Вопрос актуален как для юридических лиц‚ так и для физических лиц‑операторов. С 30 мая 2025 года в Кодекс РФ об административных правонарушениях (КоАП РФ) внесены существенные изменения‚ усиливающие штрафные санкции за утечку персональных данных‚ в т.ч. биометрических и специальных категорий.
Нормативно‑правовая база
- Статья 13.11 КоАП РФ – «Нарушение законодательства Российской Федерации в области персональных данных».
- Федеральный закон № 420‑ФЗ от 30 ноября 2024 г. (внести часть 12 в ст. 13.11 КоАП РФ).
- Федеральный закон № 152‑ФЗ «О персональных данных» (в ред. от 2024 г.).
- Уголовный кодекс РФ – статья 272.1 (уголовная ответственность за незаконный доступ к ПДн).
- Приказы Роскомнадзора‚ методические рекомендации «ГАРАНТ»‚ «КонсультантПлюс».
Что считается «распространением персональных данных»?
Под «распространением» (включая предоставление‚ передачу‚ доступ) понимаются любые действия‚ которые приводят к тому‚ что сведения о физических лицах становятся известны третьим лицам без законных оснований:
- Передача данных по электронной почте‚ мессенджерам‚ облачным сервисам;
- Публикация в открытом доступе (соцсети‚ сайты‚ форумы);
- Продажа баз данных третьим лицам;
- Неправомерный доступ к базе данных (в т.ч. через уязвимости IT‑систем).
Ключевые положения статьи 13.11 (по состоянию на 2026 г.)
Состав правонарушения
Действия (или бездействие) оператора‚ повлекшие неправомерную передачу (предоставление‚ распространение‚ доступ) информации‚ включающей персональные данные‚ если такие действия не содержат признаков уголовно наказуемого деяния.
Пороги ответственности
| Объём данных | Содержание | Размер штрафа (для юридических лиц) | Размер штрафа (для должностных лиц/ИП) |
|---|---|---|---|
| 1 000 – 10 000 субъектов ПДн или 10 000 – 100 000 идентификаторов | Обычные персональные данные | 300 000 – 700 000 ₽ | 100 000 – 300 000 ₽ |
| 10 000 – 100 000 субъектов ПДн или 100 000 – 1 000 000 идентификаторов | Специальные категории ПДн (расовая/этническая принадлежность‚ политические взгляды‚ здоровье и др.) | 700 000 – 1 200 000 ₽ | 300 000 – 500 000 ₽ |
| Более 100 000 субъектов ПДн | Биометрические данные (отпечатки‚ лицо‚ голос) | 1 200 000 – 2 000 000 ₽ | 500 000 – 800 000 ₽ |
Обязанность уведомления
Оператор обязан в течение требуемого срокa (не более 24 часов с момента обнаружения) уведомить уполномоченный орган (Роскомнадзор) о факте неправомерной передачи персональных данных. Невыполнение этой обязанности также подпадает под ст. 13.11 (часть 1).
Исключения
Действия‚ содержащие признаки уголовного преступления (ст. 272.1 УК РФ)‚ рассматриваются в уголовном порядке‚ а не в рамках КоАП РФ.
Как формируется административный штраф
Суд (или орган‚ наложивший штраф) учитывает следующие факторы:
- Объём скомпрометированных данных (количество субъектов и идентификаторов);
- Категория данных (обычные‚ специальные‚ биометрические);
- Наличие повторных нарушений у того же оператора;
- Степень вины (намеренность‚ халатность‚ отсутствие надлежащих мер защиты);
- Своевременность уведомления Роскомнадзора;
- Наличие мер по минимизации вреда (удаление данных‚ блокировка доступа).
Практические примеры из судебной практики (2024‑2026 гг.)
Дело «SSI International GmbH» (март 2026)
Иностранная компания‚ обрабатывающая данные российских граждан‚ не уведомила Роскомнадзор о массовой утечке (≈ 85 000 записей). Суд назначил штраф в размере 1 050 000 ₽ для юридического лица и 350 000 ₽ для ответственного директора. Кроме штрафа‚ компании пришлось пройти обязательный аудит информационной безопасности.
Дело «Таганский район‚ Москва» (март 2026)
Местный оператор «Мед‑Онлайн» передал сведения о пациентах (биометрические данные – отпечатки пальцев) третьей компании без согласия. Штраф – 1 800 000 ₽‚ а также предписание о внедрении системы шифрования и ограничении доступа к биометрии.
Дело «Прайм» (янв 2026)
Компания «Прайм» раскрыла контактные данные более 12 000 клиентов в открытом доступе. Штраф – 650 000 ₽‚ а также обязательство оповестить всех пострадавших и предоставить им бесплатную услугу по мониторингу кредитных историй.
Как избежать ответственности
- Внедрить политику обработки персональных данных. Описать цели‚ способы‚ сроки хранения и меры защиты.
- Назначить ответственного за обработку ПДн. Этот человек будет контролировать соблюдение требований 152‑ФЗ и КоАП.
- Осуществлять техническую защиту. Шифрование‚ ограничение доступа‚ двухфакторная аутентификация‚ регулярные аудиты уязвимостей.
- Проводить обучение персонала. Инструктировать сотрудников о запрете передачи данных без согласия и о порядке реагирования на инциденты.
- Создать процесс уведомления. При любой утечке подготовить шаблон уведомления в Роскомнадзор (обязательно в течение 24 часов) и в самих пострадавших.
- Вести реестр инцидентов. Документировать каждый случай‚ меры реагирования и результаты расследования – это смягчает штраф.
- Регулярно обновлять договоры с контрагентами. Убедиться‚ что субподрядчики соблюдают те же требования к защите ПДн.
Что происходит‚ если штраф не уплачен в полном размере
По решению суда (и в соответствии с практикой «ГАРАНТ») дело не подлежит уплате в половинном размере. Если штраф не уплачен в течение 20 дней‚ начинается принудительное исполнение: арест банковских счетов‚ наложение запрета на осуществление деятельности‚ а в случае повторных нарушений – лишение лицензий.
Сравнительная таблица: КоАП vs Уголовный кодекс
| Критерий | КоАП РФ (ст. 13.11) | Уголовный кодекс (ст. 272.1) |
|---|---|---|
| Субъекты | Операторы (юр. лица‚ ИП‚ должностные лица) | Любой гражданин‚ ИП‚ юридическое лицо |
| Размер ответственности | Штраф от 100 000 до 2 000 000 ₽ (в зависимости от объёма и категории данных) | Штраф‚ принудительные работы‚ лишение свободы до 2 лет |
| Наличие вины | Халатность‚ неосторожность (не требуется умысел) | Умышленное незаконное получение‚ хранение‚ распространение ПДн |
| Уведомление органов | Обязательно (Роскомнадзор) – штраф за неуведомление | Не является обязательным элементом состава |
С 2025 года административная ответственность за распространение персональных данных в России значительно ужесточилась. Ключевые моменты‚ которые должны знать все операторы:
- Любая передача ПДн без законных оснований — правонарушение‚ подпадающее под ст. 13.11 КоАП РФ.
- Штрафы зависят от объёма и категории данных: чем больше и чувствительнее информация‚ тем выше санкция.
- Своевременное уведомление Роскомнадзора и демонстрация принятых мер по устранению последствий могут снизить размер штрафа.
- Наличие чёткой политики защиты данных и регулярные аудиты — эффективный способ предотвратить как административную‚ так и уголовную ответственность.
Поддержание культуры защиты персональных данных в организации — это не только юридическая необходимость‚ но и важный фактор доверия клиентов и партнёров.
Дата последнего обновления статьи: 7 апреля 2026 г.