 86 ч. (1)), а не возмещение ущерба. Возмещение требуют отдельно, через суд.

Арифметика: что делает правило «большего значения»

Правило большего значения ломает интуицию. Инстинкт говорит «маленькая фирма — маленький штраф». Закон говорит иначе: к маленькой фирме применяется фиксированная сумма, потому что она больше процента; к крупной — процент, потому что он превышает фиксированную сумму.

Обороты в таблице ниже — расчётные допущения, выбранные так, чтобы охватить четыре порядка величины. Это не рыночные данные и не реальные случаи.

Все значения в колонках «большее значение» — это потолки, а не суммы к уплате. Они показывают только то, насколько высоко может подняться верхняя граница.

Из таблицы следует простой арифметический вывод: точка, в которой процент обгоняет фиксированную сумму, одинакова для обоих уровней — общий оборот в 100 000 000 леев. Ниже неё значение имеет исключительно фиксированная сумма, и размер фирмы потолок не снижает. Выше — потолок растёт линейно вместе с оборотом.

Это переворачивает представление, что «два миллиона — это для корпораций». Наоборот: 2 000 000 леев — потолок для любого предприятия с оборотом ниже 100 миллионов, то есть для подавляющего большинства операторов в Молдове. Корпорации — как раз тот сегмент, для которого эта цифра мала.

Поэтапное применение из ст. 90 ч. (4)

Вот факт, которого нет почти нигде. Ст. 90 ч. (4): с момента вступления закона в силу из окончательного размера денежной санкции, установленного Центром, применяется с первого года 10%, со второго года 40%, с третьего года 100% установленного размера штрафа.

200 000 леев здесь — иллюстративная величина, выбранная ради удобного деления. Это не типичный размер: опубликованной практики, из которой можно было бы вывести типичный, пока нет.

От одной оговорки зависит весь раздел: закон говорит «с первого года», «со второго года», «с третьего года», но не указывает дату, с которой год отсчитывается. Мы не придумываем стартовую дату и не советуем этого делать вашему консультанту. Достоверен механизм, а не его календарь.

Чем поэтапность не является:

• Это не льготный период. Обязанности применяются в полном объёме с момента вступления в силу. Снижается процент, применяемый к размеру денежной санкции, а не объём обязанностей.
• Она ничего не приостанавливает. Запрос субъекта данных по-прежнему обрабатывается не более чем за один месяц, а нарушение безопасности персональных данных по-прежнему уведомляется без необоснованной задержки и, если возможно, не позднее 72 часов.
• Она не касается корректирующих мер. В тексте речь об окончательном размере денежной санкции. У ограничения обработки или приостановления потоков данных нет процента для поэтапного применения — они либо исполняются, либо нет.
• Это не повод откладывать. Сниженный процент в первом году не создаёт задним числом датированные документы.

Как вообще получается конкретная сумма

Потолок — это верхний край диапазона. Путь до фактической цифры регулируется отдельно.

Ст. 87 ч. (1) требует, чтобы применение штрафов было эффективным, соразмерным и сдерживающим. Ст. 87 ч. (2) предусматривает, что штрафы применяются в дополнение к мерам из ст. 60 ч. (2) п. a)–h) и j) или вместо них, и добавляет клапан: при незначительном нарушении либо когда штраф стал бы несоразмерным бременем для физического лица, вместо штрафа может быть вынесено предупреждение.

Два фильтра срезают экспозицию ещё до всякого расчёта. Ст. 87 ч. (3): штрафы применяются только если установлено, что оператор совершил нарушение, предусмотренное ст. 88, умышленно или по неосторожности. Ст. 87 ч. (4): при нескольких нарушениях по одной и той же операции обработки или по связанным операциям общий размер не может превышать сумму, предусмотренную за наиболее тяжкое нарушение. Потолки не складываются по горизонтали.

Ст. 87 ч. (2) перечисляет одиннадцать обстоятельств, п. a)–k). Группируем их по единственному критерию, который важен владельцу бизнеса: насколько вы управляете ими сегодня.

Что вы внедрили заранее — п. d) и j). Степень ответственности с учётом технических и организационных мер, внедрённых на основании ст. 25 и 32. Присоединение к кодексам поведения (ст. 40) или к механизмам сертификации (ст. 42). Это меняется полностью, но только до инцидента.

Как вы повели себя после — п. c), f), h) и i). Действия, предпринятые для уменьшения ущерба субъекта персональных данных. Степень сотрудничества с Центром для устранения и смягчения последствий. То, как о нарушении стало известно Центру, в частности уведомил ли оператор сам и в какой мере. Соблюдение мер, ранее предписанных на основании ст. 60 ч. (2) по тому же предмету. Здесь партия разыгрывается в первые дни после того, как вы узнали о проблеме.

Что уже не изменить — п. a), b), e), g) и k). Характер, тяжесть и длительность нарушения с учётом характера, объёма или цели обработки, числа затронутых субъектов данных и уровня ущерба. Совершено ли нарушение умышленно или по неосторожности. Возможные предыдущие релевантные нарушения. Категории затронутых данных. Любой иной отягчающий или смягчающий фактор, например полученная финансовая выгода или избегнутые убытки от нарушения.

Последний пункт стоит перечитать: если вы сэкономили деньги, не соблюдая закон, эта экономия входит в расчёт как отягчающий фактор.

Расчётный лист экспозиции

Скопируйте таблицу в документ и заполните правую колонку. За десять минут вы получите теоретическую верхнюю границу своей экспозиции — ту самую цифру, которую большинство операторов обсуждает, ни разу её не посчитав.

Лист оценивает максимальную теоретическую экспозицию, а не предсказывает штраф и не заменяет юридический анализ.

Как читать результат: строки 3 и 5 — это законные потолки, а не прогноз, и для любой фирмы с оборотом ниже 100 миллионов они всегда будут 1 000 000 и 2 000 000 леев. Значит, переменная часть вашей экспозиции лежит не в цифрах, а в строках 6 и 8–10 — единственных, которые можно улучшить решением, принятым сегодня. Если в строке 8 писать нечего, это и есть первая задача, а не строка 1. Практическая отправная точка — чек-лист из 12 проверок.

Штраф — не единственная статья расходов

Ст. 74 предусматривает право субъекта персональных данных подать исковое заявление в суд. Руководство CNPDCP подтверждает: недовольные лица вправе подать жалобу в CNPDCP и обратиться в суд за возмещением, и эти два пути независимы.

Значит, потолок из ст. 88 измеряет только административную составляющую риска. Судебный иск идёт параллельно жалобе в надзорный орган, а не вместо неё, и штраф, зачисленный в госбюджет, не погашает гражданское требование человека. Сюда добавляется внутренняя стоимость ответа — время, документы, восстановление хронологии, — и это первая реальная трата независимо от того, дойдёт ли дело до санкции.

Источники

• Полный текст Закона 195/2024 на legis.md — прямой источник по ст. 86–88 и ст. 90 ч. (4), включая два уровня и правило большего значения.
• Официальное руководство CNPDCP по Закону 195/2024, PDF — формулировка органа о потолке в 2 000 000 леев и о независимости жалобы от судебного иска.
• CNPDCP — datepersonale.md — орган, который устанавливает размер санкции и выносит корректирующие меры по ст. 60.
• Жалобы и петиции — процедура CNPDCP — путь, которым обращение субъекта данных доходит до надзорного органа.
• Регламент ЕС 2016/679 на EUR-Lex — ориентир для сравнения: режим штрафов урегулирован там в ст. 83. Европейский текст и практика не имеют обязательной силы в Республике Молдова.
• CNIL, Франция — европейский орган, публикующий решения о санкциях; полезен как ориентир практики, без юридического действия в Республике Молдова.

Часто задаваемые вопросы

Так сколько максимум — миллион или два? Зависит от уровня и от размера предприятия. Уровень 1, ст. 88 ч. (1), — до 1 000 000 леев или до 1% от общего оборота за год, предшествующий санкции, причём берётся большее значение. Уровень 2, ст. 88 ч. (2), — до 2 000 000 леев или до 2% по тому же правилу. Для очень крупного предприятия потолком становится процент, поэтому абсолютной максимальной цифры в леях не существует.

Почему все вокруг говорят только про 2 000 000 леев? Потому что это цифра из публичного руководства CNPDCP, которую затем переписывают почти все материалы. Уровень в 1 000 000 леев и 1% есть в полном тексте закона, в ст. 88 ч. (1), и покрывает обязанности по организации обработки: ст. 8, 11, 25–39, 42 и 43.

У меня нашли сразу три несоответствия. Штрафы сложат? Нет, если они относятся к одной и той же операции обработки или к связанным операциям. Ст. 87 ч. (4) устанавливает, что в этом случае общий размер не может превышать сумму, предусмотренную за наиболее тяжкое нарушение. Потолок определяется по самому тяжкому эпизоду, а не сложением потолков всех.

Я не собирался ничего нарушать. Меня всё равно оштрафуют? Только если установят неосторожность. Ст. 87 ч. (3) предусматривает, что штрафы применяются лишь тогда, когда установлено, что оператор совершил нарушение из ст. 88 умышленно или по неосторожности. Умысел не обязателен, но и его отсутствие не выводит из расчёта, потому что неосторожности достаточно.

Что за поэтапность в ст. 90 ч. (4) и как она считается? Из окончательного размера денежной санкции, установленного Центром, применяется 10% с первого года, 40% со второго и 100% с третьего. Процент берётся от уже установленного размера, а не от потолка из ст. 88. Дату, с которой отсчитывается каждый год, закон не называет, поэтому точного календаря мы не публикуем.

Значит, первые два года можно не торопиться? Нет. Обязанности применяются в полном объёме с момента вступления закона в силу, а поэтапность касается исключительно процента от размера денежной санкции. Сроки ответа на запросы, уведомление об утечке и корректирующие меры Центра поэтапно не смягчаются.

Фирма открылась в этом году, оборота за прошлый нет. Что считать? Берётся последний предшествующий год, в котором предприятие имело оборот, согласно ст. 88 ч. (5). Если такого года нет, применять процент не к чему, и потолком остаётся фиксированная сумма уровня.

Государственные учреждения тоже штрафуют или это только про бизнес? Тоже. Ст. 88 ч. (4) прямо предусматривает, что санкции применяются и к органам, и к публичным учреждениям. Освобождения по признаку бюджетного финансирования нет.

Могут ли обойтись предупреждением? Могут — при незначительном нарушении или когда штраф стал бы несоразмерным бременем для физического лица, согласно ст. 87 ч. (2). Это возможность надзорного органа, оцениваемая вместе с одиннадцатью обстоятельствами из п. a)–k), а не право оператора.

Куда уходят деньги от штрафа — пострадавшему человеку? В государственный бюджет, согласно ст. 86 ч. (2). Штраф не является возмещением ущерба субъекту персональных данных. Возмещение требуют отдельно, через суд, на основании ст. 74.

Что конкретно уменьшает сумму? Обстоятельства, которые вы можете подтвердить документами: технические и организационные меры, внедрённые на основании ст. 25 и 32, присоединение к кодексам поведения или механизмам сертификации, действия по уменьшению ущерба, сотрудничество с Центром и самостоятельное уведомление о нарушении. Все они в ст. 87 ч. (2) и доказываются датированными документами, а не устными объяснениями.

Если я прогоню сайт через сканер, штраф будет меньше? Напрямую — нет. Сканирование наблюдает публичную поверхность сайта и выдаёт технические констатации: cookie до получения согласия, поведение баннера, наличие обнаружимой политики, транспорт, формы, идентичность оператора. Оно не устанавливает факт нарушения, не сертифицирует соответствие и не видит ни реестр, ни договоры с уполномоченными лицами, ни DPIA. Это датированный элемент вашего досье, не более.

Посчитайте экспозицию на реальных данных

Лист выше даёт потолки. Не хватает второй части: что видно на вашем сайте прямо сейчас — какие трекеры стартуют до выбора пользователя, останавливает ли что-нибудь отказ, обнаружима ли политика, правильно ли настроен транспорт. Детерминированное сканирование измеряет именно это и выдаёт датированный отчёт.

Оно не устанавливает факт нарушения закона, не сертифицирует соответствие и не рассчитывает размер штрафа. Методика описана в разделе как работает сканирование.

Проверить сайт бесплатно →