В 2026 году в России вступили в силу новые поправки к Федеральному закону 152‑ФЗ «О персональных данных», а также к Уголовному кодексу и КоАП РФ. Эти изменения существенно ужесточили ответственность за незаконную обработку, хранение и распространение персональных данных (ПДн). В статье рассматриваются все виды ответственности, размеры штрафов, примеры судебной практики и рекомендации по соблюдению законодательства.

Правовая база

• Федеральный закон от № 152‑ФЗ «О персональных данных» – основной нормативный акт, регламентирующий порядок сбора, обработки, хранения и передачи ПДн.
• Уголовный кодекс РФ:
  • Статья 137 – «Нарушение неприкосновенности частной жизни» (уголовная ответственность за незаконный сбор и распространение ПДн).
  • Статья 272.1 – «Незаконное использование, передача, сбор или хранение компьютерной информации, содержащей персональные данные».
• Кодекс Российской Федерации об административных правонарушениях (КоАП РФ):
  • Статья 13;11 – «Нарушение законодательства РФ в области персональных данных» (административные штрафы).
• Федеральный закон № 421‑ФЗ от – вводит новые виды наказаний, в т.ч. оборотные штрафы за повторные утечки.

Виды ответственности

2.1 Уголовная ответственность

Уголовная ответственность применяется в случае тяжких нарушений, когда:

1. Собранные ПДн использованы для шантажа, вымогательства или иной преступной деятельности;
2. Произошла массовая утечка данных, затронувшая более 10 000 физических лиц;
3. Нарушитель отказывается сотрудничать со следствием и скрывает следы преступления.

Ключевые санкции:

• Штраф от 200 000 до 1 000 000 рублей;
• Лишение свободы на срок до 5 лет (в особо тяжких случаях – до 10 лет);
• Принудительные работы до 2 лет;
• Лишение права занимать определённые должности или заниматься определённой деятельностью до 5 лет.

2.2 Административная ответственность

Большинство нарушений регулируется КоАП РФ. С 30 мая 2025 года штрафы почти удвоились, а за повторные нарушения введены «оборотные» штрафы.

Кроме штрафов, суд может наложить обязательные работы, приостановить деятельность организации или вынести предписание об устранении нарушений в определённый срок.

2.3 Гражданско‑правовая ответственность

Субъекты, пострадавшие от утечки ПДн, могут требовать:

• Возмещения материального ущерба (в случае реального ущерба);
• Компенсацию морального вреда (обычно от 10 000 до 500 000 рублей, в зависимости от тяжести нарушения);
• Судебного приказа о прекращении незаконной обработки данных.

Ключевые изменения в 2026 году

1. Увеличение размеров штрафов – большинство штрафов удвоены по сравнению с 2024 годом.
2. Оборотные штрафы за повторные утечки – если организация уже была оштрафована за утечку, следующая утечка в течение 12 мес. влечёт штраф в размере от 500 000 до 1 000 000 рублей, с возможным увеличением до 5 млн руб. при массовой утечке.
3. Обязательное уведомление в течение 30 дней – в случае утечки оператор обязан в течение 30 дней (ч. 1 ст. 20 152‑ФЗ) уведомить как субъектов данных, так и уполномоченный орган (Роскомнадзор). За несоблюдение – штраф от 100 000 до 300 000 рублей для юридических лиц.
4. Повышенные штрафы за утечку данных сотрудников – пример: РЖД оштрафована на 150 000 рублей за утечку 17 млн записей о сотрудниках.

Типичные схемы нарушений и примеры судебной практики

4.1 Утечка больших массивов данных

Пример: в 2025 году американская онлайн‑платформа была оштрафована на 2 млн рублей за утечку более 500 000 записей клиентов. Суд признал, что компания не провела обязательную оценку рисков и не уведомила Роскомнадзор в установленный срок.

4.2 Неуведомление субъектов о сборе данных

Суд в Таганском районе Москвы оштрафовал Google LLC на 50 000 рублей за отсутствие прозрачного согласия пользователей при сборе их данных в рекламных целях.

4.3 Нарушения в государственных учреждениях

В 2024 году Минтруд не представил доказательства выполнения требований по защите ПДн, и суд указал, что отсутствие документального подтверждения является достаточным основанием для административного штрафа (150 000 руб.) в отношении ответственного должностного лица.

4.4 Неисполнение требований Роскомнадзора

Операторы, отказавшиеся выполнить предписание о блокировке незаконно собранных данных, могут быть привлечены к уголовной ответственности по ст. 272.1 УК РФ (лишение свободы до 3 лет).

Процедура наложения штрафов

1. Выявление нарушения – проверка со стороны Роскомнадзора, жалоба субъектов или инициатива органов прокуратуры.
2. Выдача предписания – оператору даётся срок (обычно 30 дней) на устранение нарушения.
3. Проверка выполнения предписания – при несоблюдении предписания наложается административный штраф.
4. Обжалование – оператор имеет право обжаловать решение в суде в течение 30 дней с момента получения предписания.
5. Исполнение решения – в случае подтверждения штрафа, средства перечисляются в бюджет, а в случае уголовного дела – начинается уголовный процесс.

Смягчающие и отягчающие обстоятельства

• Смягчающие:
  • Своевременное уведомление Роскомнадзора и субъектов о факте утечки;
  • Принятие незамедлительных мер по ограничению последствий (блокировка доступа, предоставление бесплатного мониторинга кредитных историй);
  • Отсутствие умысла (нарушение произошло по технической ошибке, а не преднамеренно).
• Отягчающие:
  • Повторные нарушения в течение года;
  • Утечка данных о более чем 1 млн субъектов;
  • Наличие вины в виде преднамеренного сбора и продажи ПДн третьим лицам;
  • Отказ от сотрудничества со следственными органами.

Как избежать ответственности: рекомендации операторам

1. Вести реестр обработки ПДн – документировать каждый процесс сбора, хранения и передачи данных.
2. Проводить оценку воздействия на защиту данных (DPIA) перед запуском новых сервисов.
3. Обеспечить техническую защиту:
   • Шифрование данных в покое и при передаче;
   • Многофакторная аутентификация для доступа к системам;
   • Регулярные аудиты уязвимостей.
4. Обучать персонал – проводить тренинги по работе с ПДн минимум раз в год.
5. Своевременно реагировать на инциденты – иметь план реагирования (IRP) и регламент уведомления в течение 30 дней.
6. Вести диалог с Роскомнадзором – регистрировать обработку данных в реестре операторов, своевременно подавать отчёты.
7. Заключать договоры с подрядчиками – включать в контракты обязательства по соблюдению 152‑ФЗ и требовать от подрядчиков сертификаты ISO/IEC 27001.

С 2025‑2026 годами в России наблюдается резкое ужесточение наказаний за нарушение закона о персональных данных. Штрафы удвоились, введены оборотные санкции за повторные утечки, а уголовная ответственность расширилась на более широкий спектр действий. Операторам ПДн необходимо не только формально выполнять требования 152‑ФЗ, но и внедрять комплексные программы защиты, вести постоянный мониторинг и быть готовыми к быстрому реагированию на инциденты.

Только системный подход к управлению персональными данными позволит избежать значительных финансовых потерь, репутационных рисков и, в крайнем случае, уголовного преследования.

Дата публикации:  г. 23:21 (по московскому времени)