Защита персональных данных (ПДн) остается одним из приоритетных направлений государственной политики в сфере информационной безопасности. С 30 мая 2025 года вступили в силу кардинальные изменения, предусмотренные Федеральным законом от № 420-ФЗ, которые существенно ужесточили административную и уголовную ответственность за нарушения в этой области. Ниже представлен подробный разбор текущих санкций, новых составов правонарушений и размеров штрафов.

Нормативная база: ключевые изменения Федерального закона № 420-ФЗ

Федеральный закон № 420-ФЗ внес изменения в Кодекс Российской Федерации об административных правонарушениях (КоАП РФ) и Уголовный кодекс РФ (УК РФ). Главные нововведения касаются:

• Многократного увеличения базовых размеров административных штрафов по ст. 13.11 КоАП РФ.
• Введения новых составов правонарушений (части 10–18 ст. 13.11 КоАП РФ) для дифференциации ответственности в зависимости от категории данных и последствий.
• Установления оборотных штрафов за повторные утечки персональных данных.
• Введения уголовной ответственности по ст. 272.1 УК РФ за незаконный оборот персональных данных.

Административная ответственность (Ст; 13.11 КоАП РФ в ред. от )

Статья 13.11 КоАП РФ «Нарушение законодательства Российской Федерации в области персональных данных» стала основным инструментом пресечения нарушений. После реформы статья содержит детализированную систему санкций.

Базовые нарушения (Части 1, 1.1)

Квалифицируются нарушения правил обработки ПДн, не повлекшие утечку специальных категорий данных или биометрии, а также непредставление уведомления в Роскомнадзор.

Утечка специальных категорий персональных данных (Части 10–14)

Специальные категории включают данные о расовой/национальной принадлежности, политических взглядах, религиозных убеждениях, состоянии здоровья, интимной жизни и т.д. (ч. 1 ст. 10 ФЗ-152).

• Ч. 10 ст. 13.11 КоАП РФ: Действия (бездействие) оператора, повлекшие неправомерную передачу (распространение, предоставление, доступ) информации, включающей специальную категорию ПДн.
  • Граждане: 300 000 – 400 000 руб.
  • Должностные лица: 500 000 – 700 000 руб.
  • Юридические лица: 1 000 000 – 3 000 000 руб.
• Ч. 11 ст. 13.11 КоАП РФ: То же самое, совершенное по неосторожности лицом, не уполномоченным на обработку таких данных (штрафы ниже).
• Ч. 12–14 ст. 13.11 КоАП РФ: Предусматривают ответственность за нарушение правил обработки, хранения и защиты специальных категорий данных без факта утечки, но с созданием угрозы.

Утечка биометрических персональных данных (Части 15–18)

Биометрические ПДн (отпечатки пальцев, образец лица, сетчатка глаза, ДНК и др.) выделены в отдельный блок с максимальными административными санкциями (за исключением случаев ст. 13.11.3 КоАП РФ).

• Ч. 15 ст. 13.11 КоАП РФ: Неправомерная передача биометрических ПДн.
  • Граждане: 500 000 – 700 000 руб.
  • Должностные лица: 1 000 000 – 1 500 000 руб.
  • Юридические лица: 3 000 000 – 5 000 000 руб.
• Ч. 16–18 ст. 13.11 КоАП РФ: Нарушения режима обработки, хранения и защиты биометрических данных.

Оборотные штрафы за повторные утечки (Примечание к ст. 13.11 КоАП РФ)

Ключевая новизна 2025 года — введение оборотных санкций для коммерческих организаций и ИП. Согласно Примечанию 1 к ст. 13.11 КоАП РФ, за повторное совершение нарушений, предусмотренных ч. 10–18 ст. 13.11 (утечки спецкатегорий и биометрии), в течение года после вступления в силу решения о наложении штрафа:

• Наложится административный штраф в размере от 1% до 3% выручки юридического лица (ИП) от реализации товаров, работ, услуг за предшествующий календарный год.
• Минимальный размер оборотного штрафа: 15 000 000 руб.
• Максимальный размер оборотного штрафа: 500 000 000 руб.

Важно: Оборотные штрафы применяются только к коммерческим организациям и ИП. Некоммерческие организации, госорганы и МСП (в части базовых штрафов) могут иметь иные лимиты, но тренд на ужесточение универсален.

Ответственность за уклонение от уплаты штрафов (Ст. 20.25 КоАП РФ)

С 30 мая 2025 года (ч. 15 ст. 20.25 КоАП РФ) неуплата административного штрафа в срок влечет наложение нового штрафа в двукратном размере суммы неуплаченного штрафа (но не менее 1000 руб. для граждан, 10 000 руб. для должностных лиц, 50 000 руб. для юрлиц). Это делает игнорирование предписаний Роскомнадзора крайне затратным.

Уголовная ответственность (Ст. 272.1 УК РФ)

С 2024 года (дополнено изменениями 420-ФЗ) действует статья 272.1 УК РФ «Незаконный оборот персональных данных». Преследуются:

• Незаконное получение, сбор, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

Санкции (в зависимости от квалификации части):

• Штраф до 500 000 руб. или в размере заработной платы до 18 месяцев.
• Обязательные работы до 480 часов.
• Исправительные работы до 2 лет.
• Принудительные работы до 5 лет с лишением права занимать определенные должности.
• Лишение свободы на срок до 6 лет (для квалифицированных составов: группой лиц, с использованием служебного положения, повлекшие тяжкие последствия).

Практика применения за первое полугодие 2026 года

По данным открытых реестров и отчетов Роскомнадзора, за первое полугодие 2026 г. зафиксирован рост количества вынесенных предписаний и протоколов. Ключевые тренды:

1. Массовые проверки операторов, обрабатывающих биометрию (банки, фитнес-центры, системы контроля доступа).
2. Фокус на уведомления: Роскомнадзор активно выявляет операторов, не направивших уведомление о начале обработки ПДн (ч. 1.1 ст. 13.11).
3. Первые случаи применения оборотных штрафов к крупным компаниям-заказчикам обработки, допустившим повторные инциденты безопасности.
4. Использование ст. 272.1 УК РФ в отношении инсайдеров и хакерских групп, реализующих базы данных в даркнете.

Чек-лист для операторов: как избежать штрафов в 2025–2026 гг.

Для минимизации рисков рекомендуется провести внутренний аудит на соответствие следующим требованиям:

• Наличие актуального уведомления в Роскомнадзоре (или оснований для освобождения от уведомления) до начала обработки.
• Разработка и утверждение локальных актов: Политика конфиденциальности, Положение о защите ПДн, Инструкция по учету носителей, План мер по обеспечению безопасности.
• Оценка вреда (DPIA) при внедрении новых технологий и обработке специальных категорий/биометрии.
• Технические меры защиты (УЗ 1–4 классы) в соответствии с Приказом ФСТЭК № 21 и Постановлением Правительства № 1119.
• Обучение персонала с фиксацией в журналах/протоколах (требование ч. 2 ст. 19 ФЗ-152).
• Учет инцидентов безопасности и уведомление Роскомнадзора и субъектов ПДн в установленные 24-часовые сроки при утечке.
• Контроль подрядчиков (передача ПДн третьим лицам) только на основании договора с обязательными условиями ст. 28 ФЗ-152.

Легализация ужесточенных штрафов и введение оборотных санкций по ФЗ № 420-ФЗ перевели несоответствие требованиям по ПДн из разряда «операционных расходов» в категорию критических бизнес-рисков. Для крупного бизнеса стоимость ошибки исчисляется сотнями миллионов рублей, для СМП, риском банкротства. Единственная эффективная стратегия, системная работа по построению СЗПДн (Системы защиты персональных данных) с вовлечением топ-менеджмента и регулярным аудитом соответствия актуальному законодательству.

Данная статья носит информационный характер и не является правовой консультацией. Для оценки конкретных рисков обратитесь к квалифицированным юристам в области IT-права и защиты персональных данных;