30 мая 2026 года вступили в силу новые поправки в Кодекс Российской Федерации об административных правонарушениях (КоАП РФ)‚
значительно усиливающие ответственность за незаконный оборот персональных данных.
В первую очередь это касается распространения‚ опубликования или предоставления чужих персональных данных без согласия субъекта.
Ниже — подробный разбор‚ что изменилось‚ какие санкции теперь применяются и какие практические шаги следует предпринять‚
чтобы не стать нарушителем.

Что считаеться «распространением персональных данных»

Под распространением понимается любое действие‚ в результате которого персональные данные становятся доступны третьим лицам:

• передача данных в мессенджерах или электронной почте;
• опубликование фотографий или документов в соцсетях;
• размещение сведений о клиенте на сайте компании без согласия;
• утечка базы клиентов в результате инцидента информационной безопасности.

Даже однократное разглашение сведений (ФИО‚ телефон‚ адрес‚ СНИЛС‚ номер карты) уже квалифицируется как правонарушение.

Новые суммы штрафов и меры наказания

2.1 Для граждан

• 3 000 – 5 000 ₽ — за первое нарушение (ст. 13.11 ч. 1 КоАП РФ);
• 30 000 – 50 000 ₽ — при повторном нарушении в течение года (новая ч. 2.1).

2.2 Должностные лица

• 15 000 – 30 000 ₽ — первое нарушение;
• 100 000 – 300 000 ₽, повторное;
• Дисквалификация на срок до 2 лет возможна при грубом или массовом утечке.

2.3 Юридические лица

• 100 000 – 500 000 ₽ — первое нарушение;
• 1 000 000 – 3 000 000 ₽ — повторное;
• Административное приостановление деятельности на срок до 90 суток;
• Конфискация носителей и оборудования‚ использованных для нарушения.

Какие данные подпадают под защиту

Под «персональными данными» понимаются любые сведения‚ относящиеся к прямо или косвенно определённому физическому лицу.
На практике это:

1. Основные: ФИО‚ дата рождения‚ адрес‚ номер телефона‚ эл. почта.
2. Биометрические: отпечатки пальцев‚ образец голоса‚ сетчатка глаза.
3. Финансовые: номера банковских карт‚ сведения о доходах‚ кредитная история.
4. Медицинские: диагнозы‚ истории болезни‚ результаты анализов.
5. Иные специальные категории: политические взгляды‚ религия‚ интимная жизнь.

Важно: даже если сведения уже где-то публиковались‚ повторное распространение без подтверждённого согласия субъекта
считается правонарушением.

Действия при подозрении на нарушение

Для физического лица‚ чьи данные разгласили

• Соберите доказательства: скриншоты‚ ссылки‚ письма.
• Направьте жалобу в Роскомнадзор через официальный сайт или Госуслуги.
• Одновременно можно подать заявление в полицию (ст. 137 УК РФ) или в суд.

Для организации или ИП

• Проведите внутреннее расследование: аудит журналов доступа‚ опрос сотрудников.
• В течение 24 часов уведомите Роскомнадзор об инциденте (ФЗ-152).
• Уведомите субъектов данных‚ если утечка может повлечь риски для их прав.
• Разработайте план устранения последствий: блокировка доступа‚ смена паролей‚ уведомление банков.

Как защитить себя и компанию. Чек-лист

Примеры из практики Роскомнадзора

Кейс 1. В 2025 году клиника «Медлайф» оштрафована на 1‚5 млн ₽ за публикацию на сайте списка пациентов‚
проходивших флюорографию (ФИО + даты рождения). Согласия пациентов не было.
Кейс 2. Ритейлер «Электронный Мир» получил штраф 800 тыс. ₽ за массовую рассылку SMS с именами клиентов
и номерами заказов‚ которую инициировал подрядчик без подтверждённого договора об ОПД (операторе персональных данных).

С 30 мая 2026 года «лёгких» штрафов больше нет. Любое‚ даже случайное‚ разглашение персональных данных грозит
существенными санкциями, вплоть до приостановления бизнеса. Главная профилактика, это системный подход:
политика‚ технологии‚ процессы и‚ главное‚ культура безопасности внутри организации.

Помните: «Не знал» уже не аргумент. Закон требует преднамеренных действий по защите данных.
Проверьте себя сегодня — и избежите миллионных штрафов завтра.