Штрафы за утечки персональных данных выросли до 500 млн рублей

С 30 мая 2025 года действует Федеральный закон от 30.11.2024 № 420-ФЗ, который существенно усилил административную ответственность за нарушения законодательства о персональных данных.

Ключевое изменение — введение крупных штрафов за утечки персональных данных и оборотных штрафов за повторные нарушения. Максимальный размер штрафа для юридических лиц может достигать 500 млн рублей.

Для бизнеса это означает, что вопросы персональных данных переходят из формальной compliance-зоны в категорию существенных финансовых рисков. Проверять нужно не только наличие политики обработки персональных данных, но и фактические процессы: формы согласий, уведомления Роскомнадзора, трансграничную передачу, безопасность информационных систем и порядок реагирования на инциденты.

Что изменилось

Федеральный закон № 420-ФЗ внес изменения в статью 13.11 КоАП РФ, которая устанавливает ответственность за нарушения законодательства о персональных данных.

Среди наиболее значимых изменений:

• увеличены штрафы за обработку персональных данных без законного основания или не в соответствии с заявленными целями;
• повышена ответственность за обработку данных без надлежащего согласия субъекта;
• введены отдельные составы за утечки персональных данных в зависимости от масштаба инцидента;
• отдельно выделены утечки специальных категорий персональных данных и биометрических персональных данных;
• за повторные утечки предусмотрены оборотные штрафы, рассчитываемые от выручки компании.

Таким образом, размер ответственности теперь зависит не только от факта нарушения, но и от количества затронутых субъектов персональных данных, числа идентификаторов, характера данных и повторности нарушения.

Размеры штрафов

За утечку персональных данных штраф зависит от масштаба инцидента.

Если неправомерная передача, предоставление, распространение или доступ затронули от 1 тыс. до 10 тыс. субъектов персональных данных либо от 10 тыс. до 100 тыс. идентификаторов, штраф для юридических лиц составляет от 3 млн до 5 млн рублей.

Если инцидент затронул от 10 тыс. до 100 тыс. субъектов либо от 100 тыс. до 1 млн идентификаторов, штраф для юридических лиц составляет от 5 млн до 10 млн рублей.

Если утечка затронула более 100 тыс. субъектов персональных данных либо более 1 млн идентификаторов, штраф для юридических лиц составляет от 10 млн до 15 млн рублей.

За утечку специальных категорий персональных данных штраф для юридических лиц составляет от 10 млн до 15 млн рублей. За утечку биометрических персональных данных — от 15 млн до 20 млн рублей.

При повторном нарушении применяются оборотные штрафы. Для юридических лиц штраф может составить от 1% до 3% годовой выручки, но не более 500 млн рублей. Для повторных утечек специальных категорий данных или биометрии минимальный порог составляет 25 млн рублей.

Какие нарушения остаются наиболее рискованными

На практике риски возникают не только при крупной утечке данных. К ответственности может привести и нарушение базовых требований к обработке персональных данных.

К наиболее распространенным рискам относятся:

• обработка персональных данных без законного основания;
• сбор данных не в соответствии с заявленными целями;
• отсутствие политики обработки персональных данных на сайте;
• использование некорректных или заранее проставленных согласий;
• отсутствие отдельного согласия там, где оно требуется;
• передача данных третьим лицам без надлежащего правового основания;
• несоблюдение требований к трансграничной передаче персональных данных;
• несвоевременное выполнение требований субъекта об уточнении, блокировании или уничтожении данных;
• несвоевременное уведомление Роскомнадзора об инциденте;
• недостаточные организационные и технические меры защиты данных.

Особое внимание следует уделять сайтам, мобильным приложениям, CRM-системам, рекламным пикселям, аналитическим сервисам, формам обратной связи, личным кабинетам, программам лояльности и HR-системам.

Кого касается

Новые штрафы важны для всех операторов персональных данных, включая:

• банки, финтех-компании и платежные сервисы;
• медицинские организации и лаборатории;
• маркетплейсы, e-commerce и ритейл;
• IT-компании и SaaS-сервисы;
• образовательные платформы;
• застройщиков и управляющие компании;
• работодателей;
• компании с личными кабинетами, мобильными приложениями или программами лояльности;
• операторов биометрических персональных данных;
• компании, использующие зарубежные аналитические, рекламные или облачные сервисы.

Даже небольшая компания может быть оператором персональных данных, если она собирает имена, телефоны, email-адреса, cookie-идентификаторы, IP-адреса, данные сотрудников, клиентов или пользователей сайта.

Практическое значение для бизнеса

После вступления в силу новых штрафов утечка персональных данных может стать существенным финансовым событием для компании.

Особенно высокие риски возникают у организаций, которые обрабатывают большие массивы клиентских данных, специальные категории данных, биометрию или используют сложную IT-инфраструктуру с подрядчиками, облачными сервисами и внешними интеграциями.

Для бизнеса важно учитывать, что регулятор оценивает не только сам факт утечки, но и то, какие меры компания предпринимала до инцидента: были ли актуальные локальные акты, назначены ответственные лица, проведена инвентаризация процессов обработки, обеспечена защита информационных систем, оформлены договоры с обработчиками и подготовлен порядок реагирования на инциденты.

Ключевые риски

Основные риски для бизнеса:

• штраф до 500 млн рублей за повторную утечку;
• оборотный штраф, привязанный к годовой выручке;
• повышенная ответственность за утечку биометрии и специальных категорий данных;
• предписания Роскомнадзора и последующие проверки;
• блокировка или ограничение отдельных процессов обработки данных;
• претензии субъектов персональных данных;
• репутационные потери после публичного инцидента;
• договорные споры с клиентами, партнерами и подрядчиками;
• риск признания мер защиты недостаточными.

Для компаний, работающих с биометрией, медицинскими данными, финансовыми данными, данными несовершеннолетних или большими клиентскими базами, цена ошибки существенно выросла.

Что рекомендуется сделать

Компаниям рекомендуется провести аудит процессов обработки персональных данных и проверить:

1. Актуальность политики обработки персональных данных.
2. Наличие законных оснований для каждой цели обработки.
3. Корректность форм согласий, включая отсутствие заранее проставленных галочек.
4. Наличие уведомления Роскомнадзора об обработке персональных данных и актуальность сведений в реестре операторов.
5. Порядок обработки cookie, аналитики, рекламных пикселей и данных пользователей сайта.
6. Договоры с подрядчиками, которые получают доступ к персональным данным.
7. Наличие правовых оснований для трансграничной передачи данных.
8. Меры защиты информационных систем персональных данных.
9. Процедуру уведомления Роскомнадзора и субъектов данных при инциденте.
10. Внутренний план реагирования на утечку данных.

Отдельно стоит проверить, обрабатывает ли компания специальные категории персональных данных или биометрию. Для таких данных штрафные и репутационные риски существенно выше.

Комментарий НИП

Новые штрафы по статье 13.11 КоАП РФ меняют экономику риска в сфере персональных данных. Если раньше многие нарушения воспринимались как формальные, то теперь утечка или повторное нарушение могут привести к оборотному штрафу и существенным финансовым последствиям.

Для бизнеса это означает необходимость перейти от разового оформления политики и согласий к полноценной системе data compliance: инвентаризации данных, контролю подрядчиков, управлению согласиями, проверке трансграничной передачи и регулярному аудиту IT- и организационных мер защиты.

Источники для редактора

Федеральный закон от 30.11.2024 № 420-ФЗ «О внесении изменений в Кодекс Российской Федерации об административных правонарушениях»

Статья 13.11 КоАП РФ «Нарушение законодательства Российской Федерации в области персональных данных»

Информация Роскомнадзора для операторов персональных данных об изменениях в законодательстве

Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»

Чем мы можем помочь

Юридическая фирма "Надмитов, Иванов и Партнеры" оказывает услуги по вопросам защиты персональных данных, data compliance, трансграничной передачи данных, обработки биометрии, подготовки политик, согласий, уведомлений и внутренних документов.

Мы помогаем провести аудит процессов обработки персональных данных, проверить сайт и формы согласий, подготовить документы для Роскомнадзора, оценить риски трансграничной передачи, выстроить порядок реагирования на утечки и сопровождать взаимодействие с регулятором.

Тел.: +7 (495) 649-87-12
Email: info@nplaw.ru