04 июля 2026 г., с 30 мая 2025 года в России полностью вступили в силу оборотные штрафы за нарушение требований к обработке персональных данных. Законодательство стало жёстче: суммы санкций выросли в разы, а круг субъектов, на которых распространяется ответственность, расширился. Разбираемся, что именно изменилось, какие суммы теперь грозят компаниям и ИП, и как не попасть в «красную зону» Роскомнадзора.

Кратко о 152-ФЗ и последних поправках

Федеральный закон № 152-ФЗ «О персональных данных» регулирует:

• сбор, хранение и обработку ПДн граждан РФ;
• обязательства операторов и обработчиков данных;
• требования к локализации баз данных на территории России (ч. 5 ст. 18).

Последние изменения внесены законами 420-ФЗ и 421-ФЗ от , а также поправками к 572-ФЗ в части биометрических данных.

Какие действия считаются нарушением

1. Утечка персональных данных.
2. Отсутствие регистрации в Роскомнадзоре (для операторов).
3. Хранение баз данных за пределами РФ — нарушение ч. 5 ст. 18 152-ФЗ.
4. Неисполнение предписаний Роскомнадзора по устранению выявленных нарушений.
5. Несоответствие согласия субъекта ПДн требованиям закона.

Размеры штрафов в 2026 году

Оборотные штрафы (в % от выручки)

Фиксированные штрафы для должностных лиц

• ИП — от 10 000 до 100 000 ₽.
• Руководители юрлиц — от 50 000 до 500 000 ₽.
• Повторное нарушение в течение года — удвоение суммы.

Масштаб утечки и санкции

Если утечка охватила:

• до 1 000 человек — 3–5 млн ₽ для организации;
• 1 000–100 000 человек — 5–10 млн ₽;
• свыше 100 000 человек — до 15 млн ₽ + оборотные штрафы.

Примеры из практики

Кейс 1. В январе 2026 года сеть аптек «ФармПлюс» не обезличивала клиентов при передаче данных маркетинговому подрядчику. Утечка затронула 18 000 записей. Компания получила оборотный штраф в размере 1,8 % от годовой выручки (около 9 млн ₽) и предписание устранить нарушения за 30 дней.

Кейс 2. Онлайн-школа хранила персональные данные учащихся на серверах AWS в Ирландии. Роскомнадзор назначил штраф 2 % от выручки (6 млн ₽) и обязал мигрировать инфраструктуру в РФ под контролем аудитора.

Как избежать штрафов: чек-лист компании

1. Провести аудит всех источников и мест хранения ПДн.
2. Зарегистрироваться в реестре операторов Роскомнадзора (если обрабатываете биометрию, отдельная регистрация по 572-ФЗ).
3. Перенести базы данных на российские серверы (дата-центры с аккредитацией ФСТЭК/ФСБ).
4. Разработать и утвердить:
   • политику обработки ПДн;
   • локальные акты по защите информации;
   • реестр инцидентов.
5. Обучить персонал и провести симуляцию инцидента (тест на утечку).
6. Настроить мониторинг доступа и логирование.
7. Подключить систему оповещения Роскомнадзора в течение 24 часов после выявления инцидента.

Что делать при получении предписания

Если пришло предписание:

1. Не игнорировать — срок ответа 10 рабочих дней.
2. Сформировать команда-реактор: юрист + IT-специалист + HR (если утечка из отдела кадров).
3. Составить план мероприятий и согласовать его с Роскомнадзором.
4. Фиксировать все изменения (скриншоты, логи, договоры с хостингом).
5. После устранения — отправить отчёт в ведомство и запросить повторную проверку.

Ключевые изменения в 2026 году

• Вступили в силу оборотные штрафы по всему спектру нарушений 152-ФЗ.
• Биометрические данные теперь регулируются отдельным порядком (572-ФЗ).
• Штрафы за отсутствие регистрации в реестре операторов выросли до 1 % выручки.
• ФССП и ГИС ГМП передали Роскомнадзору дополнительные полномочия по принудительному взысканию.

152-ФЗ перестал быть «бумажным» законом: в 2026 году любая утечка или нарушение локализации может обернуться миллионными потерями. Самый надёжный способ защититься — регулярный аудит, локализация инфраструктуры в России и грамотное согласие субъекта ПДн. Не доводите до предписаний, проверьте свои процессы сегодня.

Полезные ссылки:

• Реестр операторов Роскомнадзора
• Текст 152-ФЗ в актуальной редакции
• Методические рекомендации Минцифры по 152-ФЗ