Защита персональных данных (ПДн) остается одной из приоритетных задач государственного регулирования в цифровой сфере. С 2022 года и до настоящего времени (по данным на октябрь 2026 года) суммы штрафов многократно увеличивались‚ а практика применения норм статьи 13.11 КоАП РФ стала более строгой и системной. В данной статье подробно разбираем актуальные санкции‚ типичные нарушения и судебную практику.
Нормативная база: что считается персональными данными
Согласно ст. 3 Федерального закона от № 152-ФЗ «О персональных данных»‚ персональные данные — это любая информация‚ относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).
Основные категории ПДн:
- Общие: ФИО‚ дата и место рождения‚ адрес проживания‚ контактные телефоны‚ email‚ паспортные данные‚ СНИЛС‚ ИНН.
- Специальные (чувствительные): раса‚ национальность‚ политические взгляды‚ религиозные убеждения‚ состояние здоровья‚ интимная жизнь‚ биометрические данные (ст. 10 закона). Их обработка требует специального согласия или наличия оснований‚ перечисленных в законе.
- Биометрические: отпечатки пальцев‚ образец голоса‚ скан сетчатки/радужки‚ фото/видео для идентификации (ст. 11 закона).
- Общедоступные: данные‚ которые субъект сделал общедоступными сам (например‚ профиль в открытой соцсети)‚ — но только при условии письменного согласия на их распространение.
Основные статьи ответственности (КоАП РФ)
Главный инструмент наказания за нарушения в сфере ПДн — ст. 13.11 КоАП РФ «Нарушение законодательства о персональных данных». Она содержит 6 частей‚ охватывающих разные виды правонарушений.
| Часть ст. 13.11 КоАП РФ | Суть нарушения | Штрафы для должностных лиц / ИП | Штрафы для юрлиц |
|---|---|---|---|
| Ч. 1 | Обработка ПДн без согласия субъекта или иного законного основания | 3 000 – 5 000 руб. / 15 000 – 30 000 руб. | 15 000 – 75 000 руб. |
| Ч. 2 | Неисполнение обязанностей оператора по защите ПДн (отсутствие модели угроз‚ локального акта‚ зашифрования и т.д.) | 5 000 – 10 000 руб. / 20 000 – 40 000 руб. | 20 000 – 100 000 руб. |
| Ч. 3 | Нарушение прав субъекта ПДн (отказ в доступе‚ исправлении‚ удалении; нарушение сроков ответа — 30 календарных дней) | 4 000 – 8 000 руб. / 15 000 – 30 000 руб. | 20 000 – 80 000 руб. |
| Ч. 4 | Нарушение требований к локализации баз данных (хранение на зарубежных серверах) | — | 1 000 000 – 6 000 000 руб. |
| Ч. 5 | Повторное совершение нарушений ч. 1–3 (в течение года после вступления решения в силу) | 20 000 – 30 000 руб. / 50 000 – 100 000 руб. (с лишением права на должности до 2 лет) | 100 000 – 300 000 руб. (с приостановкой деятельности до 90 дней) |
| Ч. 6 | Нарушение‚ повлекшее утечку ПДн (незаконное распространение‚ предоставление доступу неопределенному кругу лиц) | 30 000 – 50 000 руб. / 100 000 – 200 000 руб. (с лишением права на должности до 3 лет) | 300 000 – 1 000 000 руб. (с приостановкой деятельности до 90 дней) |
> Важно: Для юрлиц‚ являющихся субъектами МСП (малый и средний бизнес)‚ по ч. 1–3 могут применяться сниженные коэффициенты (в 2–3 раза ниже верхней границы)‚ однако по ч. 4 и ч. 6 снижения не предусмотрено, действуют максимальные ставки.
Статистика и тренды 2026 года
По данным экспертизно-аналитического центра (ЭАЦ) ГК InfoWatch за первое полугодие 2026 года‚ в мире зарегистрировано 115 крупных штрафов за нарушение законодательства о защите данных‚ из них 13 — в России. Это демонстрирует рост контроля со стороны Роскомнадзора и судов.
Ключевые тренды текущего периода:
- Привязка штрафов к обороту. В 2026 году защита ПДн перестала быть сугубо технической задачей. Оборотные штрафы (до 1–3% от годовой выручки за утечки по ст. 13.11 ч. 6 в сочетании со ст. 14.43 КоАП РФ за нарушение режима КИИ/ГИС) заставляют бизнес интегрировать ИБ в корпоративное управление.
- Фокус на локализации (ч. 4 ст. 13.11). Штрафы до 6 млн рублей за хранение баз данных с ПДн граждан РФ на серверах за рубежом выписываются регулярно. Исключения: только если передача необходима для исполнения договора с субъектом или в иных случаях‚ прямо указанных в ст. 18 152-ФЗ.
- Автоматизация выявления нарушений. Роскомнадзор использует системы мониторинга открытых источников (OSINT) и анализ утечек в даркнете для инициации проверок.
- Персональная ответственность руководителей. Практика привлечения генеральных директоров и ЦИО к административной ответственности (штрафы до 200–300 тыс. руб. и дисквалификация) становится стандартом при крупных инцидентах.
Типичные ошибки‚ приводящие к штрафам
Отсутствие или несоответствие локальных актов
Отсутствие Политики обработки ПДн‚ Порядка доступа‚ Модели угроз‚ Перечня мер защиты — база для выписки предписания и штрафа по ч. 2 ст. 13.11 КоАП РФ. Документы должны быть актуальными‚ подписаны руководителем и доведены до сотрудников под роспись.
Нарушение процедуры получения согласия
- Использование предустановленных галочек (opt-out) вместо активного действия пользователя (opt-in);
- Сбор избыточных данных (например‚ запрос паспорта для подписки на рассылку).
- Отсутствие раздельного согласия на обработку специальных категорий данных (биометрия‚ здоровье).
Игнорирование прав субъектов (ч. 3 ст. 13.11)
Самая частая претензия граждан — игнорирование запросов на удаление («право на забвение») или предоставление информации о обработке. Срок ответа — 30 календарных дней. Просрочка = штраф.
Технические уязвимости‚ приведшие к утечке (ч. 6 ст. 13.11)
- Открытые базы данных (MongoDB‚ Elasticsearch‚ S3-бакеты) без аутентификации в публичном интернете.
- Утечки через подрядчиков (аутсорсинг колл-центров‚ маркетинговых агентств) — оператор несет ответственность за действия уполномоченных лиц.
- Отсутствие шифрования при передаче (TLS) и хранении чувствительных данных.
Порядок проверок Роскомнадзором
Роскомнадзор проверяет бизнес на соблюдение требований 152-ФЗ. Проверки могут быть:
- Плановыми: согласно графику‚ утверждаемому ведомством (с 2021 г. введен мораторий на плановые проверки МСП‚ но он не распространяется на проверки в сфере ПДн при наличии оснований).
- Внеплановыми: по обращениям граждан‚ сообщениям СМИ‚ данным о утечках‚ поручениям вышестоящих органов.
- Документарными (камеральными): запрос документов в электронном виде через личный кабинет на Госуслугах или официальный сайт ведомства. Срок предоставления — обычно 10–15 рабочих дней.
После проверки: составляется Акт. При выявлении нарушений — Предписание об устранении (срок исполнения 10–30 дней). Неисполнение предписания влечет отдельный штраф по ст. 19.5 КоАП РФ (для юрлиц до 50 000 руб.‚ для должностных лиц до 10 000 руб.).
Как минимизировать риски: чек-лист для оператора
- Инвентаризация: Составьте реестр информационных систем‚ где обрабатываются ПДн (сайт‚ CRM‚ 1С‚ почта‚ мессенджеры‚ бэкапы).
- Локализация: Убедитесь‚ что первичная база данных с ПДн граждан РФ физически находится на территории РФ (серверы в дата-центрах в РФ). Использование CDN и кэширующих прокси за рубежом допустимо‚ если первичные данные в РФ.
- Документирование: Разработайте и утвердите: Политику конфиденциальности (публикуется на сайте)‚ Локальные акты (внутренние)‚ Модель угроз‚ Перечень мер защиты (организационных и технических).
- Техническая защита (Минимум по ФСТЭК/ФСБ для некритичных систем):
- Антивирусная защита‚ контроль целостности‚ межсетевой экран.
- Учет и контроль доступа (разграничение прав‚ МФА для админов и удаленного доступа).
- Журналирование событий безопасности (хранение логов минимум 1 год).
- Шифрование каналов связи (TLS 1.2/1.3) и чувствительных данных в БД.
- Резервное копирование с проверкой восстановления.
- Работа с персоналом: Довольствие под роспись локальных актов‚ НДА‚ обучение основам ИБ (минимум раз в год)‚ контроль уволенных сотрудников (блокировка доступов в день увольнения).
- Управление инцидентами: Регламент реагирования на инциденты ИБ. При утечке — уведомление Роскомнадзора и субъектов ПДн в срок не позднее 24 часов (по рекомендациям ведомства и практике судов).
- Аудит подрядчиков: Заключайте договоры с уполномоченными лицами (ст. 152-ФЗ) с обязательными условиями о защите ПДн и праве аудита.
Особенности для интернет-проектов (SaaS‚ маркетплейсы‚ лендинги‚ приложения)
- Cookie и аналитика (Яндекс;Метрика‚ GA‚ пиксели): Требуют согласия на обработку ПДн (IP‚ Device ID‚ Client ID, это ПДн по суду). Используйте CMP (Consent Management Platform) с возможностью отказа.
- Формы обратной связи / Лид-формы: Обязательно чек-бокс согласия (непредустановленный) + ссылка на Политику конфиденциальности. Текст согласия должен быть конкретным (цели‚ состав данных‚ сроки‚ способы).
- Чат-боты и виджеты: Если они собирают имя/телефон — это обработка ПДн. Данные не должны уходить на зарубежные серверы виджета без локализации.
- Платежные виджеты: Данные карт (ПАН) — это ПДн (часто специальные категории по 152-ФЗ / требования ПКИ DSS). Используйте токенизацию‚ не храните CVV/CVC.
На 2026 год стоимость игнорирования требований 152-ФЗ измерима в миллионах рублей и репутационных потерях. Статистика ЭАЦ InfoWatch (13 штрафов в РФ за H1 2026 г.) подтверждает: регулятор работает точечно‚ но больно. Единственная надежная стратегия — системное управление защитой персональных данных: от актуальных документов и локализации баз до внедрения SIEM/DLP-систем и регулярного обучения персонала. Инвестиции в комплаенс сегодня дешевле любого штрафа завтра.
Данная статья носит информационный характер и не является правовым консультированием. Для оценки рисков вашей конкретной организации обратитесь к квалифицированному юристу по ИТ-праву или сертифицированному аудитору по защите ПДн.