С 30 мая 2025 года вступили в силу значительные поправки к статье 13․11 КоАП РФ (Федеральный закон от № 420-ФЗ), кардинально изменившие систему административной ответственности за нарушения в сфере персональных данных․ Главные нововведения — введение оборотных штрафов для повторных утечек и существенное повышение фиксированных санкций․ Ниже представлен подробный разбор актуальных сумм штрафов на октябрь 2026 года․

Ключевые изменения с 30 мая 2025 года

• Оборотные штрафы: за повторную утечку персональных данных организации могут быть оштрафованы на сумму от 1% до 3% от выручки за предшествующий год (но не менее 15 млн руб․ и не более 500 млн руб․)․
• Повышение базовых ставок: максимальные фиксированные штрафы за утечку увеличены до 15–20 млн рублей в зависимости от категории данных․
• Четкая дифференциация: статья 13․11 КоАП РФ теперь содержит множество частей, каждая из которых регулирует конкретный вид нарушения (утечка «обычных» ПДн, биометрии, неуведомление Роскомнадзора, нарушение правил локализации и т․д;)․

Таблица штрафов по ст․ 13․11 КоАП РФ (актуально на 2026 год)

Санкции различаются в зависимости от субъекта правонарушения (граждане, должностные лица/ИП, организации) и вида нарушения․

Утечка персональных данных (общий случай)

Утечка биометрических персональных данных

Для биометрии установлены самые строгие санкции (Ч․ 17 ст․ 13․11 КоАП РФ, за исключением случаев ст․ 13․11․3 КоАП РФ):

• Организации: от 15 000 000 до 20 000 000 рублей․
• Должностные лица / ИП: от 200 000 до 300 000 рублей․
• Граждане: от 5 000 до 10 000 рублей․

Нарушение обязательства уведомить об утечке (Ч․ 11 ст․ 13․11 КоАП РФ)

Штрафы за несвоевременное или неполное уведомление Роскомнадзора и субъектов ПДн:

• Должностные лица / ИП: 50 000 – 100 000 руб․
• Организации: 100 000 – 300 000 руб․

Нарушение требований к локализации баз данных (Ч․ 13․11․3 КоАП РФ)

Обработка биометрических данных без согласия и без передачи в Единую биометрическую систему (ЕБС):

• Организации: от 6 000 000 до 18 000 000 руб․
• Должностные лица / ИП: от 100 000 до 300 000 руб․

Иные распространенные нарушения (Ч․ 1, 2, 3, 5 и др․ ст․ 13․11 КоАП РФ)

• Отсутствие политики конфиденциальности / согласия на обработку (Ч․ 1): Орг․ — 30 000 – 50 000 руб․; Должн․ лица — 10 000 – 20 000 руб․
• Незаконный сбор/обработка ПДн (Ч․ 2): Орг․ — 50 000 – 100 000 руб․ (первично), 100 000 – 200 000 руб․ (повторно)․
• Нарушение прав субъектов ПДн (отказ в доступе, удалении и т․д․) (Ч․ 3): Орг․ — 40 000 – 80 000 руб․
• Отсутствие меры защиты информации (Ч․ 5): Орг․ — до 15 000 000 руб․ (в зависимости от тяжести)․

Практика применения в 2025–2026 годах

Согласно данным Роскомнадзора, в 2025 году зафиксировано 103 случая компрометации баз персональных данных, в сеть попало около 50 миллионов записей․ С вступлением в силу 420-ФЗ ведомство начало активно применять новые нормы:

• Возбуждаются дела по новым ч․ 12–17 ст․ 13․11 КоАП РФ․
• Суды начали назначать оборотные штрафы (ч․ 15) для крупных операторов, допустивших повторные инциденты․
• Пример: образовательная организация с выручкой более 1 млрд руб․ получила штраф 10–15 млн руб․ по ч․ 14 ст․ 13․11 КоАП РФ за утечку данных․

Что считается «повторной утечкой» для применения оборотного штрафа?

По разъяснениям Пленума ВС РФ и практике Роскомнадзора, повторная утечка (ч․ 15 ст․ 13․11 КоАП РФ) фиксируется, если:

1. По факту первой утечки уже вступило в законную силу решение о наложении административного штрафа․
2. Вторая утечка произошла в течение года после вступления решения в силу․
3. Нарушение относится к тому же составу (утечка ПДн)․

Важно: Оборотный штраф рассчитывается от выручки по данным бухгалтерской отчетности за год, предшествующий году выявления нарушения․ Если выручку определить невозможно — применяется верхняя планка фиксированного штрафа (500 млн руб․)․

Риски помимо административных штрафов

Утечка персональных данных влечет за собой не только ст․ 13․11 КоАП РФ:

• Уголовная ответственность (ст․ 137 УК РФ): за незаконный сбор или распространение сведений о частной жизни — до 2 лет лишения свободы (для должностных лиц, до 3 лет)․
• Гражданско-правовая ответственность (ст․ 151, 1064 ГК РФ): субъекты ПДн могут взыскать компенсацию морального вреда через суд (практика показывает суммы от 1 000 до 100 000+ руб․ с человека)․
• Блокировка ресурса: Роскомнадзор вправе потребовать ограничить доступ к ресурсу, на котором происходит нарушение (ч․ 3 ст․ 15․1 ФЗ-149)․
• Репутационные потери и отток клиентов․

Чек-лист: как минимизировать риски штрафов

1. Аудит соответствия 152-ФЗ: проверьте наличие политики конфиденциальности, согласий, локального акта о защите ПДн․
2. Техническая защита (СЗИ): внедрите средства защиты информации, соответствующие уровню угроз (КС1–КС3), шифрование, DLP-системы, SIEM․
3. Процедура инцидент-менеджмента: имейте регламент действий при утечке, позволяющий уведомить Роскомнадзор и субъектов в течение 24 часов (требование ч․ 11 ст․ 13․11 КоАП РФ и ст․ 22․1 152-ФЗ)․
4. Локализация биометрии: если обрабатываете биометрию — обеспечьте передачу в ЕБС или получите нотариально заверенное согласие на обработку вне ЕБС (с соблюдением строгих требований защиты)․
5. Обучение персонала: регулярно проводите инструктажи по работе с ПДн и фишингу․
6. Страхование: рассмотрите полисы кибер-рисков для покрытия убытков от инцидентов․

На 2026 год стоимость ошибки в обработке персональных данных для бизнеса стала экстремально высокой․ Переход к оборотным штрафам за рецидив делает кибербезопасность и правовое соблюдение 152-ФЗ не просто вопросом «галочек» для проверки, а вопросом выживания бизнеса․ Единственная надежная стратегия — системная работа над защитой данных, автоматическое обнаружение инцидентов и готовность к оперативному уведомлению регулятора в установленные 24 часа․

Данная статья носит информационный характер и не является юридической консультацией․ Нормативная база может менятся; для принятия управленческих решений обратитесь к актуальному тексту КоАП РФ и 152-ФЗ или консультируйтесь со специалистом по защите персональных данных․