Оборотные штрафы за утечку персональных данных: что нужно знать

С 30 мая 2025 года в России вступили в силу поправки, кратно усилившие ответственность бизнеса за сохранность личной информации. Оборотные штрафы за утечку персональных данных — это административные санкции, которые применяются к операторам ПДн, если они своевременно не приняли меры защиты данных. Размер штрафа зависит от годового оборота компании или ИП и может достигать 500 млн рублей.

Оборотные штрафы за утечку: когда применяются

Такие штрафы предусмотрены частями 15 и 18 статьи 13.11 КоАП РФ и применяются только за повторные нарушения. Первичные утечки наказываются фиксированными суммами, которые зависят от масштаба инцидента — количества пострадавших субъектов или скомпрометированных идентификаторов.

Штрафы за первичную утечку для юрлиц и ИП зависят от масштаба инцидента. Например, если утекло от 1 000 до 10 000 ПДн субъектов, оштрафуют на сумму от 3 до 5 млн рублей. За утечку биометрии штраф может достигать 20 млн, спецкатегории ПДн — 15 млн рублей. 

Когда наступает ответственность по оборотным штрафам:

• Если компания уже привлекалась по частям 12–14, 16–18 ст. 13.11 КоАП РФ и допустила повторную утечку, применяется ч. 15 — штраф от 1 до 3 процентов годовой выручки, но не менее 20 млн и до 500 млн рублей.
• Если повторная утечка затронула спецкатегории ПДн или биометрию, применяется ч. 18 — штраф от 1 до 3 процентов годовой выручки, но не менее 25 млн и не более 500 млн рублей.

Кто попадает под оборотные штрафы за утечку

Под действие новых санкций подпадают три категории лиц:

• Операторы ПДн — банки, телекоммуникационные компании, интернет-сервисы и другие организации, работающие с ПДн клиентов. 
• Государственные учреждения и муниципальные органы — образовательные или медицинские организации, администрации регионов и муниципалитетов.
• Организации, работающие с КИИ — предприятия в сферах энергетики, транспорта, здравоохранения и других отраслях, где компрометация данных может привести к серьезным последствиям для инфраструктуры.

Важно: индивидуальные предприниматели несут ответственность наравне с юрлицами.

Как снизить риск получения оборотного штрафа за утечку

Чтобы минимизировать вероятность получения такого штрафа, необходимо выстроить системную работу по защите информации:

• Внедрите комплексную систему защиты данных. Разработайте внутренние документы по защите информации, проведите анализ рисков и подготовьте план реагирования на инциденты. Регулярно проводите аудиты безопасности.
• Обучите сотрудников. Человеческий фактор остается одной из главных причин утечек. Проводите инструктажи по ИБ с фиксацией в журнале.
• Используйте технические средства защиты. Внедрите шифрование данных, контроль доступа, мониторинг сетевого трафика, защиту от вредоносного ПО и регулярно обновляйте программное обеспечение.
• Проверьте регистрацию в Роскомнадзоре. Подайте уведомление, если это не было сделано ранее, или убедитесь, что существующее уведомление соответствует актуальной форме.

Ответственный подход к защите данных — единственный способ избежать не только оборотных штрафов, но и репутационных потерь, которые могут оказаться не менее разрушительными для бизнеса.