Штрафы за персональные данные: таблица и как их избежать
Я, Петухов Олег Анатольевич, руководитель «ЛЕГАС», 25 лет работаю с персональными данными. С 2025 года штрафы выросли в десятки раз: за утечку - до 20 млн ₽, за повторную - до 3% выручки. В статье - таблица штрафов, разбор рисков с трёх углов, кейсы «ЛЕГАС», судебная практика и готовые алгоритмы.
Риски и ответственность: три взгляда
Взгляд юриста
Основная норма - ст. 13.11 КоАП РФ в ред. ФЗ № 420-ФЗ от 30.11.2024. Штрафы для юрлиц: без согласия - 300–700 тыс. ₽ (ч. 2). Утечка 1–10 тыс. субъектов - 3–5 млн ₽ (ч. 12); свыше 100 тыс. - 10–15 млн ₽ (ч. 14). Повторная утечка - оборотный штраф 1–3% выручки, 20–500 млн ₽ (ч. 15). Срок давности - 1 год (ст. 4.5 КоАП). С 11.12.2024 действует ст. 272.1 УК РФ - до 10 лет за незаконный оборот ПДн.
Судебная практика. ВС РФ (постановление от 21.01.2026 № 5-АД25-119-К2): оператор отвечает за утечку через подрядчика, если не контролировал его действия.
Кейс «ЛЕГАС». IT-компания хранила данные в зарубежной CRM, согласие встроено в оферту. Мы подготовили отдельные согласия, локализовали базы, подали уведомление в РКН. Риски до 6 млн ₽ сняты.
Что сделать:
Проверьте уведомление в РКН.
Аудируйте формы согласий.
Заведите реестр обработки ПДн.
Взгляд специалиста по информационной безопасности
Нет разграничения доступа - штраф по ч. 2 ст. 13.11 КоАП. С 01.07.2025 ч. 5 ст. 18 ФЗ-152: первичный сбор ПДн - только на серверах в РФ.
Судебная практика. Центр занятости выбросил папки с ПДн - штраф по ч. 6 ст. 13.11 КоАП. Правопреемник отвечает за предшественника (постановление Первого кассационного суда от 12.03.2025 № 16-529/2025).
Кейс «ЛЕГАС». Клиника обратилась перед проверкой. Аудит: доступ к базе пациентов у 12 сотрудников без ограничений. За две недели настроили разграничение по ролям.
Что сделать:
Инвентаризируйте системы с ПДн.
Проверьте расположение серверов.
Настройте доступ по ролям.
Взгляд руководителя
Штраф для должностного лица - до 200 тыс. ₽, за неуведомление об утечке - до 800 тыс. ₽. Здесь многие ошибаются: считают, договор с подрядчиком снимает ответственность. Нет - оператор отвечает всегда.
Судебная практика. Восьмой кассационный суд (13.05.2025, № 16-2072/2025) прекратил дело - истёк срок давности.
Кейс «ЛЕГАС». Вологодская торговая сеть обнаружила утечку 3000 записей. Уведомление в РКН - через 18 часов. Результат - предупреждение.
Что сделать:
Закрепите ответственного приказом.
Утвердите регламент реагирования.
Проверьте договоры с подрядчиками.
Таблица штрафов по ст. 13.11 КоАП РФ (юрлица, 2026)
Нарушение Часть Штраф
Обработка без оснований ч. 1 150–300 тыс. ₽
Без согласия ч. 2 300–700 тыс. ₽
Нет политики в доступе ч. 3 30–60 тыс. ₽
Неуведомление РКН об обработке ч. 10 100–300 тыс. ₽
Неуведомление об утечке ч. 11 1–3 млн ₽
Утечка 1–10 тыс. субъектов ч. 12 3–5 млн ₽
Утечка 10–100 тыс. ч. 13 5–10 млн ₽
Утечка свыше 100 тыс. ч. 14 10–15 млн ₽
Повторная утечка ч. 15 1–3% выручки, 20–500 млн ₽
Утечка биометрии ч. 17 15–20 млн ₽
Изменения законодательства
2025–2026 годы - переломные. ФЗ № 420-ФЗ (с 30.05.2025) кратно увеличил штрафы и ввёл оборотные. ФЗ № 156-ФЗ (с 01.09.2025) запретил включать согласие в договор - только отдельный документ. ФЗ № 265-ФЗ от 26.07.2026 изменил правила трансграничной передачи: участие в Конвенции больше не даёт льгот - важен только перечень РКН. С 01.01.2026 дела по ст. 13.11 КоАП снова у мировых судей (ФЗ № 508-ФЗ).
Вопрос-ответ
Какой штраф за утечку персональных данных в 2026 году?
Для юрлица - от 3 до 20 млн ₽. Утечка 1–10 тыс. записей - 3–5 млн ₽ (ч. 12). Биометрия - 15–20 млн ₽ (ч. 17). Повторная - 1–3% выручки, минимум 20 млн ₽.
Норма: ч. 12–18 ст. 13.11 КоАП. Судебная практика: сервис доставки с повторной утечкой получил штраф 150 млн ₽ - 1% выручки.
Алгоритм:
Зафиксируйте время обнаружения.
Уведомите РКН в течение 24 часов.
Уведомите субъектов в течение 72 часов.
Заблокируйте уязвимость, проведите расследование.
Рекомендация: первые 72 часа решают исход - действуйте по регламенту.
Нужно ли переоформлять согласия после 1 сентября 2025 года?
Старые согласия переоформлять не нужно. Новые - только отдельным документом.
Норма: ч. 4 ст. 9 ФЗ-152 (в ред. ФЗ № 156-ФЗ). Судебная практика: штраф 150 000 ₽ за предустановленную галочку в оферте.
Алгоритм:
Проверьте даты действующих согласий.
Новые оформляйте отдельным документом.
Настройте процесс отзыва.
Добавьте отдельное согласие на передачу третьим лицам.
Рекомендация: сделайте шаблон с юристом один раз.
Как снизить оборотный штраф за повторную утечку?
Закон позволяет снизить штраф до 15–50 млн ₽, если компания три года инвестировала 0,1% выручки в ИБ, уведомила РКН в 24 часа и провела расследование.
Норма: ч. 3.2 ст. 4.1 КоАП. Судебная практика: торговая сеть снизила штраф с 8 млн до 1,5 млн ₽.
Алгоритм:
Документируйте расходы на ИБ ежегодно.
Уведомите РКН в 24 часа.
Устраните причины утечки до суда.
Пройдите аудит ИБ.
Рекомендация: инвестируйте в ИБ до инцидента, а не после.
Что делать, если Роскомнадзор прислал требование?
Не игнорировать. Срок давности - 1 год: если истёк, суд обязан прекратить дело.
Норма: ст. 4.5, ч. 4 ст. 13.11 КоАП. Судебная практика: ООО «РТ КИС» оштрафовано за несвоевременный ответ РКН.
Алгоритм:
Зафиксируйте дату получения.
Проверьте срок давности.
Подготовьте ответ с юристом.
Приложите доказательства устранения.
Рекомендация: привлекайте юриста до ответа, а не после возбуждения дела.
Частые ошибки
Согласие встроено в договор - с 01.09.2025 нарушение, оформляйте отдельно.
Данные на зарубежных серверах - первичный сбор в РФ с 01.07.2025.
Нет регламента реагирования - потеряете 24 часа.
Подрядчик обрабатывает ПДн без контроля - оператор отвечает всегда.
Уведомление в РКН неактуально - обновите, если процессы изменились.
Заключение
Штрафы за ПДн - уже не десятки тысяч, а миллионы и проценты от выручки. Закон 2025–2026 годов не оставляет пространства формальному подходу. Сверьте свой статус: уведомление РКН, форма согласия, регламент реагирования. Если нужна помощь - обращайтесь в «ЛЕГАС».
Поделитесь статьёй с коллегами - пусть тоже избегут штрафов. Подпишитесь на legascom.ru - разбираем сложное просто.