Начиная с 23 декабря 2023 года и продолжая волну ужесточений в 2024–2026 годах, российское законодательство о персональных данных претерпело кардинальные изменения. В статье — подробный разбор новых штрафов, контрольных механизмов и практических шагов для бизнеса, чтобы избежать многомиллионных санкций.
Хронология вступления новых норм
- , первое ужесточение: увеличены штрафы по ч. 2 ст. 13.11 КоАП РФ.
- — в силу изменения Закона 152-ФЗ «О персональных данных»: новые формы уведомлений, запрет трансграничной передачи без оценки рисков.
- , Постановление Правительства № 1286: обновлён порядок государственного контроля Роскомнадзора.
- — вступление в силу Федерального закона от № 420-ФЗ: ещё более высокие штрафы и «оборотные» санкции за повторные нарушения.
Какие именно штрафы стали выше
| Категория нарушения | До | После | С (закон № 420-ФЗ) |
|---|---|---|---|
| Утечка персональных данных в результате бездействия оператора | 30–50 тыс. ₽ | до 300 тыс. ₽ | до 1,5 млн ₽ |
| Повторная утечка за 1 год | — | — | до 3 млн ₽ + оборотный штраф (% от оборота компании) |
| Отсутствие письменного согласия субъекта ПД | 10–20 тыс. ₽ | до 100 тыс. ₽ | до 500 тыс. ₽ |
Новые основания для ответственности
«Оборотные» штрафы
Если в течение календарного года утечка персональных данных выявлена второй раз, Роскомнадзор вправе назначить штраф в размере 1–3 % выручки за последний отчётный год, но не менее 3 млн ₽ (ст. 13.11 КоАП РФ в ред. ).
Ответственность за биометрические данные
Федеральный закон от № 19-ФЗ ввёл специальную статью 13.111 КоАП РФ: нарушение порядка обработки биометрических ПД грозит штрафом до 1 млн ₽ для юрлиц.
Смягчающие обстоятельства
- Добровольное сообщение о нарушении в Роскомнадзор в течение 24 часов.
- Принятые меры по локализации последствий утечки.
- Наличие аттестованной системы защиты ПД.
При наличии хотя бы двух смягчающих факторов штраф может быть снижен на 50 %.
Практический чек-лист для компаний
Обновите внутренние документы
Утвердите перечень актов, на которые опирается обработка ПД:
- Трудовой кодекс РФ (гл. 14).
- Федеральный закон от № 149-ФЗ «Об информации…».
- Федеральный закон от № 152-ФЗ «О персональных данных».
- Указ Президента РФ от № 188 (режимы конфиденциальности).
- Постановление Правительства № 1286 от (новый регламент контроля).
Проведите аттестацию ИС ПД
Не позднее 1 июня 2026 года подайте заявку на повторную аттестацию всех информационных систем, в которых обрабатываются персональные данные.
Перезаключите договоры с субподрядчиками
Включите:
- Требование о хранении данных только на территории РФ.
- Обязательство уведомлять оператора о любых инцидентах в течение 2 часов.
- Право аудита и внеплановой проверки.
Автоматизируйте уведомления в Роскомнадзор
С форма уведомления о начале обработки ПД и её изменении стала электронной. Используйте сервисы РКН API или ЕСИА для подачи документов.
Что делать при обнаружении утечки (step-by-step)
- 0–2 часа: локализуйте инцидент (отключите доступ, смените пароли).
- 2–24 часа: направьте добровольное сообщение в Роскомнадзор по форме № 5-утечка.
- 24–72 часа: уведомите субъектов ПД о возможном риске.
- 10 дней: подготовьте инцид-отчёт и план корректировки мер безопасности.
- До 1 месяца: проведите внешний аудит и повторную аттестацию ИС ПД.
Новые нормы КоАП РФ превращают персональные данные в зону повышенного риска. В 2024–2026 гг.:
- штрафы выросли в 30–50 раз;
- введены оборотные санкции;
- усилен государственный контроль (Постановление № 1286).
Самое главное помнить: любая утечка может стоить компании до 3 % выручки. Поэтому уже сегодня:
- обновите политики и регламенты;
- аттестуйте ИС ПД;
- обучите персонал новым правилам.
Следите за актуальными разъяснениями Роскомнадзора и при необходимости привлекайте специалистов по информационной безопасности.