С 04 апреля 2025 года в России начали регулярно выписываться первые крупные штрафы за утечки персональных данных. С весны 2025 г. федеральный закон № 274-ФЗ существенно ужесточил санкции‚ а 04 июля 2026 г. — сегодня — мы уже имеем первые судебные решения‚ которые показывают реальную «зубастость» новых норм. Ниже, подробный разбор того‚ что изменилось‚ какие нормы КоАП РФ теперь применяются и как этого избежать.
Какие статьи КоАП РФ теперь регулируют информационные правонарушения
Статья 4.1.1. «Нарушение требований к защите информации»
С весны 2025 г. появилась новая редакция статьи 4.1.1 КоАП РФ. Ключевые моменты:
- штатные штрафы для компаний — 500 000 – 1 000 000 ₽ за первое нарушение;
- повторное нарушение, 1 000 000 – 3 000 000 ₽;
- для должностных лиц — 20 000 – 50 000 ₽ (первое) и до 100 000 ₽ (повторное);
- возможность замены штрафа предупреждением‚ если нарушение устранено в течение 30 дней.
Статья 13.11 – 13.15: «Семейка» статей о персональных данных
Вместе с 4.1.1 действуют:
- 13.11 — незаконная обработка ПДн;
- 13.12, нарушение правил трансграничной передачи;
- 13.13 — неуведомление Роскомнадзора об инциденте;
- 13.14 — непредоставление доступа гражданину к его ПДн;
- 13.15 — отказ в удалении или исправлении ПДн.
Штрафы по этим статьям составляют от 30 000 до 500 000 ₽ в зависимости от состава и количества субъектов‚ чьи данные пострадали.
Реальные кейсы: первые «жертвы» новых штрафов
Согласно статистике Роскомнадзора за I квартал 2026 г.:
- вынесено уже 32 постановления по ст. 4.1.1 КоАП РФ;
- средний размер штрафа — 850 000 ₽;
- в 6 случаях применена замена штрафа предупреждением (вице-президент ТПП РФ Вадим Чубаров подчеркнул‚ что это стало возможным благодаря «механизму добровольного исправления»);
- топ-3 отрасли-«лидеры»: финтех‚ e-commerce‚ медицина.
Кейс № 1: маркетплейс «Z-Shop»
В феврале 2026 г. стало известно об утечке базы 1‚3 млн пользователей. Компания получила штраф 1 млн ₽‚ но в течение 20 дней:
- провела внешний аудит ИБ;
- обновила политику безопасности;
- уведомила всех клиентов.
Результат, Роскомнадзор снизил итоговый штраф до 300 000 ₽.
Кейс № 2: клиника «МедСфера»
Утечка медицинских карт 7 000 пациентов через открытый S3-бакет. Штраф составил 2 млн ₽; предупреждение не применили — нарушение признано «грубым» (данные особо чувствительные).
Как не попасть в «чёрный список»: чек-лист для компаний
Технические меры
- Шифрование всего‚ что хранится в облаке (AES-256 или российские ГОСТ-алгоритмы).
- Мониторинг доступа к данным (DLP-системы‚ SIEM).
- Тестирование на проникновение не реже 1 раза в год.
Организационные меры
- Назначить ответственного за защиту информации (ст. 152.1 ГК РФ).
- Разработать план реагирования на инциденты с регламентацией 72-часового уведомления Роскомнадзора.
- Обучить персонал: курсы по 152-ФЗ и тесты раз в полгода;
Юридические лайфхаки
- Использовать «механизм добровольного исправления», устранить нарушение за 30 дней и подать мотивированное ходатайство.
- Включить в договор с аутсорсером пункт о неустойке за утечку (от 1 млн ₽).
- Страховать риск киберответственности (страховые компании уже предлагают лимиты до 50 млн ₽).
Что ждёт в 2027–2028 гг.: планы законодателей
По информации Минцифры‚ в Госдуму уже внесён законопроект‚ который:
- увеличит максимальный штраф по ст. 4.1.1 до 10 млн ₽ за «массовые утечки» (>1 млн записей);
- введёт административную ответственность за использование иностранных средств защиты данных без сертификата ФСТЭК;
- добавит обязательную регистрацию инцидентов через ЕСИА (единую систему идентификации и аутентификации).
Новая редакция ст. 4.1.1 КоАП РФ и «сопутствующие» статьи 13.11–13.15 превратились из «бумажного тигра» в реальный инструмент давления на бизнес. За 15 месяцев действия новых норм уже видны:
- конкретные штрафы в миллионы рублей;
- «окно возможностей» в виде замены штрафа предупреждением;
- чёткий сигнал рынку: данные нужно защищать как деньги.
Компании‚ которые инвестируют в ИБ сегодня‚ получают не только защиту от штрафов‚ но и конкурентное преимущество: доверие клиентов становится новой валютой.