Главное изменение последних двух лет — не в размере отдельных штрафов, а в том, что нарушение стало экономически заметным. Если раньше компании часто выбирали «заплатить 5 000 ₽, если поймают», то сейчас цена ошибки для ООО начинается от 100 000 ₽, а утечка может стоить как годовой фонд разработки.
Нет уведомления в РКН — от 100 000 ₽. Утечка и молчание — до 3 000 000 ₽. Повторная утечка — до 3% выручки, минимум 25 000 000 ₽. Срок на уведомление об утечке — 24 часа.
Что изменилось с 30 мая 2025 года
Поправки внесены Федеральным законом от 30.11.2024 № 420-ФЗ. Они затронули ст. 13.11 КоАП РФ: выросли суммы, появились новые составы, а индивидуальные предприниматели теперь отвечают по тем же ставкам, что и юридические лица.
Параллельно Федеральный закон № 421-ФЗ ввёл уголовную ответственность за незаконный оборот персональных данных. Это не значит, что за любую утечку сажают: составы касаются умышленных действий и крупного ущерба. Но риски для руководителей и сотрудников стали реальными.
Таблица штрафов
Суммы — для первого нарушения, если не указано иное. Точная квалификация зависит от количества субъектов, категории данных и повторности.
| Нарушение | Норма | Юрлица и ИП | Должностные | Физлица |
|---|---|---|---|---|
| Неуведомление о начале обработки ПДн | ч. 10 ст. 13.11 | 100 000–300 000 ₽ | 30 000–50 000 ₽ | 5 000–10 000 ₽ |
| Неуведомление об утечке | ч. 11 ст. 13.11 | 1–3 млн ₽ | 400 000–800 000 ₽ | 50 000–100 000 ₽ |
| Утечка 1 000–10 000 субъектов | ст. 13.11 | 3–5 млн ₽ | 200 000–300 000 ₽ | 100 000–200 000 ₽ |
| Утечка 10 000–100 000 субъектов | ст. 13.11 | 5–10 млн ₽ | 300 000–500 000 ₽ | 200 000–300 000 ₽ |
| Утечка более 100 000 субъектов | ст. 13.11 | 10–15 млн ₽ | 400 000–600 000 ₽ | 300 000–400 000 ₽ |
| Повторная утечка | ст. 13.11 | 1–3% выручки, не менее 25 млн и не более 500 млн ₽ | 800 000–1 200 000 ₽ | 400 000–600 000 ₽ |
| Утечка биометрии | ст. 13.11 | 15–20 млн ₽ | 1,3–1,5 млн ₽ | 400 000–500 000 ₽ |
| Незаконная передача данных третьим лицам | ст. 13.11 | от 3 до 15 млн ₽ в зависимости от масштаба | от 200 000 до 600 000 ₽ | от 100 000 до 400 000 ₽ |
Суммы приведены по состоянию на октябрь 2026 года. Таблица носит информационный характер: перед принятием решений проверяйте актуальную редакцию КоАП РФ.
Утечки: 24 и 72 часа
При утечке оператор обязан уведомить Роскомнадзор в течение 24 часов с момента обнаружения инцидента. В уведомлении указывают сведения о произошедшем, предполагаемых причинах и возможном вреде субъектам.
В течение 72 часов нужно провести внутреннее расследование и направить в ведомство его результаты. Это не формальность: если расследование не проведено, штраф может быть назначен отдельно.
Практика: компании, у которых есть заранее написанный регламент, укладываются в 24 часа. Компании, которые начинают искать юриста в момент инцидента, — почти никогда.
Подробный порядок действий — в разделе об изменениях в реестре и в нашем регламенте утечки.
Оборотные штрафы
За повторную утечку, затронувшую более 10 000 субъектов, компания может получить штраф от 1% до 3% годовой выручки за год, в котором выявлено нарушение. Нижняя граница — 25 млн ₽, верхняя — 500 млн ₽.
Оборотный штраф назначает суд. Для компаний с небольшой выручкой это означает, что даже минимальный порог в 25 млн ₽ может быть кратно больше годовой прибыли. Именно поэтому профилактика дешевле любого сценария.
Уголовная ответственность
Ст. 272.1 УК РФ предусматривает ответственность за незаконное использование, сбор и хранение компьютерной информации, содержащей персональные данные. Максимальная санкция — до 6 лет лишения свободы и штраф до 1 млн ₽ при квалифицирующих признаках.
Для рядового бизнеса важнее другое: уголовное дело почти всегда означает выемку серверов, приостановку процессов и репутационный удар. Даже если дело закончится оправданием, восстановление займёт месяцы.
Как проверяют
Роскомнадзор работает по трём каналам: жалобы граждан, мониторинг сайтов и плановые проверки. Чаще всего поводом становится конкретная жалоба или запрос документов — например, от партнёра по тендеру.
- Смотрят, есть ли компания в реестре операторов и совпадают ли сведения с фактической деятельностью.
- Проверяют сайт: формы, согласия, политику, cookie, зарубежные скрипты.
- Запрашивают приказы, журналы, положение об обработке и модель угроз.
- При утечке — сроки уведомления и качество расследования.
Что делать сейчас
- Проверьте компанию в реестре операторов. Если её там нет — подайте уведомление до начала обработки.
- Опубликуйте политику обработки ПДн и приведите формы в соответствие с ней.
- Назначьте ответственного, утвердите приказы и журналы.
- Проверьте, куда уходят заявки с сайта: почта, CRM, таблицы, зарубежные сервисы.
- Напишите регламент на случай утечки и проведите тренировку с командой.
Если не хотите разбираться самостоятельно — начните с бесплатной проверки по ИНН. За 15 минут станет понятно, какие пункты критичны именно для вас.
Материал носит информационный характер и не заменяет юридическую консультацию. Размер штрафа зависит от состава нарушения, статуса лица и практики конкретного суда.