Ключевые изменения в законодательстве, новые реальности и практика судов

Вступление: почему тема стала «горячей»

С 30 мая 2025 года вступили в силу федеральные законы № 420-ФЗ и 421-ФЗ, которые ужесточили ответственность за утечки и иные нарушения персональных данных. Судебная практика 2026 года уже показывает, что штрафы стали серьёзными, а «иностранные» компании всё чаще становятся ответчиками.

Нормативная база

2.1 Основные статьи КоАП РФ

• Статья 13.11 – нарушение порядка обработки персональных данных (до 150 тыс. руб. для ИП, до 300 тыс. руб. для юрлиц).
• Статья 13.14 – нарушение требований к защите информации (до 1 млн руб.).
• Статья 19.7 – непредоставление информации Роскомнадзору (до 500 тыс. руб.).

2.2 Скорректированные «предновогодние поправки»

Поправки от :

1. Введён «квалифицированный состав» – утечка более 100 000 записей повышает штраф в 10 раз.
2. Добавлена ответственность за повторное нарушение в течение года: от 5 млн до 10 млн руб. для юрлица.
3. Иностранные компании теперь обязаны иметь представительство или назначать «ответственного» в РФ.

Свежая практика судов (февраль-март 2026)

3.1 Дело SSI International GmbH

10 марта 2026 года мировой суд Таганского района Москвы:

• признал SSI International GmbH виновной в несанкционированной передаче биометрии дайверов сторонним сервисам;
• штраф – 2 000 000 рублей;
• обязали локализовать серверы с ПДн на территории РФ до .

3.2 Google LLC

Таганский районный суд:

• штраф – 50 000 рублей за отказ предоставить Роскомнадзору ключи шифрования российских пользователей;
• дополнительно назначено административное приостановление рекламных сервисов на 30 суток.

Как рассчитывают размер штрафа: пошаговая схема

1. Определение состава: количество субъектов, чувствительность категории данных.
2. Проверка на «повторность»: за последние 365 дней не было ли уже постановления.
3. Коэффициент тяжести: от 1 (простая форма) до 5 (массовая утечка).
4. Снижающие обстоятельства: добровольное устранение, сотрудничество с Роскомнадзором.

Что делать компании прямо сейчас

План минимальных мер

• Аудит: проверить, где хранятся ПДн, кто имеет доступ.
• Документы: обновить Политику обработки и Согласие.
• Инфраструктура: локализовать серверы или заключить договор с сертифицированным оператором.
• Обучение: провести тренинги сотрудников (минимум 2 раза в год).
• Страховка: оформить кибер-полис (ОСАГО для данных).

2026 год стал «точкой невозврата»: штрафы выросли, проверки участились, а иностранные компании теряют иммунитет. Защита персональных данных теперь – не просто маркетинговый слоган, а условие выживания бизнеса в РФ.