С 30 мая 2025 года ответственность за утечку ПДн измеряется миллионами рублей, а при повторном нарушении — процентами от выручки. Оборотные штрафы за утечку данных пока назначались редко: для повторности нужно первое постановление, вступившее в силу после изменения закона. Но многие операторы такие постановления уже получили, поэтому штрафы за утечку персональных данных в 2026 году стоит закладывать в оценку рисков. Разберём размеры санкций, условия их снижения и меры защиты.
Ответственность за утечку ПДн по ст. 13.11 КоАП после 420-ФЗ
Федеральный закон от 30.11.2024 № 420-ФЗ дополнил ст. 13.11 КоАП частями 10–18, привязав новые составы к объёму утечки и чувствительности данных. ИП по ст. 2.4 КоАП отвечают как юрлица.
Таблица штрафов за утечку и неуведомление Роскомнадзора
| Часть ст. 13.11 | Нарушение | Штраф для юрлиц и ИП |
|---|---|---|
| ч. 10 | Не подано уведомление о намерении обрабатывать ПДн | 100–300 тыс. ₽ |
| ч. 11 | Роскомнадзор не уведомлён об инциденте или уведомлён с опозданием | 1–3 млн ₽ |
| ч. 12 | Утечка: 1 000–10 000 субъектов и (или) 10 000–100 000 идентификаторов | 3–5 млн ₽ |
| ч. 13 | Утечка: 10 000–100 000 субъектов и (или) 100 000–1 млн идентификаторов | 5–10 млн ₽ |
| ч. 14 | Утечка: свыше 100 000 субъектов и (или) свыше 1 млн идентификаторов | 10–15 млн ₽ |
| ч. 15 | Повторное нарушение по ч. 12–14 | 1–3% выручки, от 20 до 500 млн ₽ |
| ч. 16 | Утечка специальных категорий ПДн (объём не важен) | 10–15 млн ₽ |
| ч. 17 | Утечка биометрических ПДн (объём не важен) | 15–20 млн ₽ |
| ч. 18 | Повторное нарушение по ч. 16–17 | 1–3% выручки, от 25 до 500 млн ₽ |
Должностным лицам грозит 400–800 тыс. ₽ за неуведомление Роскомнадзора, 200–600 тыс. ₽ за утечку по ч. 12–14, от 1 млн до 1,3 млн ₽ за спецкатегории (ч. 16), от 1,3 млн до 1,5 млн ₽ за биометрию (ч. 17), 800 тыс.–1,2 млн ₽ за повторную утечку обычных данных (ч. 15), 1,5–2 млн ₽ за повторную утечку спецкатегорий и биометрии (ч. 18). Суммы сверяйте с действующей редакцией КоАП.
Три нюанса таблица не показывает:
- Идентификатор — уникальное обозначение сведений о человеке в базе оператора. Клиент с телефоном, e-mail и картой лояльности даёт несколько идентификаторов, поэтому этот порог нередко срабатывает раньше, чем по субъектам.
- Формула «и (или)» при буквальном прочтении означает, что хватает одного превышенного порога. Дубли записей не прибавляют субъектов, но могут прибавить идентификаторы.
- Утечка ниже порогов (меньше 1 000 субъектов и 10 000 идентификаторов) квалифицируется по общим составам ст. 13.11 с суммами на порядок ниже. Для спецкатегорий и биометрии порога нет.
Кроме того, 421-ФЗ ввёл ст. 272.1 УК РФ о незаконном использовании, передаче, сборе и хранении ПДн, полученных неправомерным доступом, — до 10 лет лишения свободы в квалифицированных составах. Это ответственность физлиц, но она касается покупки баз и «серых» источников лидов.
Когда утечка считается повторной и запускает оборотный штраф
Повторность определяется по п. 2 ч. 1 ст. 4.3 и ст. 4.6 КоАП: компания считается подвергнутой наказанию со дня вступления постановления в силу и до истечения года после его исполнения. Отсчёт идёт от постановления, а не от утечки, поэтому при обжаловании и поздней оплате «окно повторности» может растянуться на два года и дольше.
Части 12–14 взаимозаменяемы: первая утечка по ч. 12 и вторая по ч. 14 дают ч. 15, даже если данные утекли из разных ИСПДн. Сочетание «обычная утечка, потом спецкатегории» спорно: ч. 18 говорит о повторении именно ч. 16 или 17. Инциденты до 30 мая 2025 года для повторности не учитываются.
Сколько может заплатить ваша компания: расчёт по выручке
Оборотный штраф считают от выручки конкретного юрлица, а не группы, от реализации всех товаров, работ и услуг за календарный год, предшествующий году выявления нарушения.
Пороги выручки: минимум, процент и потолок в 500 млн
Для ч. 15 нижний предел в 20 млн ₽ перекрывает 3% выручки, пока она ниже примерно 667 млн ₽, и 1% — пока ниже 2 млрд ₽. Потолок в 500 млн ₽ достигается при 3% от выручки около 16,7 млрд ₽ и при 1% — от 50 млрд ₽.
| Выручка за год | Диапазон по ч. 17 | Диапазон по ч. 18 |
|---|---|---|
| 300 млн ₽ | 20 млн ₽ | 25 млн ₽ |
| 1 млрд ₽ | 20–30 млн ₽ | 25–30 млн ₽ |
| 2 млрд ₽ | 20–60 млн ₽ | 25–60 млн ₽ |
| 5 млрд ₽ | 50–150 млн ₽ | 50–150 млн ₽ |
| 20 млрд ₽ | 200–500 млн ₽ | 200–500 млн ₽ |
| 60 млрд ₽ | 500 млн ₽ | 500 млн ₽ |
Пример полной оценки: выручка 5 млрд ₽, повторно утекли данные 40 000 клиентов, Роскомнадзор не получил ни первичного, ни итогового уведомления:
| Статья затрат | Ориентировочно |
|---|---|
| Оборотный штраф по ч. 15 | 50–150 млн ₽ |
| Неуведомление в 24 и 72 часа (ч. 11, два эпизода) | 2–6 млн ₽ |
| Штрафы ответственного должностного лица (ч. 15 и ч. 11) | 1,2–1,6 млн ₽ |
| Внешнее расследование, юристы, перевыпуск доступов | 2–6 млн ₽ |
| Итого | 55,2–163,6 млн ₽ |
Суммы ориентировочны и не включают простой, иски субъектов и потерю клиентов. Для МСП ст. 4.1.1 КоАП позволяет заменить штраф предупреждением при первом нарушении без вреда, но на ч. 15–18 это не распространяется.
Условия снижения штрафа и почему расходы на ИБ планируют за три года
Поправки 420-ФЗ в ст. 4.1 КоАП позволяют назначить оборотный штраф ниже нижнего предела при одновременном выполнении трёх условий:
- В каждом из трёх лет, предшествующих году нарушения, расходы на информационную безопасность составили не менее 0,1% выручки.
- В течение года до нарушения оператор подтвердил соответствие требованиям к защите ПДн.
- Отсутствуют отягчающие обстоятельства.
Расходы стоит подтверждать документами (договоры, акты, платёжные поручения), а требования к их составу и к исполнителям — сверять с действующей редакцией КоАП. Для выручки 5 млрд ₽ порог составляет 5 млн ₽ в год. При буквальном прочтении компания, начавшая системно тратить на ИБ в 2026 году, выполнит условие только для нарушений 2029 года, и задним числом это не компенсировать. Поэтому бюджет на ИБ стоит документировать уже сейчас.
Защита ПДн и подготовка к проверке Роскомнадзора
Взлом периметра — далеко не главный источник утечек, поэтому меры защиты стоит привязывать к реальным каналам.
Каналы утечек и меры защиты: от резервных копий до учётных записей подрядчиков
- Резервные копии и объектные хранилища. Дамп базы в бакете с забытой публичной ссылкой. Помогают запрет публичного доступа политикой хранилища, шифрование копий и аудит прав.
- Копии для разработки и тестирования. Боевая база, выданная «на день», остаётся в использовании месяцами без мониторинга. Решение — маскирование всех идентификаторов, а не только ФИО, или синтетические данные.
- API. Перебор идентификаторов в методе мобильного приложения, избыточные поля в ответе. Нужны авторизация на уровне объекта, ограничение частоты запросов, WAF и журналирование.
- Привилегированные учётные записи и подрядчики. Украденный пароль сотрудника или постоянный VPN интегратора открывают доступ к CRM. Нужны MFA, управляемые устройства, временный доступ по заявке, отдельный сегмент и запись сессий.
- 1С. Кадровые базы ЗУП содержат сведения о больничных и инвалидности, и утечку могут квалифицировать по ч. 15 независимо от объёма. Отдельный риск — копии баз у франчайзи и опубликованные веб-сервисы.
Сократить время обнаружения помогают SIEM, DLP на исходящих каналах и записи-маркеры — фиктивные клиенты, указывающие на источник утечки. Именно от момента выявления отсчитываются 24 часа.
Оценка защищённости ИСПДн и документы для проверки
Организационная часть строится на ПП № 1119 и приказе ФСТЭК № 21: определяют актуальные угрозы и уровень защищённости (УЗ-1…УЗ-4), внедряют меры и проверяют их эффективность. При контроле Роскомнадзор с учётом категории риска оператора по ПП № 1286 обычно запрашивает:
- политику обработки ПДн и её публикацию на сайте;
- перечень ИСПДн и категорий обрабатываемых данных;
- модель угроз, акт определения уровня защищённости и результаты оценки эффективности мер;
- приказы о назначении ответственных, журналы, договоры поручения и согласия субъектов.
Сложность обычно в том, что модель угроз написана три года назад, а системы переехали в облако. Связать одно с другим помогает услуга Cloud4U — создание системы защиты ИСПДн с последующей оценкой защищённости. Специалисты проводят аудит обработки ПДн, строят модель угроз, определяют уровень защищённости, проектируют систему защиты и готовят пакет документов. Если собственная площадка не соответствует требованиям, ИСПДн можно разместить на сертифицированной инфраструктуре Cloud4U уровня УЗ-1 / К1. Подтверждённое соответствие пригодится и как второе условие снижения оборотного штрафа.
Утечка у облачного провайдера или подрядчика: кто отвечает
Утечка у подрядчика не снимает ответственности с оператора: для регулятора нарушитель — тот, кто определяет цели обработки.
Поручение обработки и что закрепить в договоре с провайдером
По ч. 3 и ч. 5 ст. 6 152-ФЗ обработчик отвечает перед оператором, а оператор — перед субъектом и регулятором. Вернуть деньги регрессом можно, только если это позволяет договор. Помимо требований ст. 19 закона, в поручении стоит закрепить:
- перечень мер защиты и уровень защищённости, который обеспечивает провайдер;
- срок уведомления оператора об инциденте, например 2–4 часа;
- доступ к журналам событий и участие во внутреннем расследовании;
- возмещение штрафов и расходов, если инцидент вызван нарушением обязательств подрядчика.
Разделение мер защиты в облаке и требования локализации
В IaaS провайдер отвечает за физическую инфраструктуру, среду виртуализации (меры ЗСВ по приказу № 21) и защиту технических средств (ЗТС), клиент — за ОС, приложения, учётные записи, антивирусную защиту и журналирование внутри ВМ. Управление доступом и реагирование на инциденты делятся. Аттестат провайдера закрывает только его слой, поэтому оценку защищённости всей ИСПДн оператор проводит сам. В PaaS и SaaS доля провайдера растёт, но настройки доступа остаются на стороне клиента.
Первичная запись и хранение ПДн россиян вне РФ нарушают ч. 5 ст. 18 152-ФЗ: это 1–6 млн ₽ по ч. 8 ст. 13.11 и 6–18 млн ₽ при повторе.
Первые 72 часа после утечки: порядок действий
Уведомления за 24 и 72 часа: сроки, содержание, ответственные
Порядок задают ч. 3.1 ст. 21 152-ФЗ и приказ Роскомнадзора № 187.
В течение 24 часов с момента выявления оператор направляет первичное уведомление: сведения об инциденте, предполагаемые причины и вред, принятые меры и контактное лицо.
В течение 72 часов направляют итоговое уведомление: результаты внутреннего расследования и сведения о причастных лицах, если их удалось установить.
Каждый пропущенный срок — самостоятельный эпизод по ч. 11, то есть до 6 млн ₽ за инцидент. В группе компаний уведомление подаёт каждое юрлицо-оператор. Параллельно по ч. 12 ст. 19 закона сведения об инцидентах передают в НКЦКИ (ГосСОПКА) по приказу ФСБ № 77.
Что подготовить заранее, чтобы уложиться в сроки
Какие системы содержат ПДн и кто за них отвечает, нужно знать до инцидента:
- Реестр ИСПДн с владельцами, категориями данных и юрлицами-операторами.
- Карта потоков данных: копии, выгрузки, доступ подрядчиков.
- Оценка объёма по каждой системе, чтобы предварительно определить квалификацию по ч. 12–14 за минуты.
- Журналы событий с достаточной глубиной хранения для итогового уведомления.
- Регламент реагирования: кто принимает решение, подписывает и отправляет уведомление, контакты подрядчиков и провайдера.
Регламент стоит проверять на учениях хотя бы раз в год.
Главные выводы
Ответственность за утечку ПДн складывается из фиксированного штрафа по объёму и типу данных, санкций за каждое пропущенное уведомление, штрафов должностных лиц и, при повторе, оборотного штрафа: для выручки 5 млрд ₽ это 50–150 млн ₽ только по ч. 17. Штрафы считают по каждому юрлицу, а статус повторности держится год после исполнения первого постановления.
Снижать риск стоит на трёх уровнях: технически — закрыть типовые каналы утечек; организационно — поддерживать актуальность модели угроз, оценки защищённости и договоров поручения; процессно — иметь реестр, карту данных и регламент для сроков 24 и 72 часа. Расходы на защиту персональных данных, оформленные с 2026 года, формируют и трёхлетнюю базу для снижения оборотного штрафа.
