Актуальное на 04 июля 2026 г.
С 11 декабря 2024 года в России вступили в силу масштабные изменения, касающиеся защиты персональных данных.
Кроме новой уголовной статьи 272.1 УК РФ, существенно переработаны нормы КоАП РФ, в т.ч. статья 13.11 и введённая позднее 13.11.3.
В подборке ниже — подробный разбор того, какие действия считаются незаконным распространением персональных данных, какие штрафы и иные санкции грозят нарушителям, а также первые тренды правоприменительной практики.
Понятие «незаконное распространение» в контексте 152-ФЗ и КоАП РФ
Под «распространением» понимается любое предоставление, передачу, размещение, предоставление доступа третьим лицам персональных данных без надлежащих правовых оснований.
Закон № 152-ФЗ предусматривает следующие правовые основания:
- согласие субъекта персональных данных;
- исполнение публично-правового договора или обязанности оператора по закону;
- обработка в целях журналистской деятельности, научных, литературных и т. д. (при соблюдении баланса прав и законных интересов).
Нарушение хотя бы одного из условий (отсутствие согласия, превышение объёма обработки, отсутствие уведомления Роскомнадзора, нарушение требований к международной передаче) уже может квалифицироваться как административное правонарушение.
КоАП РФ: ключевые статьи и последние изменения 2025–2026 гг.
Статья 13.11 КоАП РФ — базовая норма
Коротко о том, что изменилось:
- Увеличены штрафы в 5-10 раз по сравнению с редакцией 2023 г.
- Добавлены новые части, в т. ч. 13.11.3, касающаяся биометрических данных и ЕСИА.
- Введена обязанность уведомлять Роскомнадзора о начале обработки до момента её фактического начала.
Сводная таблица санкций по ст. 13.11 КоАП РФ (действует с 2025 г.)
| Субъект | Первое нарушение | Повторное нарушение | Доп. санкции |
|---|---|---|---|
| Граждане | 100 000 – 200 000 ₽ | 200 000 – 300 000 ₽ | Конфискация носителей |
| Должностные лица | 300 000 – 500 000 ₽ | 500 000 – 1 000 000 ₽ | Дисквалификация до 2 лет |
| Юр. лица | 500 000 – 1 000 000 ₽ | 1 000 000 – 5 000 000 ₽ | Приостановка деятельности до 90 суток |
Часть 13.11.3 КоАП РФ — спец-режим для биометрии и ЕСИА
Вводится особо жёсткий режим для операторов, обрабатывающих биометрические персональные данные в рамках Единой системы идентификации и аутентификации (ЕСИА).
Дополнительные требования:
- обязательная квалифицированная оценка защищённости ИС;
- ежеквартальные внешние аудиты;
- согласие субъекта оформляется в электронной форме с усиленной квалифицированной электронной подписью;
- любая утечка или незаконное распространение биометрических данных автоматически квалифицируется как повторное нарушение.
Соотношение КоАП и УК РФ: когда нарушение становится преступлением
Статья 272.1 УК РФ (вступила в силу ) устанавливает уголовную ответственность за незаконные использование и (или) передачу, сбор и (или) хранение компьютерной информации, содержащей персональные данные, если это повлекло тяжкие последствия (массовая утечка, причинение вреда здоровью, мошенничество и т. д.).
Критерий разграничения:
- Если нет тяжких последствий — применяется КоАП РФ (ст. 13.11, 13.11.3).
- Если есть тяжкие последствия, возможен переход в 272.1 УК РФ (штраф до 1 млн ₽, принудительные работы, лишение свободы до 5 лет).
Как выглядит типовое «нарушение» и схема привлечения
Шаг 1:
Роскомнадзор выявляет факт незаконного размещения базы персональных данных (например, в открытом доступе в интернете).
Шаг 2:
Фиксируется протокол об административном правонарушении по ст. 13.11 КоАП РФ.
Шаг 3:
Вынесение постановления судьёй (или должностным лицом Роскомнадзора):
- если сумма ущерба до 500 000 ₽ и нет признаков уголовного преступления — только штраф;
- при повторном нарушении — дисквалификация или приостановка деятельности.
Шаг 4:
Если установлены тяжкие последствия, материалы передаются в Следственный комитет для возбуждения уголовного дела по 272.1 УК РФ.
Практические советы операторам и ИТ-директорам
- Проверьте регистрацию в реестре операторов. До 10 июля 2026 г. можно пройти упрощённую процедуру уведомления в электронном виде через портал gosuslugi.ru.
- Проведите аудит всех внешних публичных сервисов и API-интерфейсов на предмет «утечек».
- Реализуйте технические меры — шифрование, разграничение доступа, журналирование, DLP-системы.
- Обновите политику обработки ПДн: добавьте положения о биометрии и ЕСИА, если они используются.
- Обучите персонал: с марта 2025 г. увеличены штрафы за «провинности» сотрудников, допустивших утечку.
Россия продолжает жёстко ужесточать ответственность за незаконное распространение персональных данных.
В 2025–2026 гг. ключевыми стали:
- КоАП РФ, ст. 13.11 и 13.11.3 — основной инструмент административного давления;
- УК РФ, ст. 272.1 — «страховочная» уголовная мера при тяжких последствиях;
- Роскомнадзор — главный надзорный орган, уполномоченный составлять протоколы.
Своевременный аудит, актуализация документов и технических мер позволяют свести риски практически к нулю.
Не доводите до штрафов — проверьте себя прямо сегодня.