Как оценить ущерб, причиненный субъекту персональных данных?

  Мы постоянно слышим про ущерб, который будет причинен субъекту, если его персональные данные станут общедоступными по вине оператора. А как можно оценить этот ущерб и кто это может сделать? Сам субъект? Оператор (парадокс заключается в том, что зачастую на этапе построения системы ущерб оценивает оператор, а не сам субъект)? Если персональные данные станут достоянием общественности, то какой-либо значительный ущерб будет нанесен не более 5-7% субъектам из всего массива ПДн, обрабатываемых в ИСПДн организации (здесь я не имею, конечно, в виду секретные объекты и т.п.). Если мои данные есть на сайте http://radarix.com/ (также на этом сайте есть данные всех жителей России :)) или на дисках на горбушке или савеловском рынке, то мне от этого ни жарко, ни холодно. Может наоборот, я завел свою страничку в Интернете со всеми своими регалиями, чтобы обо мне узнало как можно больше людей... К этому вопросу можно подойти с другой стороны. Например, если станут доступными данные моих банковских счетов, кредитных историй, номеров кредитных карт с пин-кодами и т.п., т.е. те данные, утрата (компрометация) которых мне может нанести реальный материальный ущерб, потерю репутации или проведение прямого шантажа. Для того чтобы это избежать существует обязательный к внедрению стандарт PCI DSS в кредитно-финансовых учреждениях.
  Для того, чтобы оператору привести свои ИСПДн в соответствие с требованиями 152-ФЗ потребуются достаточно большие материальные средства. При этом совершенно не учитывается тот факт, что в случае компрометации ПДн реальные ущерб от этого может быть совсем не значительным (в сравнении с затратами на построение защищенной ИСПДн). Для оператора, вероятно, оптимальным является такой вариант построения ИСПДн, затраты на реализацию которого (в соответствии с требованиями 152-ФЗ) ХОТЯБЫ БУДУТ СОПОСТАВИМЫ с ущербом причиненным субъектам ПДн. Может организации дешевле будет постоянно выплачивать штрафы, предусмотренные КоАП? Здесь есть другая сторона медали. Операторы, зная, что в случае возникновения инцидента смогут потратить значительно меньшие средства на штрафы и удовлетворение претензий субъекта, чем на построение защищенной ИСПДн, могут злоупотреблять этим. Вот здесь вступает в силу Уголовный кодекс РФ.