С 30 мая 2025 года в России значительно усилилась ответственность за утечку персональных данных. Компании и государственные организации теперь обязаны не только обеспечивать безопасность информации‚ но и оперативно докладывать об инцидентах. За нарушения предусмотрены крупные штрафы‚ уголовная и административная ответственность.
Что считается утечкой персональных данных
Утечка, это любое несанкционированное распространение персональных данных третьим лицам. Примеры:
- хакерская атака‚ приведшая к публикации базы клиентов в интернете;
- случайная отправка писем с конфиденциальной информацией на неправильные адреса;
- утеря флеш-накопителя или ноутбука с базой данных.
Кто обязан сообщать об утечке и в какие сроки
Согласно части 3.1 статьи 21 Федерального закона «О персональных данных»‚ оператор (будь то коммерческая компания или госорган) обязан:
- В течение 24 часов уведомить Роскомнадзор о факте инцидента.
- Предоставить:
- описание произошедшего‚
- оценку масштабов ущерба‚
- меры‚ уже принятые для устранения последствий.
- Оповестить самих субъектов данных‚ если это может затронуть их права и свободы.
Административная ответственность: новые штрафы
Федеральные законы № 420-ФЗ и № 421-ФЗ от внесли изменения в КоАП РФ. В 2026 году размеры санкций следующие:
| Категория нарушителя | Минимальный штраф | Максимальный штраф |
|---|---|---|
| Должностное лицо | 50 000 ₽ | 300 000 ₽ |
| Юридическое лицо | 500 000 ₽ | 5 000 000 ₽ |
| Государственная структура | 1 000 000 ₽ | 10 000 000 ₽ |
Кроме денежных взысканий возможно:
- приостановление деятельности на срок до 90 суток;
- обязательное проведение внеплановой проверки.
Уголовная ответственность по статье 272.1 УК РФ
Если утечка произошла по вине конкретного сотрудника (например‚ специалиста‚ передавшего базу данных мошенникам)‚ ему грозит:
- штраф до 500 000 ₽;
- лишение свободы до 4 лет;
- запрет занимать определённые должности.
Как защититься и минимизировать риски
Технические меры
- Шифрование баз данных и каналов передачи данных (AES-256‚ TLS 1.3).
- Мониторинг доступа и анализ аномалий (DLP-системы‚ SIEM).
- Резервное копирование с хранением копий в защищённых хранилищах.
Организационные меры
- Регулярные инструктажи и тренинги сотрудников.
- Чёткое разграничение прав доступа по принципу минимально необходимых привилегий.
- Разработка и актуализация плана реагирования на инциденты.
С весны 2025 года Россия перешла к практике крупных штрафов и уголовных дел за утечки персональных данных. Главное правило сегодня: предотвратить и быстро сообщить. Каждая компания и госорганизация должны уже сейчас:
- Аудировать свои системы безопасности.
- Назначить ответственного за защиту персональных данных.
- Подготовить чёткий план действий на случай инцидента‚ чтобы успеть уведомить Роскомнадзор в течение 24 часов и минимизировать штрафы.
04 июля 2026 г. — с момента вступления новых норм прошёл год. Статистика уже показывает снижение числа утечек‚ но штрафы продолжают выписываться регулярно. Будьте готовы!