Что изменилось в законодательстве после 1 июля 2025 года
С 1 июля 2025 года вступили в силу масштабные поправки к Федеральному закону № 152-ФЗ «О персональных данных». Ключевые нововведения:
- Расширен перечень операторов — теперь круг лиц, ответственных за защиту персональных данных, охватывает не только крупные компании, но и малый и средний бизнес, а также иностранные организации, обрабатывающие данные россиян.
- Ужесточена ответственность — штрафы выросли в несколько раз, а за грубые нарушения предусмотрено уголовное преследование руководителей.
- Обязательное уведомление Роскомнадзора о факте утечки — не позднее 24 часов с момента выявления инцидента.
- Прямая обязанность компенсировать ущерб пострадавшим гражданам даже при отсутствии доказанной вины (режим строгой ответственности).
Какие действия считаются разглашением персональных данных
Разглашение — это любое предоставление, распространение или обнародование персональных данных третьим лицам без согласия субъекта данных или без иного законного основания. Сюда входят:
- Отправка базы клиентов стороннему call-центру без подтверждающих документов.
- Публикация списков участников конференции на сайте без согласия.
- Передача данных сотрудников партнёру по маркетинговой кампании.
- Хранение файлов на незащищённом облачном сервисе, доступном для сторонних лиц.
Административные штрафы для организаций
| Нарушение | Размер штрафа для юр. лица | Дополнительные санкции |
|---|---|---|
| Первичное незначительное разглашение | от 300 000 до 1 000 000 ₽ | Предписание об устранении |
| Повторное или массовое разглашение | от 1 000 000 до 5 000 000 ₽ | приостановка деятельности до 90 суток |
| Разглашение особо чувствительных данных (биометрия, здоровье) | от 5 000 000 до 10 000 000 ₽ | обязательное уведомление клиентов, публичное опровержение |
| Разглашение вследствие хакерской атаки при отсутствии должных мер защиты | от 5 % до 10 % годовой выручки | обязательный аудит ИБ и публикация результатов |
Уголовная ответственность руководителей
При наличии крупного ущерба (свыше 5 000 000 ₽) или причинении вреда здоровью/жизни граждан может быть возбуждено уголовное дело по ст. 137 УК РФ «Нарушение неприкосновенности частной жизни». Максимальное наказание:
- до 4 лет лишения свободы для руководителей,
- до 7 лет при группе лиц по предварительному сговору,
- запрет занимать руководящие должности в течение 3 лет.
Судебная практика 2025–2026 гг.: яркие кейсы
Кейс 1: «Онлайн-ретейлер “Продукт-24”»
В августе 2025 года клиенты компании массово стали получать звонки от неизвестных call-центров с предложением кредитов. Роскомнадзор выявил, что база 1,2 млн клиентов была передана партнёру без согласия субъектов.
Результат: штраф 7 500 000 ₽, обязанность выплатить компенсацию 300 ₽ каждому пострадавшему, технический аудит на 6 месяцев.
Кейс 2: «Клиника “Здоровье+”»
Утечка медицинских данных 5 000 пациентов через уязвимость в мобильном приложении. Директор и главный врач получили по 2 года условно и штраф 5 000 000 ₽ организации.
Пошаговый план: как минимизировать риски
-
Проведите аудит обработки персональных данных
- Определите, какие данные вы собираете и где храните.
- Проверьте все договоры на обработку: наличие согласий, обезличивания, шифрования.
-
Обновите политику конфиденциальности
Добавьте пункт о возможных рисках и порядке уведомления клиентов при инцидентах.
-
Внедрите технические меры
- Шифрование баз данных по стандарту AES-256.
- Двухфакторная аутентификация для всех сотрудников.
- Регулярные pentest-тесты (рекомендуется раз в квартал).
-
Обучите персонал
Ежеквартальные тренинги по кибербезопасности и процедурам реагирования на утечки.
-
Создайте инцидент-менеджмент
- Команда реагирования (СТО, юрист, PR, HR).
- Шаблон письма клиентам и пресс-релиз для СМИ.
- Горячая линия для пострадавших.
С 1 июля 2025 года штрафы за разглашение персональных данных выросли в разы, а ответственность стала персональной для руководителей.
Минимальный чек-лист на сегодня:
- Аудит данных и договоров — сделано?
- Политика конфиденциальности обновлена — да/нет?
- Технические меры (шифрование, MFA), включены?
- План реагирования на инцидент — утверждён?
Если хотя бы один пункт вызывает сомнение — действуйте сейчас. В противном случае риски финансовых потерь и репутационного ущерба возрастают экспоненциально.