Штрафы и ответственность за персональные данные: полный обзор 2026

До 30 мая 2025 года штрафы за нарушения с персональными данными измерялись в основном сотнями тысяч рублей, и многие компании относились к ним как к приемлемому риску. После вступления в силу закона 420-ФЗ картина изменилась принципиально: за утечку данных юридическое лицо платит миллионы, за повторную — оборотный штраф до 500 миллионов, а за незаконный оборот данных появилась реальная уголовная статья. Разберём актуальные суммы по каждому виду нарушения, чтобы было видно, где проходит граница между неприятным и разрушительным.

Если коротко, ответственность теперь устроена в три этажа. Первый — административные штрафы по статье 13.11 КоАП за «процедурные» нарушения (нет согласия, нет уведомления, обработка не по правилам). Второй — крупные штрафы за утечки и нарушение локализации, измеряемые миллионами. Третий — уголовная ответственность по статье 272.1 УК за незаконный оборот персональных данных. Дальше по порядку.

Что изменил закон 420-ФЗ

Федеральный закон 420-ФЗ переписал статью 13.11 КоАП РФ и поднял большинство санкций. Ключевое: появился отдельный состав за утечку персональных данных с привязкой суммы к числу пострадавших, введён оборотный штраф за повторную утечку и отдельное наказание за неуведомление Роскомнадзора об инциденте. Старые статьи о суммах вроде «штраф до 150 тысяч для юрлица» с этой даты неактуальны, и ориентироваться на них опасно.

Административные штрафы по статье 13.11

Базовые составы касаются того, как организована обработка. Размер зависит от статуса нарушителя и от того, первичное это нарушение или повторное.

Именно по части 2 наказывается обработка без согласия там, где оно обязательно, поэтому корректное согласие на обработку закрывает один из самых частых составов. А часть 10 наказывает отсутствие уведомления оператора в Роскомнадзор — формальную обязанность, о которой забывают чаще всего.

Самые дорогие нарушения: утечки

Отдельный состав за утечку — главное новшество 420-ФЗ. Размер штрафа для юридического лица зависит от числа затронутых субъектов:

• от 1 000 до 10 000 субъектов — от 3 до 5 млн рублей;
• от 10 000 до 100 000 субъектов — от 5 до 10 млн рублей;
• более 100 000 субъектов — от 10 до 15 млн рублей.

За повторную утечку наказание становится оборотным: от 1 до 3 процентов совокупной годовой выручки, не менее 20–25 млн и не более 500 млн рублей. Дополнительно, если оператор не уведомил Роскомнадзор об утечке в течение 24 часов, это отдельный штраф для юрлица от 1 до 3 млн рублей.

На практике одна утечка почти никогда не оборачивается одним штрафом. Обычно к составу за саму утечку добавляются смежные: неуведомление об инциденте в срок, отсутствие части документов, иногда необеспечение мер защиты. Поэтому реальная сумма по итогам проверки складывается из нескольких составов сразу, и считать её по одной строке таблицы — ошибка. Именно поэтому защита окупается не «потому что так положено», а арифметически: предотвращённая утечка экономит на порядок больше, чем стоят меры по её предотвращению.

Нарушение локализации

Если данные россиян хранятся за пределами России в нарушение требования о локализации, это отдельный состав. Для юридических лиц первичное нарушение обойдётся в 1–6 млн рублей, повторное — уже в 6–18 млн рублей. Это самостоятельная санкция, не связанная ни с уведомлением, ни с утечкой, и она применяется даже без всякого инцидента, по самому факту хранения базы не там, где требует закон.

Уголовная ответственность

С усилением административных санкций появилась и уголовная статья 272.1 УК РФ — за незаконные использование, передачу, сбор и хранение компьютерной информации, содержащей персональные данные. В отличие от штрафов по КоАП, которые ложатся на компанию, уголовная ответственность персональна и грозит конкретным людям, вплоть до лишения свободы. Сюда же примыкает статья 137 УК о нарушении неприкосновенности частной жизни.

Появление статьи 272.1 — это смена логики, которую многие руководители недооценивают. Раньше «цена вопроса» была корпоративной: оштрафовали юрлицо, заложили в бюджет, забыли. Теперь за организованный слив базы или торговлю данными отвечает не абстрактная компания, а сотрудник и руководитель лично. Это меняет отношение к доступу к данным внутри организации сильнее, чем любые суммы штрафов: теперь это вопрос личного риска тех, кто с данными работает.

Как снизить риск

Большинство крупных штрафов вырастают из базовых пробелов, а не из изощрённых атак. Минимальный набор, который закрывает основную часть рисков: поданное уведомление оператора, корректные согласия там, где они нужны, политика и внутренние документы, обеспечение мер защиты соразмерно уровню системы, локализация баз на территории РФ и готовый порядок действий на случай инцидента, включая уведомление в течение 24 часов. Это не гарантия от штрафа, но именно отсутствие этого фундамента превращает любую проверку в дорогую.

Как назначается штраф

Важно понимать саму механику, потому что от неё зависит, насколько реален риск. Дела по статье 13.11 возбуждает Роскомнадзор: его инспекторы составляют протокол об административном правонарушении, а решение о штрафе по большинству составов принимает суд. Крупные суммы, особенно оборотные штрафы за повторную утечку, проходят именно через судебное рассмотрение, где оператор может представить свою позицию.

Поводом для разбирательства чаще всего служит не плановая проверка, а конкретное событие: жалоба субъекта, публикация об утечке, запрос или обращение в Роскомнадзор. Плановые проверки бизнеса сейчас ограничены мораторием, поэтому реальный сценарий — это внеплановая реакция на инцидент или жалобу. Из этого следует практический вывод: пока всё тихо, риск выглядит абстрактным, но в момент жалобы или утечки проверяющий смотрит сразу весь комплект обязанностей, и пробелы вскрываются разом.

Что влияет на размер штрафа

Внутри вилки (например, «от 150 до 300 тысяч») конкретная сумма определяется обстоятельствами. Снижают наказание смягчающие факторы: добровольное прекращение нарушения до вмешательства регулятора, устранение последствий, содействие в разбирательстве, отсутствие реального вреда субъектам. Для части нарушений у малого и среднего бизнеса при первом нарушении возможна замена штрафа предупреждением, но к серьёзным составам вроде утечки это не применяется.

Увеличивают санкцию отягчающие обстоятельства: повторность (для неё в статье выделены отдельные части с кратно большими суммами), продолжение нарушения после требования его прекратить, умышленный характер, большой объём затронутых данных. Поэтому два формально одинаковых нарушения могут привести к очень разным штрафам, и поведение оператора после выявления проблемы влияет на итог не меньше, чем сам факт нарушения.

Источники

• Статья 13.11 КоАП РФ (КонсультантПлюс) — нарушение законодательства в области персональных данных, актуальная редакция.
• Новые штрафы за ПДн с 30 мая 2025 (КонсультантПлюс) — обзор изменений по закону 420-ФЗ.
• Уголовный кодекс РФ, ст. 272.1 и 137 (КонсультантПлюс) — уголовная ответственность за незаконный оборот ПДн и нарушение частной жизни.