大数据协会（АБД）对“因个人数据泄露处以营业额罚款”的法案提出批评。该协会成员涵盖Яндекс、VK、Сбер、Мегафон、Ростелеком、QIWI、МТС及Авито等企业，认为该法案无法实现预期目标，缺乏实际效用。
尽管文件旨在“激励企业投资信息安全基础设施并保护用户数据”，但由于违法构成要件界定模糊，实质上引入了无过错责任原则。若遭遇黑客攻击导致客户数据外泄，企业将被自动追责。АБД指出，此举有失公允，且违背民法与《行政违法法典》的基本原则。此外，现行草案可能导致企业减少数据安全投入，因为无过错责任无法提供强化安全防护的正向激励。
值得注意的是，参议员安德烈·图尔恰克（Андрей Турчак）、伊琳娜·鲁卡维什尼科娃（Ирина Рукавишникова）与众议员亚历山大·欣施泰因（Александр Хинштейн）已提交该法案最终版，拟作为《行政违法法典》修正案实施。
根据提案内容：
• 涉及1,000至10,000名数据主体泄露：对企业法人处以300万至500万卢布罚款；
• 涉及10,000至100,000名数据主体泄露：处以500万至1,000万卢布罚款；
• 涉及超100,000名数据主体泄露：处以1,000万至1,500万卢布罚款。
核心条款在于：针对任何规模（自1,000名主体起）的重复违规行为，建议按违规前日历年或当年部分时段营业收入的0.1%至3%处以罚款，下限不低于1,500万卢布，上限不超过5亿卢布。
АКИТ警告称，若法案通过，“支持商业”理念将名存实亡。该法案未解决关键痛点：例如企业已落实所有安保要求仍遭黑客攻击时的责任认定问题。同时，由于缺乏数据库验证程序，包括社交网络公开信息在内的各类数据库均可能被认定为泄露源。