30 мая 2025 года вступили в силу масштабные поправки в Кодекс Российской Федерации об административных правонарушениях (КоАП РФ), кардинально ужесточающие ответственность за нарушения в сфере персональных данных (ПДн). Теперь за незаконную обработку, разглашение или утечку персональных данных граждан применяются «оборотные» штрафы, исчисляемые в миллионах рублей и даже процентах от выручки компании. В данной статье разберёмся, какие именно действия попадают под статью 13.11 КоАП РФ, какие штрафы грозят юрлицам и ИП, а также что изменилось для граждан-субъектов ПДн.
Что такое статья 13.11 КоАП РФ?
Статья 13.11 КоАП РФ — это ключевая «антидата» норма, объединяющая в себе сразу несколько составов правонарушений, связанных с обработкой персональных данных:
- Обработка ПДн без правового основания или вне предусмотренных законом случаев.
- Обработка без письменного согласия субъекта, когда такое согласие обязательно.
- Нарушение установленного порядка сбора, хранения, передачи и защиты ПДн.
- Нарушение правил обработки специальных категорий данных (раса, политические взгляды, здоровье, биометрия).
- Нарушение правил трансграничной передачи ПДн.
Ключевые изменения с 30 мая 2025 года
Новые размеры штрафов
Раньше максимальный штраф для юрлиц составлял 300 тыс. руб. Теперь — до 18 млн руб. и выше. Ниже — сводная таблица.
| Нарушение | Штраф 2024 | Штраф 2025 | Особенности 2025 |
|---|---|---|---|
| Первая обработка без согласия | до 300 тыс. | от 300 тыс. до 700 тыс. | Фиксированная вилка |
| Повторное нарушение | до 500 тыс. | от 1 млн до 1,5 млн | + дисквалификация руководителя до 2 лет |
| Утечка специальных/биометрических данных | до 300 тыс. | от 1 до 3 совокупного размера выручки, но не < 20 млн руб. | «Оборотный» штраф |
«Оборотные» штрафы
Самое чувствительное новшество, «оборотные» штрафы. Если компания уже привлекалась за аналогичное нарушение, то новое правонарушение влечёт штраф в размере 1–3 совокупных годовых выручек, но не менее 20 млн руб. Для крупных операторов (банки, маркетплейсы, телекомы) это может означать многомиллиардные потери.
Пример: если годовая выручка компании 6 млрд руб., то минимальный «оборотный» штраф составит 20 млн, максимальный — 18 млрд руб.
Биометрия отдельной строкой
Нарушение требований к биометрическим персональным данным (ЕСИА, ЕБС, сканеры лиц в метро) выведено в отдельный подпункт. Штрафы за незаконную обработку биометрии аналогичны «оборотным» — до 3 выручек.
Кто именно несёт ответственность?
- Юридические лица — основной адресат штрафов, дисквалификация руководителей.
- Индивидуальные предприниматели — ответственность аналогична юрлицам.
- Должностные лица — штрафы до 100 тыс. руб. или дисквалификация.
- Граждане-субъекты ПДн — напрямую не штрафуются, но могут подать иск о компенсации морального вреда (ст. 152 ГК РФ).
Права гражданина и как ими пользоваться
- Право на информацию; Любой гражданин может потребовать от оператора политику обработки ПДн и согласие.
- Право на доступ. Запросить копии всех своих ПДн — оператор обязан предоставить в течение 30 дней.
- Право на удаление. При прекращении договора или отзыве согласия.
- Право на защиту. Если произошла утечка, гражданин вправе:
- обратиться в Роскомнадзор (pdn.gov.ru);
- подать иск в суд на компенсацию.
Практика Роскомнадзора: цифры и кейсы
Согласно отчёту ведомства, за первые пять месяцев 2025 года было направлено в суды 15 000 административных дел по ст. 13.11 КоАП РФ. Почти 40 % из них — за утечки биометрии. Самый крупный штраф на текущий момент — 720 млн руб. крупному банку за передачу персональных данных через иностранный мессенджер без локализации серверов.
Как не попасть под статью: чек-лист для бизнеса
- Провести аудит обработки ПДн и составить реестр.
- Уточнить и, при необходимости, обновить согласия — теперь они должны быть в письменной форме и содержать все обязательные реквизиты.
- Внедрить шифрование, DLP-системы и журналирование доступа к ПДн.
- Назначить ответственного за защиту ПДн и обучить персонал.
- Заключить соглашения с обработчиками (аутсорс, облако) по 152-ФЗ.
- Разместить обновлённую политику конфиденциальности на сайте и в мобильном приложении.
Что готовится дальше: законопроекты 2026 года
В Госдуму уже внесён проект, предусматривающий уголовную ответственность за массовую утечку (более 1 млн записей) — до 5 лет лишения свободы; Также обсуждается обязательная локализация серверов с биометрией на территории РФ и ежегодный аудит безопасности для компаний свыше 10 тыс. субъектов ПДн.
30 мая 2025 года стало поворотной точкой: нарушение любого требования 152-ФЗ теперь может стоить бизнесу десятки или сотни миллионов рублей. Для граждан это означает усиление защиты их персональных данных, а для компаний — необходимость пересмотреть все процессы от маркетинга до ИТ-безопасности. Проверьте свои документы, проанализируйте уязвимости и приведите практику в соответствие с новыми требованиями статьи 13.11 КоАП РФ уже сегодня.