500 млн рублей — верхняя граница оборотного штрафа за повторную утечку персональных данных. Но до многомиллионного состава компания часто доходит через вполне обычные процессы: не отключили доступ уволенного сотрудника, забыли обновить уведомление в Роскомнадзор, оставили старую форму согласия или не проверили, куда подрядчик сохраняет данные.

После существенного усиления ответственности за нарушения при обработке ПДн штрафы уже нельзя воспринимать как проблему только юриста или DPO. HR работает со специальными категориями и данными работников, бухгалтерия передает сведения банкам и подрядчикам, маркетинг собирает данные через сайт и аналитику, ИТ отвечает за системы, доступы и инфраструктуру. Разберем, какие штрафы действуют сейчас, какие нарушения обходятся дороже всего и что стоит проверить до жалобы, утечки или запроса Роскомнадзора. 

Если сначала нужно понять не сумму, а где именно обычный бизнес-процесс становится неправомерной обработкой, полезно пройти 10 типовых сценариев нарушения 152-ФЗ.

Статья 24 Федерального закона № 152-ФЗ прямо указывает, что виновные в нарушении требований законодательства о персональных данных несут предусмотренную законом ответственность. Для бизнеса это административная, уголовная, гражданско-правовая, а в трудовых отношениях также дисциплинарная и материальная ответственность.

Основной массив штрафов сосредоточен в ст. 13.11 КоАП РФ. Она охватывает обработку без правового основания, ошибки в согласиях, права субъектов, локализацию, уведомления, инциденты и утечки.

Уголовный риск отдельно закреплен в ст. 272.1 УК РФ: речь идет о незаконных действиях с компьютерной информацией, содержащей ПДн.

Проблема для компании в том, что один эпизод может поставить вопросы сразу по нескольким направлениям. Например, после утечки выясняется, что у подрядчика был лишний доступ, уведомление об инциденте отправили поздно, а сама база хранилась с нарушением требований локализации. Квалификация каждого случая зависит от конкретных обстоятельств, поэтому считать риск только по одному «главному штрафу» опасно.

Для руководителя и владельцев процессов удобнее сначала увидеть диапазон именно для юридического лица.

Самые дорогие составы связаны с локализацией, крупными и повторными утечками, специальными категориями и биометрией.

Но небольшая сумма в таблице не означает, что нарушение безопасно. Жалоба одного человека может открыть регулятору гораздо более широкий процесс.

09.06.2026 Савеловский районный суд Москвы оставил в силе штраф 150 000 рублей банку за обработку ПДн несовершеннолетнего без согласия его законного представителя. Основанием для дела стало обращение представителя ребенка в Роскомнадзор.

Для бизнеса здесь показательна не сумма. Нарушение не началось с массовой утечки или атаки. Оно возникло в обычном клиентском процессе, где компания неверно определила правовое основание обработки.

По ч. 1 ст. 13.11 КоАП РФ юридическое лицо рискует получить от 150 000 до 300 000 рублей. При повторном нарушении диапазон повышается до 300 000–500 000 рублей.

Практический вопрос для вашей компании: сможете ли вы для каждой анкеты, формы сайта, базы кандидатов, CRM или рассылки быстро назвать цель и конкретное правовое основание?

Если ответ приходится искать по папкам и перепискам, проблема уже не только юридическая.

Один из самых опасных самообманов — «у нас же есть согласие».

Часть 2 ст. 13.11 КоАП РФ касается ситуаций, когда закон требует письменного согласия, но оператор его не получил или оформил с нарушениями. Для юридического лица штраф составляет 300 000–700 000 рублей, при повторности — до 1 500 000 рублей.

В одном из банковских дел суд 16.12.2025 оставил в силе штраф 300 000 рублей за нарушения при получении согласия на обработку и передачу биометрических ПДн в ЕБС. Согласие собирали через банкоматы и мобильное приложение с ПИН-кодом или одноразовым кодом, но доказательств соблюдения требований к простой электронной подписи суд не увидел. В документе также объединили несколько целей обработки.

Получается парадокс: документ существует, пользователь совершает подтверждающее действие, а доказать корректное согласие оператор все равно не может.

Поэтому при ревизии стоит смотреть не только на наличие файла или чекбокса. Нужно проверить содержание, способ подписания, цели, доказательства получения и фактическую обработку. Типовые слабые места подробно разобраны в материале о распространенных недостатках согласий.

За отсутствие доступной политики штраф для юридического лица составляет 30 000–60 000 рублей по ч. 3 ст. 13.11 КоАП РФ.

Сумма заметно ниже штрафа за утечку, но и выявить такое нарушение значительно проще. Не нужно исследовать архитектуру ИСПДн: достаточно открыть сайт и посмотреть, доступна ли политика там, где идет сбор персональных данных.

Риск возникает и тогда, когда документ формально размещен, но ссылка не работает, его трудно найти или содержание давно разошлось с фактическими процессами.

Похожая история — с обращениями субъектов. По ч. 4 ст. 13.11 КоАП РФ непредоставление информации может стоить организации 40 000–80 000 рублей.

В деле от 16.03.2026 арбитражного управляющего оштрафовали на 8 000 рублей как должностное лицо за нарушение десятидневного срока ответа на запрос субъекта.

В компании такой запрос легко теряется между общей почтой, юристом, HR и ответственным за ПДн. Поэтому нужен маршрут: кто принимает обращение, кто идентифицирует заявителя, откуда собираются сведения и кто контролирует срок. Практическую схему можно сверить с руководством по работе с обращениями субъектов ПДн.

При большом количестве процессов эту работу трудно вести в нескольких несвязанных таблицах. В Privacy Box можно держать в одной модели цели, основания, сроки, ответственных и другие параметры обработки.

ПДн — это не только сайт, CRM и облако.

В одном из дел сотрудник поместил оригиналы договоров с работниками в стопки с макулатурой. Документы обнаружили на таможенном посту в автомобиле с вторсырьем. Организации назначили штраф 50 000 рублей за нарушение условий хранения ПДн на материальных носителях.

Для бухгалтерии и HR этот кейс особенно показателен. Архивы, анкеты, заявления, копии документов, пропуска и распечатки остаются частью процесса обработки, даже если компания давно автоматизировала большую часть работы.

Поэтому аудит ПДн, который начинается и заканчивается CRM, будет неполным.

Первое нарушение требований локализации по ч. 8 ст. 13.11 КоАП РФ может стоить юридическому лицу от 1 до 6 млн рублей. Повторное по ч. 9 — от 6 до 18 млн рублей.

Риск часто ищут только в основной клиентской базе. Но фактический маршрут данных шире: формы сайта, метрики, чаты, сервисы рассылок, иностранные CRM, резервное копирование, облака и подрядчики.

Поэтому проверка локализации персональных данных должна начинаться с вопроса «куда попадает первая запись после нажатия кнопки на сайте», а не только с адреса основной базы.

Отдельно стоит разобрать хранение ПДн за границей: локализация и трансграничная передача — связанные, но разные режимы.

С 30.05.2025 неподача уведомления о намерении обрабатывать ПДн выделена в отдельный состав — ч. 10 ст. 13.11 КоАП РФ.

Для юридического лица штраф составляет 100 000–300 000 рублей.

04.02.2026 Арбитражный суд Москвы рассмотрел дело компании, которая обрабатывала сведения через формы на сайте и метрические программы, но не уведомила Роскомнадзор. С учетом статуса субъекта МСП штраф составил 50 000 рублей — половину минимальной санкции.

Для сайта это особенно неприятный риск: наличие форм и аналитики можно увидеть без доступа к внутренней инфраструктуре.

Проверять стоит не только сам факт включения компании в реестр. Уведомление должно совпадать с реальностью: целями, категориями данных, субъектами, информационными системами и другими параметрами обработки. Для системной сверки подходит аудит соответствия требованиям 152-ФЗ.

Штраф возникает не только из-за самого инцидента.

Часть 11 ст. 13.11 КоАП РФ предусматривает для юридического лица от 1 до 3 млн рублей за невыполнение или несвоевременное выполнение обязанности уведомить Роскомнадзор.

Часть 3.1 ст. 21 152-ФЗ устанавливает две контрольные точки:

• в течение 24 часов оператор сообщает о факте инцидента;

• в течение 72 часов передает результаты внутреннего расследования.

Представьте пятницу, 17:40. ИТ видит подозрительную выгрузку. ИБ еще выясняет масштаб. Юрист не знает, какие категории ПДн попали в выборку. Подрядчик отвечает, что вернется с информацией утром.

Именно в этот момент выясняется, был ли у компании настоящий процесс реагирования или только регламент на бумаге.

Техническую и организационную часть лучше готовить заранее: кто фиксирует инцидент, кто сохраняет доказательства, кто взаимодействует с подрядчиком, кто считает субъектов и кто готовит уведомление. Здесь уже нужен стык privacy и ИБ-комплаенса, а не работа одного юриста. 

Для утечек размер санкции зависит от количества субъектов и идентификаторов.

При утечке данных от 1 000 до 10 000 субъектов штраф для юридического лица составляет 3–5 млн рублей. При количестве от 10 000 до 100 000 субъектов — 5–10 млн рублей. Если затронуто более 100 000 субъектов, диапазон достигает 10–15 млн рублей.

При этом учитываются и идентификаторы: технические ID, email, клиентские номера и другие обозначения могут иметь значение для квалификации.

В марте 2026 года суд рассматривал утечку данных примерно 300 000 субъектов после компрометации CRM. Компания сама сообщила об инциденте в Роскомнадзор. Суд учел статус микропредприятия и назначил штраф 400 000 рублей по правилам ст. 4.1.2 КоАП РФ.

Сам факт кибератаки не означает, что ответственность автоматически исключается. При разборе инцидента смотрят и на действия оператора: доступы бывших сотрудников, пароли, обновления ПО, настройки защиты, расследование и контроль подрядчиков.

Именно поэтому после инцидента недостаточно закрыть техническую уязвимость. Аудит соответствия 152-ФЗ помогает проверить, какие организационные и правовые изменения нужно зафиксировать вслед за техническим исправлением.

Отдельный вопрос — кому компания передала данные и кто допустил раскрытие. Такие ситуации подробнее разобраны в материале об ответственности за разглашение ПДн третьим лицам.

Самая чувствительная санкция возникает при повторности.

По ч. 15 ст. 13.11 КоАП РФ для юридического лица предусмотрен штраф от 1% до 3% совокупной выручки, но не менее 20 млн и не более 500 млн рублей.

При повторных нарушениях, затрагивающих специальные категории или биометрические ПДн, нижняя граница повышается до 25 млн рублей, верхняя остается на уровне 500 млн рублей.

Нужны результаты расследования, изменение доступов, обновленные регламенты, пересмотр подрядчиков, технические меры и доказательства того, что корректирующие действия действительно выполнены.

За неправомерную передачу специальных категорий ПДн юридическому лицу грозит 10–15 млн рублей. Для биометрических данных — 15–20 млн рублей.

Это особенно чувствительно для HR, медицины, страхования, финансовых организаций и компаний, которые внедряют распознавание лиц или иные биометрические сценарии.

Здесь опасна привычка считать, что если согласие есть, значит, вопрос закрыт. Сначала необходимо правильно определить категорию данных и правовой режим, затем проверить форму согласия, цель и реальный процесс обработки.

С 11 декабря 2024 года действует ст. 272.1 УК РФ. Она касается незаконных действий с компьютерной информацией, содержащей персональные данные.

Под компьютерной информацией понимаются сведения в форме, доступной для обработки компьютерными устройствами и передачи по соответствующим каналам. Поэтому риск не ограничивается большой базой в CRM. Фотография документа, выгрузка Excel, скриншот, файл в облаке или пересылка через мессенджер тоже могут попасть в этот контур.

Основные денежные санкции выглядят так:

Закон отдельно связывает уголовный риск с незаконным сбором, использованием, хранением и передачей такой информации. Пояснения к понятию компьютерной информации содержатся и в примечаниях к ст. 272 УК РФ, а возможные тяжкие последствия раскрываются в соответствующих положениях УК РФ.

В марте 2026 года частного детектива оштрафовали на 300 000 рублей и лишили права заниматься детективной деятельностью на два года. По материалам дела, он за вознаграждение получил сведения о человеке через сторонний Telegram-бот и затем передал их заказчику.

Для работодателей и служб безопасности отсюда следует практический вопрос: откуда сотрудники получают данные для проверки кандидатов, контрагентов или должников?

Сам факт, что сведения можно купить или найти через бот, не делает источник законным.

Самопроверку лучше строить не по порядку частей ст. 13.11 КоАП РФ, а по маршруту данных.

Сначала составьте карту обработки: какие сведения собираются, у кого, для чего и на каком основании. Затем сопоставьте ее с согласиями, политикой, уведомлением РКН и договорами с подрядчиками.

После этого проверьте техническую сторону. Где происходит первичная запись? Какие сотрудники имеют доступ? Остаются ли учетные записи после увольнения? Какие сервисы получают данные? Есть ли зарубежные компоненты? Как устроены резервные копии?

Отдельно пройдите чувствительные процессы: специальные категории, биометрию, обращения субъектов и уничтожение ПДн.

Подрядчиков лучше вынести в самостоятельный реестр: какая у них роль, какие данные они получают, есть ли поручение, могут ли привлекать субподрядчиков и как подтверждают меры защиты. 

Для ИТ-систем имеет смысл отдельно провести технический аудит информационных систем: юридически корректный документ не компенсирует лишний доступ или небезопасную конфигурацию.

А сотрудникам, которые работают с ПДн каждый день, нужна понятная практика, а не только лист ознакомления с локальным актом. Для этого можно встроить в программу обучение по персональным данным: что можно отправлять подрядчику, куда направлять запрос субъекта, как действовать при инциденте и какие рабочие действия создают риск.

Для комплексной проверки удобно сверяться и с дорожной картой подготовки к проверкам Роскомнадзора.

За изменениями в ответственности, судебной практике и подходах Роскомнадзора можно следить в Telegram-канале Б-152.

Для юридических лиц максимальная граница оборотного штрафа по повторным нарушениям, связанным с утечками, специальными категориями и биометрией, составляет 500 млн рублей.

По ч. 10 ст. 13.11 КоАП РФ для юридического лица предусмотрено от 100 000 до 300 000 рублей. При этом наличие политики и согласий не устраняет отдельное нарушение по уведомлению.

За первое нарушение по ч. 8 ст. 13.11 КоАП РФ юридическому лицу грозит от 1 до 6 млн рублей, за повторное по ч. 9 — от 6 до 18 млн рублей.

Нет. При разборе оценивают не только действия злоумышленника, но и то, как оператор управлял доступами, обновлениями, защитой систем и реагированием на инцидент.

После выявления инцидента оператор должен направить первичное уведомление в течение 24 часов, а информацию о результатах внутреннего расследования — в течение 72 часов.

Да. Передача обработки подрядчику не означает, что оператор может перестать контролировать процесс. Нужно определить роль контрагента, договорные условия, доступы и порядок реагирования на инциденты.

Да. Ст. 272.1 УК РФ охватывает незаконные действия с компьютерной информацией, содержащей персональные данные, включая сбор, использование, хранение и передачу при установленных законом условиях.

Реклама: ООО «Б152», ИНН 5050091524, erid: 2W5zFGcFoSZ