Оборотные штрафы за утечку персональных данных: что изменилось для бизнеса и как подготовиться

Что изменилось 30 мая 2025 года и почему так резко

Кратко: С 30 мая 2025 года штрафы за утечку персональных данных перестали быть символическими: вместо расчёта от выручки за первое нарушение теперь действуют фиксированные вилки, привязанные к числу пострадавших, а самые тяжёлые составы - вообще не за утечку, а за молчание перед регулятором.

До этой даты правоприменение выглядело так: с января по апрель 2025 года зафиксировано 30 инцидентов, компании сами сообщили о 29 из них, но до протоколов дошло только 9 дел, а общая сумма штрафов по всем рассмотренным судами делам составила 240 000 руб. Разброс ощущений «нас накажут» и «нас не заметят» строился именно на этой статистике.

420-ФЗ полностью меняет масштаб. Статья 13.11 КоАП РФ теперь делит первую утечку на три диапазона по числу субъектов, и для юридического лица штраф начинается не с сотен тысяч, а с миллионов рублей:

• Кто отвечает как юрлицо. Примечание к статье прямо приравнивает ИП к организациям по этим составам - «индивидуальные предприниматели несут административную ответственность как юридические лица».
• Почему скачок такой резкий. Прежняя практика (240 000 руб. суммарно на 9 дел) не создавала стимула вкладываться в защиту данных - новые вилки на порядки выше даже минимального прежнего штрафа.
• Что не входит в эту таблицу. Проценты от выручки при первом нарушении не применяются - это механика повторного случая, разбирается отдельно.

Технические детали: цифры - ст. 13.11 КоАП РФ, части 12 - 14 (rulaws.ru) и обзор БУХ.1С; статистика правоприменения января - апреля 2025 - Ведомости.

Цена первой утечки: как размер штрафа зависит от числа пострадавших

Кратко: Первая утечка бьёт по фиксированной вилке, привязанной только к числу пострадавших: чем больше людей в базе, тем выше нижняя и верхняя планка штрафа, независимо от выручки компании.

Часть 13.11 КоАП РФ градуирует ответственность по трём порогам - 1 000 - 10 000, 10 000 - 100 000 и свыше 100 000 субъектов. Для юрлица и ИП (примечание 1 к статье прямо приравнивает ИП к организациям) разброс внутри каждой вилки уже ощутим: от 3 до 15 млн рублей в зависимости только от масштаба утечки, а не от того, сколько заработала компания за год.

Директора и другие ответственные должностные лица отвечают отдельно от юрлица - штраф не поглощает друг друга, а складывается. Это значит, что при утечке базы клиентов интернет-магазина на 15 000 записей заплатит и сама компания, и руководитель лично.

• Считайте не записи, а людей. Порог считается по числу субъектов персональных данных, а не по числу строк в утечке - дубли и повторные заказы одного клиента не увеличивают штраф, но и не уменьшают его, если база не дедуплицирована.
• Порог 10 000 - это не «еще немного». Разница между 9 999 и 10 001 пострадавшими - это переход из вилки 3 - 5 млн в вилку 5 - 10 млн рублей, то есть штраф может удвоиться на одном лишнем клиенте.
• ИП не спасает статус. Индивидуальный предприниматель с базой в CRM отвечает по тем же вилкам, что и юридическое лицо, - это отдельно закреплено в примечании к статье.

Когда включается процент от выручки: механика повторного нарушения

Кратко: Процент от выручки - не наказание за первую утечку, а санкция за повторное нарушение: он включается, только если компанию уже наказывали по частям 12 - 14 или 15 статьи 13.11 КоАП, а новый инцидент попадает под те же составы.

Механика простая: первая утечка - фиксированная вилка по числу пострадавших, вторая - уже процент от выручки. Часть 15 статьи 13.11 КоАП РФ прямо привязывает оборотный штраф к повторности: наказание наступает, если ранее уже было привлечение по частям 12 - 14 (или 16 - 18, или той же 15-й), а новое нарушение снова относится к этим составам. Без первого зафиксированного факта наказания процентная шкала не применяется - это ключевая ошибка, которую разбирает и материал на Habr: миф «оборотный штраф с первого раза» не подтверждается текстом нормы.

Суммы за повтор существенно выше фиксированной шкалы:

База расчёта - «совокупный размер суммы выручки, полученной от реализации всех товаров (работ, услуг), за календарный год, предшествующий году выявления правонарушения, либо за предшествующую дате выявления часть календарного года». Для кредитных организаций вместо выручки может браться размер собственных средств (капитала) на дату нарушения.

Пока это скорее сдерживающий барьер, чем работающая практика: Роскомнадзор с 30 мая 2025 года не зафиксировал ни одной повторной утечки, подпадающей под эти нормы, - оборотные штрафы ни разу не применялись. Это не повод расслабляться: механизм рабочий, порог входа - уже состоявшееся наказание по фиксированной шкале, и второй инцидент после него обходится на порядки дороже первого.

Биометрия и особые категории данных: состав, где объём не важен

Кратко: для биометрии и особых категорий данных (здоровье, судимость, национальность, религия) объём утечки не влияет на штраф - вилка фиксирована и сразу очень высокая, даже если утечка коснулась одного человека.

Часть 16 статьи 13.11 КоАП РФ выделяет утечку специальных категорий персональных данных в отдельный состав с фиксированной вилкой: 300 000 - 400 000 руб. для граждан, 1 000 000 - 1 300 000 руб. для должностных лиц, 10 000 000 - 15 000 000 руб. для юридических лиц. К этой категории относятся данные о расовой и национальной принадлежности, политических взглядах, религиозных или философских убеждениях, состоянии здоровья, интимной жизни, судимости.

Часть 17 вводит ещё более тяжёлую вилку для биометрии - изображения лица, записи голоса, отпечатков пальцев: 400 000 - 500 000 руб. для граждан, 1 300 000 - 1 500 000 руб. для должностных лиц, 15 000 000 - 20 000 000 руб. для юридических лиц. Повторное нарушение по частям 16 - 17 фиксирует часть 18: для организаций это уже 1 - 3% от выручки, но не менее 25 000 000 и не более 500 000 000 руб.

Практический вывод: если бизнес хранит фото клиентов для верификации, записи звонков или медицинские данные сотрудников, безопасный порог по объёму утечки для него не существует.

• Что проверить. Хранит ли сайт или CRM фото для верификации личности, записи звонков с голосом клиента, сведения о здоровье или судимости сотрудников и соискателей.
• Что понять. Для этих данных штраф не зависит от того, утекла запись одного человека или тысячи - вилка одна и та же с первого нарушения.

Молчание дороже утечки: два штрафа за неуведомление Роскомнадзора

Кратко: Компания может закрыть саму утечку без штрафа, но заплатит отдельно и по максимуму, если промолчала перед Роскомнадзором - это второй, независимый штраф, и он на порядок дороже первого.

Ст. 13.11 КоАП делит обязанность уведомлять на два разных состава. Первый - не сообщили о начале обработки персональных данных: для юрлиц и ИП это 100 000 - 300 000 руб. Второй - не сообщили о самом факте утечки: для юрлиц и ИП уже 1 000 000 - 3 000 000 руб., для должностных лиц 400 000 - 800 000 руб., для граждан 50 000 - 100 000 руб. Разница в вилках - ровно порядок, и второй штраф наступает независимо от того, наказали ли компанию за саму утечку.

Здесь есть ловушка для бизнеса: можно вообще не попасть под штраф за объём утечки (например, если пострадавших меньше порога первой вилки) и всё равно получить 1 - 3 млн руб. просто за то, что не доложили о произошедшем. Молчание - самостоятельный проступок, а не отягчающее обстоятельство к основному.

Закон жёстко фиксирует, что и когда сообщать после обнаружения инцидента:

Что и когда сообщать в Роскомнадзор

В обоих уведомлениях нужно указать, кто со стороны компании уполномочен взаимодействовать с Роскомнадзором по этому инциденту - то есть заранее должен быть назначен ответственный, а не человек «по факту».

• Что проверить. Есть ли в компании назначенное лицо для связи с Роскомнадзором по инцидентам.
• Что проверить. Знает ли это лицо про сроки 24 и 72 часа и что нужно включить в каждое из двух уведомлений.
• Что проверить. Понимает ли руководство, что «утечка есть, но пострадавших мало» не освобождает от обязанности уведомить - освобождает только от штрафа за объём.

24 и 72 часа: что делать в первые сутки после инцидента

Кратко: первые сутки после утечки закрываются двумя уведомлениями в Роскомнадзор - за 24 и 72 часа; их своевременность суды прямо учитывают как смягчающее обстоятельство при назначении штрафа.

Часть 3.1 статьи 21 152-ФЗ задаёт жёсткую двухступенчатую схему реагирования. В течение 24 часов с момента обнаружения инцидента оператор обязан направить первое уведомление - о самом факте утечки, о предполагаемых причинах нарушения прав субъектов и о мерах, которые уже приняты для устранения последствий. Это черновая, но обязательная фиксация: без внутреннего расследования, по факту, что случилось.

Второе уведомление - в течение 72 часов - уже содержательное: результаты внутреннего расследования и сведения о лицах, ответственных за произошедшее. В обоих уведомлениях нужно указать сотрудника, уполномоченного оператором на взаимодействие с Роскомнадзором по этому инциденту - то есть заранее назначенное лицо, а не «кто освободится».

Что подготовить заранее, чтобы уложиться в сроки

• Ответственный за коммуникацию. Уполномоченное лицо для взаимодействия с Роскомнадзором должно быть назначено до инцидента, а не в момент паники.
• Шаблон первого уведомления. Формулировки о факте, предполагаемых причинах и принятых мерах - заготовка экономит часы из первых 24.
• Регламент внутреннего расследования. Кто, как и в какие часы внутри 72-часового окна собирает причины и виновных.

Практика 2026 года подтверждает цену этих сроков напрямую. По делу ООО «ПКР Аналитика» (утечка данных около 70 тыс. корпоративных клиентов) суд заменил штраф 5 - 10 млн руб. на предупреждение именно за оперативное уведомление регулятора. Итоговая рекомендация по практике такова: уведомить Роскомнадзор в течение 24 часов, провести внутреннее расследование за 72 часа, подготовить документацию о принятых мерах защиты и заранее назначить ответственных за персональные данные и безопасность.

Кого исключения больше не спасают: обязанность уведомить о начале обработки

Кратко: Уведомить Роскомнадзор о начале обработки данных обязаны почти все операторы - с 1 сентября 2022 года исключения для «данных сотрудников» и «данных по договору» упразднены, осталось лишь три узких основания.

До 2022 года бизнес массово ссылался на изъятия из статьи 22: раз данные собираются только по трудовому договору или в рамках исполнения сделки с клиентом, уведомлять регулятора не нужно. Эта лазейка закрыта: пункты 1 - 6 части 2 статьи 22 152-ФЗ утратили силу. Формально обязанность уведомлять появилась ещё до майской реформы 2025 года, но именно рост штрафов сделал её невыполнение по-настоящему дорогим.

Действующих исключений осталось всего три, и малому бизнесу с сайтом или CRM они не подходят:

• Данные в государственных информационных системах. Обработка ведётся для защиты безопасности государства и общественного порядка.
• Обработка без средств автоматизации. Бумажные картотеки, которые никогда не переносятся в файлы или таблицы.
• Данные по законодательству о транспортной безопасности. Узкоотраслевое основание, не связанное с обычной коммерцией.

Ключевая ошибка владельцев бизнеса - считать, что кадровый учёт или форма обратной связи на сайте попадают под старые изъятия. Это не так: e-mail-рассылка, CRM, мессенджер для связи с клиентами и даже Excel-таблица с контактами - уже автоматизированная обработка, а значит, уведомление обязательно.

В уведомлении нужно указать: наименование и адрес оператора, цель обработки, описание мер безопасности и используемых криптографических средств, ответственных лиц и их контакты, дату начала обработки, срок или условие её прекращения, а также сведения о трансграничной передаче и месте размещения базы данных. На фоне статистики Роскомнадзора - 118 утечек в 2025 году и более 52 млн скомпрометированных записей - отсутствие уведомления выглядит не формальной недоработкой, а прямым сигналом регулятору при проверке после инцидента.

«Мы маленькие, нас не проверят»: как работает автоматическая проверка сайтов

Кратко: Роскомнадзор проверяет сайты не выборочно, а автоматическим ботом-перебором - без выезда инспектора; при находке нарушений на исправление дают всего 10 рабочих дней.

Раньше расчёт «нас никто не найдёт среди миллионов сайтов» отчасти работал: на выездную проверку нужны ресурсы инспектора и повод. Теперь проверку публичной части сайта по тем же пунктам ведёт автоматический бот, который просто перебирает адреса. При обнаружении нарушений дело передаётся сотруднику Роскомнадзора для оформления - и с этого момента запускается срок реагирования.

Бот проверяет пять вещей: подано ли уведомление в реестр Роскомнадзора, корректно ли устроены чекбоксы согласия, есть ли на сайте документы по персональным данным, используются ли Яндекс.Метрика и Google Analytics, оформлены ли согласия на фотографии сотрудников. Самая частая находка - форма заявки, где под кнопкой отправки стоят только ссылки на документы без галочки, либо галочка «ознакомлен» уже стоит по умолчанию. Оба варианта бот засчитывает как нарушение порядка получения согласия.

Что смотрит бот и чем это грозит

• Что проверить в форме заявки. Галочка согласия должна быть пустой по умолчанию, а не под ссылкой на документ.
• Что проверить в счётчиках. Если стоят Метрика или Google Analytics, для них тоже нужно согласие на обработку.
• Срок на исправление. 10 рабочих дней с момента передачи дела инспектору - это не срок на раздумья, а на готовые документы.

Дешевле пройти этот чек-лист заранее, чем объяснять инспектору постфактум, почему галочка стояла по умолчанию.

Четыре заблуждения, которые дороже всего обходятся

Кратко: Дороже всего обходятся не сами штрафы, а уверенность бизнеса в том, что он их не заслуживает - четыре типовых заблуждения превращают первую же проверку в неприятный сюрприз.

Первое заблуждение: «оборотный штраф грозит с первого раза». Это не так - процентная вилка от выручки применяется только при повторном нарушении, а первая утечка считается по фиксированной шкале в зависимости от числа пострадавших. Второе заблуждение опаснее для руководителей: многие уверены, что директор ООО заплатит «как должностное лицо», 30 - 50 тысяч рублей. Примечание 2 к ст. 13.11 КоАП прямо исключает руководителей коммерческих организаций из категории должностных лиц - им начисляют суммы для юридических лиц, то есть миллионы.

Третье заблуждение зеркально: индивидуальные предприниматели думают, что отвечают как физлица. По примечанию 1 к статье ИП платят по ставкам юридических лиц наравне с ООО. Четвёртое - самое коварное: «у меня в базе только e-mail, это не персональные данные». ВС РФ в определении № 305-КГ23-12160 от 21.06.2023 подтвердил, что телефон и e-mail сами по себе персональными данными не являются. Но Роскомнадзор придерживается обратной позиции, опираясь на письмо Минцифры от 17.03.2022 № П25-5623-ОГ, и считает обработку персональных данных начавшейся уже в момент отправки письма.

На практике связка «ФИО + e-mail» в CRM - уже персональные данные, и спор с регулятором о голом e-mail придётся выигрывать в суде, а не на словах.

Первая практика: «Почта России», Ukids, «ПКР Аналитика», РЖД

Кратко: Практика 2025 - 2026 годов показывает: наказание зависит не столько от масштаба утечки, сколько от даты нарушения, статуса компании и скорости уведомления регулятора - при одинаково тяжёлых утечках штрафы отличаются в десятки раз.

Дело «Почты России» - эталонный пример старых правил. Утечка 26 млн строк с именами, адресами и телефонами выявлена 05.12.2024, протокол составлен 09.09.2025, а решение Арбитражный суд г. Москвы вынес в ноябре 2025 г. по делу № А40-263126/25-121-1089. Штраф - 150 000 руб., минимум по ч. 1 ст. 13.11 КоАП, потому что нарушение произошло до 30.05.2025. Суд прямо указал: состав формальный, последствия утечки не важны, а уведомление Роскомнадзора не освобождает от ответственности.

Дела 2026 года уже идут по новым, тяжёлым составам - и разброс сумм показателен:

Вывод для бизнеса без юриста в штате: две вещи снижают риск больше, чем размер компании, - скорость реакции и качество доказательств. Практика 2026 года формулирует это как конкретный чек-лист.

Что снижает штраф на практике

• Уведомление в 24 часа. И Ukids, и «ПКР Аналитика» получили смягчение именно за оперативность - это прямо названо основанием.
• Внутреннее расследование за 72 часа. Фиксирует, кто виноват - сотрудник, подрядчик или третьи лица извне, как в деле РЖД.
• Документы о защитных мерах. Без них компания, как «Почта России», не сможет опровергнуть формальный состав правонарушения.
• Назначенный ответственный за персональные данные. Это тот, кто выполняет два предыдущих пункта в первые часы после инцидента.

Технические детали: цифры и реквизиты дел - из карточек e16 (Почта России), e17 (Ukids, ПКР Аналитика, РЖД) и e18 (подтверждение номеров дел ГАРАНТ.РУ).

Как законно уменьшить сумму: смягчающие обстоятельства и порог 0,1% выручки на информационную безопасность

Кратко: Штраф можно снизить не «связями», а документами: статус микропредприятия и оперативное уведомление Роскомнадзора уже работают в судах, а инвестиции в информационную безопасность на уровне 0,1% выручки - отдельный законный механизм уменьшения оборотного штрафа.

Практика 2026 года подтверждает: суд смотрит не только на факт утечки, но и на поведение компании после неё. Ukids снизили штраф с вилки 10 - 15 млн руб. до 400 тыс. руб. как микропредприятие. «ПКР Аналитика» вместо штрафа 5 - 10 млн руб. получила предупреждение - за то, что оперативно уведомила регулятора. РЖД штраф отменили из-за недоказанности вины при несанкционированном доступе третьих лиц.

Есть и второй, менее известный рычаг - часть 3.4-2 статьи 4.1 КоАП РФ, отдельно от статьи 13.11. Она снижает оборотный штраф, если компания ежегодно в течение трёх лет, предшествующих году выявления нарушения, тратит на информационную безопасность не менее 0,1% годовой выручки.

Что снижает штраф на практике

• Статус микропредприятия. Подтверждённый статус - основание для кратного снижения штрафа по частям 13 - 15 ст. 13.11 КоАП, как в деле Ukids.
• Уведомление Роскомнадзора без задержки. Быстрое обращение к регулятору меняет исход с оборотного штрафа на предупреждение - пример «ПКР Аналитика».
• Доказанная непричастность. Если утечка - результат стороннего несанкционированного доступа, а не халатности компании, штраф можно оспорить, как в деле РЖД.
• Регулярные расходы на ИБ ≥ 0,1% выручки. Три года подряд до года нарушения - основание применить часть 3.4-2 ст. 4.1 КоАП.

При выполнении порога 0,1% расчёт штрафа меняется так:

Штраф = 1/10 от минимального размера вилки,
но не менее 15 000 000 руб. и не более 50 000 000 руб.

Например, компания три года подряд документально подтверждала расходы на ИБ на уровне 0,1% выручки - тогда при повторном нарушении суд обязан считать штраф по этой формуле, а не по обычной вилке процента от оборота.

Второй контур: уголовная ответственность за незаконный оборот баз

Кратко: Уголовная ответственность по ст. 272.1 УК РФ действует параллельно с оборотными штрафами и наказывает не компанию, а конкретного человека - того, кто украл, хранил или передал базу без права на это.

Статья введена Федеральным законом от 30.11.2024 № 421-ФЗ и действует с 11 декабря 2024 года - то есть раньше майских поправок об оборотных штрафах, и это отдельный, персональный контур ответственности. Он бьёт не по юрлицу, а по конкретному сотруднику: менеджеру, который скопировал базу клиентов перед увольнением, администратору, продавшему выгрузку на сторону, или тому, кто просто хранил краденые данные на личном ноутбуке.

Наказание растёт по составу нарушения:

Ключевой момент для бизнеса: ответственность несёт не только тот, кто похитил базу, но и тот, кто её просто хранил и передавал дальше. Если у сотрудника оказалась выгрузка клиентской базы «на всякий случай» - он уже в зоне риска по части 1, даже без корыстного мотива.

Практический вывод - ограничение доступа к базам по ролям и договор о неразглашении снимают риск не с компании, а лично с сотрудника, а значит, работают как реальный сдерживающий фактор при увольнениях и конфликтах.

Частые вопросы

Источники

1. Ст. 13.11 КоАП РФ, части 12 - 14: фиксированные штрафы за первую утечку по объёму
2. Обзор БУХ.1С: сводная таблица штрафов с 30 мая 2025 года
3. Ч. 3.1 ст. 21 152-ФЗ: сроки 24 и 72 часа при инциденте
4. Ст. 22 152-ФЗ: кто обязан подать уведомление о начале обработки
5. Ст. 18.1 152-ФЗ: обязательный организационный минимум оператора
6. Ст. 9 152-ФЗ: требования к согласию - «конкретное, предметное, информированное, сознательное и однозначное»
7. Позиция Роскомнадзора и практика по предустановленным галочкам согласия
8. Автоматические проверки сайтов Роскомнадзором: что ищет бот и сколько дают на исправление
9. Статистика Роскомнадзора за 2025 год: 118 утечек и более 52 млн записей
10. Правоприменение январь - апрель 2025: 30 инцидентов, 9 протоколов, 240 000 руб. штрафов
11. Дело «Почты России»: 26 млн строк в открытом доступе и штраф 150 000 руб.
12. Первые дела по новым составам: Ukids, «ПКР Аналитика», РЖД (март 2026)
13. ГАРАНТ.РУ: реквизиты первых решений по крупным утечкам
14. Разбор ст. 13.11 КоАП: четыре распространённых заблуждения
15. Определение ВС РФ: телефон и e-mail сами по себе не являются персональными данными
16. Позиция Роскомнадзора по e-mail и риск спора с регулятором
17. Ст. 272.1 УК РФ: уголовная ответственность за незаконный оборот персональных данных
18. Судебная практика 2025 - 2026: правило действия закона во времени и смена подсудности
19. Оборотные штрафы пока не применялись: повторных утечек регулятор не фиксировал