С 30 мая 2025 года в России в три раза увеличены штрафы за незаконное распространение персональных данных. Все случаи, когда персональные данные (ПДн) передаются, публикуются или становятся доступны третьим лицам без письменного согласия их владельца, регулируются статьёй 13.11 КоАП РФ. Ниже — подробный разбор, что именно запрещено, какие санкции грозят и что изменилось в 2025–2026 гг.
Какие действия считаются «распространением без согласия»
Законодательство под «распространением» понимает любые действия, в результате которых персональные данные становятся известны хотя бы одному постороннему лицу. К таким действиям относятся:
- размещение данных в открытом доступе в интернете (соцсети, форумы, чаты домовых книг);
- передача сведений коллегам, друзьям, знакомым в устной или письменной форме;
- отправка данных по почте, мессенджеру, e-mail без согласия субъекта;
- хранение файлов в общедоступных облачных папках без ограничения доступа.
КоАП РФ: статья 13.11 (действующая редакция 2026 г.)
Часть 1 — общие нарушения
Состав: обработка ПДн в случаях, не предусмотренных законом, либо обработка, несовместимая с целями сбора.
Штрафы:
- для граждан, 6 000–10 000 ₽;
- должностных лиц — 30 000–50 000 ₽;
- юрлиц — 100 000–300 000 ₽.
Часть 2 — «письменное согласие»
Состав: обработка ПДн без письменного согласия субъекта, если такое согласие обязательно (почти всегда, кроме исключений ФЗ-152).
Штрафы (утроены с 30 мая 2025 г.):
- граждане, 15 000–30 000 ₽;
- должностные лица — 80 000–150 000 ₽;
- юрлица — 300 000–600 000 ₽.
Часть 3 — повторное нарушение
Штрафы удваиваются:
- юрлицам — до 1 200 000 ₽;
- возможно дисквалификация ИП и руководителей на срок до 1 года.
Часть 4 — неуведомление Роскомнадзора
Если оператор начал обработку, но не уведомил Роскомнадзор в течение 10 рабочих дней, грозит штраф до 100 000 ₽ на юрлицо и до 30 000 ₽ на ИП/должностное лицо.
Когда нарушение выходит за рамки КоАП: УК РФ
Статья 137 УК РФ
Наказывает распространение сведений о частной жизни, составляющих личную или семейную тайну, без согласия лица.
Санкции:
- штраф до 200 000 ₽;
- обязательные/исправительные работы до 1 года;
- лишение свободы до 2 лет.
Статья 272;1 УК РФ
Введена 11 декабря 2024 г. Специально карает незаконную передачу персональных данных в ИТ-системах:
Санкции: штраф до 500 000 ₽ или лишение свободы до 4 лет, если нарушение повлекло тяжкие последствия.
Практические примеры 2025–2026 гг.
- Чат домового телеграм-канала. Жительница Москвы выложила скрин-шот электронной очереди из поликлиники с ФИО и датами рождения соседей. Суд применил ст. 137 УК РФ, назначил 150 000 ₽ штрафа и 6 месяцев обязательных работ.
- Онлайн-магазин передавал списки клиентов партнёрам без согласия. Роскомнадзор выписал штраф по ч. 2 ст. 13.11 КоАП — 450 000 ₽.
- Бухгалтерия ИП дважды за год оставляла файлы зарплатных ведомостей в общем доступе Google Drive. Повторное нарушение увеличило санкцию до 700 000 ₽ и дисквалифицировало главного бухгалтера на 6 месяцев.
Как не нарушить: чек-лист для операторов и граждан
- Всегда оформляйте письменное согласие (бумага или электронная подпись).
- Храните ПДн в закрытых доступах: пароли, шифрование, ограничение прав.
- Проверяйте, действительно ли цель обработки совпадает с целью сбора.
- Уведомляйте Роскомнадзор до начала обработки (кроме случаев п. 2 ч; 2 ст. 22 ФЗ-152).
- Обучайте сотрудников: 1 час тренинга снижает риск утечки на 60 %.
С 2025 года законодательство о персональных данных стало жёстче как в части штрафов, так и в части уголовного преследования. Статья 13.11 КоАП РФ — основной «инструмент» Роскомнадзора, но при умышленных или масштабных утечках дело может быстро перейти в уголовную плоскость. Минимизация риска — это своевременное согласие, технические меры и культура персонала.