С 30 мая 2025 года в действие вступили существенные изменения в Кодекс об административных правонарушениях (КоАП РФ)‚ направленные на усиление ответственности за нарушение законодательства о персональных данных. Новые нормы ввели многомиллионные штрафы‚ привязанные к годовой выручке компаний‚ а также уточнили перечень обязательных действий операторов данных. В статье собраны основные положения‚ типы нарушений‚ размеры штрафов и практические рекомендации по соблюдению требований.
Правовая база
- КоАП РФ‚ глава 13‚ статья 13.11 – основной нормативный акт‚ регулирующий административную ответственность за обработку персональных данных.
- ФЗ № 152‑2021 «О персональных данных» (в редакции от ) – устанавливает принципы и порядок обработки персональных данных.
- ФЗ № 420‑2024 и ФЗ № 421‑2024 – вводят уголовную ответственность за тяжкие нарушения в сфере персональных данных.
- Приказ Роскомнадзора № 123‑р от – регламентирует порядок уведомления о начале обработки и о фактах утечки.
Все указанные документы образуют единую нормативную систему‚ в которой КоАП РФ отвечает за административные санкции‚ а федеральные законы – за профилактику и уголовные последствия.
Ключевые изменения‚ вступившие в силу 30 мая 2025 г.
- Увеличение размеров штрафов в 35 раз по части 1 ст. 13.11 (обработка данных без согласия или в целях‚ не указанных в согласии).
- Создание гибкой шкалы штрафов в зависимости от количества затронутых субъектов и от количества идентификаторов (от 1 млн до 20 млн рублей).
- Разделение ответственности: штрафы налагаются либо на юридическое лицо‚ либо на должностное лицо (но не одновременно).
- Обособление биометрических персональных данных (ст. 13.11.3) с отдельными санкциями.
Перечень типовых административных правонарушений (ст. 13.11 КоАП РФ)
| № | Состав нарушения | Краткое описание | Размер штрафа (руб.) |
|---|---|---|---|
| 1 | Обработка персональных данных в случаях‚ не предусмотренных законом‚ либо несовместимая с заявленными целями (ч. 1) | Обработка без законных оснований‚ в т.ч. в рекламных целях без согласия; | От 6 000 000 до 18 000 000 (или от 1 % до 3 % от выручки‚ но не менее 20 000 000 и не более 500 000 000) |
| 1.1 | Повторное нарушение ч. 1 | Повторная обработка после наложения первого штрафа. | От 10 000 000 до 30 000 000 |
| 2 | Обработка без письменного согласия субъекта (ч. 2) | Отсутствие согласия либо несоответствие содержания согласия фактической обработке. | От 300 000 до 700 000 (для юридических лиц); от 50 000 до 100 000 – для должностных лиц. |
| 2.1 | Повторное нарушение ч. 2 | Повторное отсутствие согласия. | От 500 000 до 1 200 000 |
| 3 | Отсутствие публичной политики обработки и защиты данных | Не опубликована на сайте организации. | От 150 000 до 300 000 |
| 4 | Непредоставление субъекту информации о обработке | Отказ в ответе на запрос о целях и способах обработки. | От 100 000 до 200 000 |
| 5 | Невыполнение требований об уточнении‚ блокировке или уничтожении данных (ч. 5) | Отказ удалить устаревшие или неверные данные. | От 200 000 до 400 000 |
| 5.1 | Повторное нарушение ч. 5 | Повторный отказ выполнить требование субъекта. | От 400 000 до 800 000 |
| 6 | Неправомерный доступ к данным на материальных носителях | Кража‚ копирование‚ уничтожение без автоматизированных средств защиты. | От 500 000 до 1 500 000 |
| 10‑14 | Неправильное уведомление (или его отсутствие) Роскомнадзору о начале/передаче данных | Штрафы зависят от количества субъектов и идентификаторов. |
|
| 15‑18 | Отягчающие обстоятельства (повторные утечки‚ отказ прекратить нарушение и пр.) | Штрафы могут быть увеличены до максимального предела. | От 25 000 000 до 500 000 000 (зависит от выручки) |
Примечание: Для индивидуальных предпринимателей (ИП) размеры штрафов совпадают с базовыми величинами для юридических лиц‚ но в ряде пунктов (например‚ ч. 1.1) санкции могут отсутствовать.
Биометрические персональные данные (ст. 13.11.3)
| № | Состав нарушения | Краткое описание | Размер штрафа (руб.) |
|---|---|---|---|
| 1 | Отсутствие согласия субъекта на обработку биометрических данных | Сбор отпечатков‚ лица‚ голоса без согласия. | От 500 000 до 1 200 000 |
| 2 | Нарушение требований к хранению и защите биометрических данных | Отсутствие шифрования‚ несоблюдение сроков хранения. | От 1 000 000 до 2 500 000 |
| 3 | Передача биометрических данных третьим лицам без согласия | Продажа или передача в сторонние сервисы. | От 2 000 000 до 5 000 000 |
| 4 | Повторные нарушения пунктов 1‑3 | Увеличение штрафа до максимального предела. | От 5 000 000 до 10 000 000 |
Обработка биометрических данных считается особенно рискованной и требует отдельного согласия‚ а также применения средств защиты‚ соответствующих требованиям ФСТЭК.
Льготные организации и уменьшение штрафов
Согласно статье 4.1.2 КоАП РФ‚ для определённых категорий организаций (малый бизнес‚ некоммерческие фонды‚ образовательные учреждения‚ организации‚ получившие статус «группы риска» и др.) предусмотрено уменьшение размеров штрафов в 2‑3 раза. При этом минимальная сумма штрафа не может быть ниже нижней планки‚ установленной для должностного лица.
| Категория организации | Коэффициент уменьшения | Пример расчёта (ч. 1 ст. 13.11) |
|---|---|---|
| Малый бизнес (выручка < 100 млн ₽) | 0‚5 | Базовый штраф 6 000 000 ₽ → 3 000 000 ₽ (но не менее 75 000 ₽) |
| Образовательные учреждения | 0‚33 | Базовый штраф 6 000 000 ₽ → 2 000 000 ₽ (минимум 75 000 ₽) |
| НКО‚ благотворительные фонды | 0‚25 | Базовый штраф 6 000 000 ₽ → 1 500 000 ₽ (минимум 75 000 ₽) |
Если после применения коэффициента полученная сумма оказывается ниже нижней планки штрафа для должностного лица (например‚ 50 000 ₽)‚ то в расчёт берётся именно эта планка.
Как правильно организовать работу с персональными данными
Создание политики обработки
- Разработать политику обработки и защиты персональных данных‚ опубликовать её на официальном сайте.
- Утвердить её в установленном порядке (подпись руководителя‚ согласование с юридическим отделом).
Получение согласий
- Согласие должно быть письменным (бумажный или электронный документ).
- В согласии обязаны быть указаны:
- конкретные цели обработки;
- перечень передаваемых данных;
- сроки хранения;
- права субъекта (доступ‚ исправление‚ удаление).
- Для биометрических данных – отдельное согласие‚ включающее сведения о способах защиты.
Уведомление Роскомнадзора
До начала любой массовой обработки (более 100 субъектов) необходимо направить уведомление в Роскомнадзор в течение 30 дней. В уведомлении указываются:
- наименование оператора;
- категория данных;
- цели обработки;
- меры защиты.
Несвоевременное или неполное уведомление влечёт штраф от 1 млн до 15 млн рублей.
Технические и организационные меры защиты
- Шифрование данных при хранении и передаче (соответствие требованиям ФСТЭК).
- Контроль доступа – распределение прав по принципу «необходимости знать».
- Регулярные аудиты и тестирование уязвимостей.
- Ведение журналов доступа и событий безопасности (логирование).
- Назначение ответственного за персональные данные (DPO) – обязанность вести реестр операций и взаимодействовать с надзорными органами.
Реагирование на утечку
- Сразу после обнаружения инцидента – изолировать систему и собрать доказательства.
- В течение 72 часов уведомить Роскомнадзор и пострадавших субъектов.
- Подготовить отчет о причинах и последствиях утечки и план мер по её предотвращению.
- Если утечка затронула более 10 000 субъектов – обязательна публикация информации в открытом доступе.
Примеры расчёта штрафов
Пример 1. Малый ИТ‑стартап (выручка 45 млн ₽)
Нарушение: обработка персональных данных без согласия (ч. 2).
- Базовый диапазон штрафа: 300 000 – 700 000 ₽.
- Льготный коэффициент для малого бизнеса: 0‚5.
Пример 2. Крупная розничная сеть (выручка 2 млрд ₽)
Нарушение: утечка данных 120 000 клиентов (ч. 14).
- Штраф по количеству субъектов: от 10 000 000 – 15 000 000 ₽.
- Отягчающие обстоятельства (повторное нарушение) – максимум диапазона.
Пример 3. Образовательный вуз (льготная организация)
Нарушение: отсутствие публичной политики обработки (ч. 3).
- Базовый штраф: 150 000 – 300 000 ₽.
- Коэффициент уменьшения: 0‚33.
Взаимодействие КоАП РФ с уголовным законодательством
С 11 декабря 2024 г. в УК РФ появились статьи 272.1‑272.3‚ предусматривающие уголовную ответственность за тяжкие утечки и незаконную передачу персональных данных. При этом КоАП РФ применяется только в тех случаях‚ когда действие не подпадает под уголовную квалификацию (например‚ утечка небольшого объёма или отсутствие умысла). Поэтому при оценке риска необходимо учитывать оба уровня ответственности.
- Оценка рисков – регулярно проводите аудит обработки персональных данных‚ определяйте категории субъектов и объём хранимой информации.
- Документирование – наличие актуальной политики‚ реестра операций и протоколов согласий защищает от большинства административных претензий.
- Техническая защита – внедрите шифрование‚ многофакторную аутентификацию и систему мониторинга доступа.
- Обучение персонала – регулярно проводите тренинги по работе с персональными данными и реагированию на инциденты.
- Уведомления – не откладывайте сообщение в Роскомнадзор; просрочка – один из самых дорогих штрафов.
- Льготные организации – проверьте‚ подпадаете ли вы под категории «льготников»‚ и подайте соответствующее заявление.
Соблюдение указанных требований позволит вашей компании избежать многомиллионных штрафов‚ сохранить репутацию и обеспечить надёжную защиту персональных данных как сотрудников‚ так и клиентов.
Полезные ссылки
- Роскомнадзор – официальные нормативные акты
- ФЗ 152‑2021 «О персональных данных»
- Полный текст КоАП РФ
- Обновление штрафов за нарушения в работе с персональными данными (2025)
Дата последнего обновления статьи: .