С 30 мая 2025 года в силу вступили кардинальные изменения КоАП РФ‚ которые значительно ужесточили ответственность за любые нарушения в сфере обработки персональных данных․ Центральной нормой‚ регулирующей эту ответственность‚ остаётся статья 13․11 КоАП РФ․ Ниже мы подробно разберём‚ какие действия квалифицируются как правонарушения‚ какие санкции применяются с 2025 года‚ и что необходимо предпринять компаниям и ИП для минимизации рисков․

Конструкция статьи 13․11 КоАП РФ

Статья состоит из нескольких частей и разделов․ Основные нарушения:

• Часть 1 – обработка персональных данных (ПД) без законного основания или в несоответствии с заявленной целью;
• Часть 1;1 – незаконная передача ПД третьим лицам;
• Часть 2 – нарушение порядка трансграничной передачи ПД;
• Часть 3 – неисполнение обязанности уведомить Роскомнадзор о начале обработки ПД;
• Часть 4 – отсутствие локальных актов и обязательных документов по защите ПД;
• Часть 5 – непредоставление ответа на обращение субъекта ПД (например‚ требование о доступе к своим данным);
• Части 6–8 – нарушение правил защиты ПД при их хранении и систематизации;
• Часть 9 – отсутствие назначенного ответственного лица за организацию обработки ПД;
• Часть 10 – обработка специальных категорий ПД (биометрических‚ о здоровье‚ о детях) без надлежащих оснований;
• Части 11–18 – разнообразные нарушения при передаче ПД в рекламных‚ статистических‚ кредитных и иных целях․

Важно: с 2025 года перечень нарушений расширен‚ а штрафы выросли в среднем в 3–5 раз․

Новые размеры штрафов (действуют с )

Для особо тяжких случаев (массовые утечки‚ продажа баз данных) предусмотрены административное приостановление деятельности на срок до 90 суток и даже уголовная ответственность по ст․ 272․1 УК РФ․

Примеры из практики Роскомнадзора за 2024–2025 гг․

1. Интернет-магазин электроники (г․ Москва) – не уведомил Роскомнадзор о начале обработки ПД покупателей․ Штраф: 1 млн ₽‚ срок оплаты – 60 дней․
2. ИП‚ оказывающий услуги доставки – передавал номера телефонов клиентов партнёрам без согласия․ Штраф: 2 млн ₽‚ вынесен ․
3. Клиника «МедПлюс» – утечка медицинских данных 1 200 пациентов․ Штраф 5 млн ₽ + обязанность устранить нарушения в срок 30 дней․

Как избежать штрафов: чек-лист компании

• Провести аудит процессов обработки ПД и составить реестр действий (record of processing activities‚ RoPA)․
• Утвердить локальные акты: политику конфиденциальности‚ регламент защиты ПД‚ порядок реагирования на инциденты․
• Назначить ответственное лицо за организацию обработки ПД и внести его в реестр Роскомнадзора․
• Подать уведомление о начале обработки через портал pd․rkn․gov․ru не позднее 10 рабочих дней с момента начала обработки․
• Провести оценку влияния на конфиденциальность (PIA) для высокорисковых операций (биометрия‚ массовое видеонаблюдение)․
• Обеспечить технические меры: шифрование‚ контроль доступа‚ журналирование‚ резервное копирование‚ DLP-системы․
• Обучить персонал и подрядчиков (ежегодный курс‚ минимум 2 часа)․
• Подписать соглашения о конфиденциальности с контрагентами и внедрить клаузу «DPA» (Data Processing Agreement)․

План действий при проверке Роскомнадзора

1. Получить копию протокола и предписания в течение 3 дней․
2. Подготовить возражения (10 дней на обжалование) и план мероприятий по устранению нарушений․
3. Организовать внутреннюю экспертизу и при необходимости привлечь внешнего юриста по 152-ФЗ․
4. Уведомить Роскомнадзор об устранении нарушений‚ приложив доказательства (скрины‚ логи‚ приказы)․

Краткий вывод

Новая редакция статьи 13․11 КоАП РФ превращает защиту персональных данных из «бумажной» формальности в реальный финансовый и репутационный риск․ Штрафы уже исчисляются миллионами‚ а срок давности привлечения увеличен до 1 года․ Поэтому каждой компании и ИП необходимо прямо сейчас провести «ревизию» всех процессов работы с ПД и привести их в соответствие с требованиями 152-ФЗ и КоАП РФ․

Дата актуализации: