Дата актуализации: 04 июля 2026 г.

Почему вопрос актуален

С 30 мая 2025 года в силу вступил Федеральный закон № 420-ФЗ от , который кардинально ужесточил ответственность за любые нарушения в сфере персональных данных (ПДн).
В 2026-м контроль усиливается ещё сильнее: Роскомнадзор проводит автоматические выездные проверки, штрафы выросли в 2–15 раз, а за серьёзные утечки теперь грозит уголовное преследование.

Что считается нарушением

• Обработка ПДн без письменного согласия лица.
• Хранение и обработка ПДн на серверах за пределами РФ без локализации.
• Несвоевременное уведомление Роскомнадзора о инциденте (утечке).
• Разглашение служебной, коммерческой тайны или ПДн, ставших известными в связи с трудовой деятельностью (ст. 192 ТК РФ).
• Повторные инциденты (теперь «оборотные штрафы»).

Административная ответственность (КоАП РФ, ст. 13.11)

Действующие с 30 мая 2025 г. ставки:

Особые случаи

1. Обработка без локализации в РФ, от 1 до 6 млн ₽ для компаний.
2. Утечка ПДн (первый раз) — от 10 до 15 млн ₽.
3. Повторная утечка — оборотный штраф до 3 выручек за предыдущий год (верхний предел не ограничен).
4. Нарушение правил биометрии — должностные лица: 100–300 тыс. ₽, юрлица: 500 тыс.–1 млн ₽.

Важно: возможность оплатить штраф со скидкой 50 % устранена.

Уголовная ответственность (ст. 137, 272, 274 УК РФ)

• Незаконный доступ к ПДн — до 2 млн ₽ или лишение свободы до 4 лет.
• Утечка, повлекшая тяжкие последствия — до 10 лет лишения свободы.

Дисциплинарная и материальная ответственность работников

По ст. 192 и 90 ТК РФ за разглашение сведений, ставших известными при исполнении трудовых обязанностей, работник может быть:

• уволен по пп. 6 п. 1 ст. 81 ТК РФ;
• привлечён к материальной ответственности в полном размере ущерба;
• подвергнут дисциплинарному взысканию вплоть до отстранения от работы.

Практические шаги для компаний и ИП

Организационные меры

1. Назначить ответственное лицо за обработку ПДн.
2. Разработать и утвердить Политику обработки ПДн и Регламент по защите ПДн.
3. Провести инвентаризацию всех баз данных и перечень обрабатываемых ПДн.
4. Заключить соглашения о конфиденциальности со всеми сотрудниками.
5. Настроить логирование и систему инцидент-менеджмента (24/7).

Технические меры

• Шифрование ПДн при хранении и передаче (TLS 1.3, AES-256).
• Двухфакторная аутентификация доступа к CRM/ERP.
• Резервное копирование с контролем целостности.
• Разграничение прав доступа по модели «минимально необходимые привилегии».
• Использование DLP-систем и антивирусов с EDR.

Алгоритм действий при утечке

1. Зафиксировать инцидент (время, объём, тип ПДн).
2. Изолировать источник утечки.
3. Уведомить Роскомнадзор в течение 24 ч (п. 3 ст. 152-ФЗ).
4. Оценить риски для субъектов ПДн и, при необходимости, оповестить их.
5. Назначить расследование, устранить последствия, составить отчёт.

Что грозит в 2026 году при игнорировании

• Внеплановые проверки Роскомнадзора без предупреждения.
• Штрафы до 15 млн ₽ за первичное нарушение и до 3 годовых выручек за повторное.
• Блокировка сайта или онлайн-сервиса на основании судебного акта.
• Уголовное дело при крупной утечке (от 1 000 записей).
• Репутационные издержки и обязательное публичное опровержение.

Ресурсы и актуальные документы

• Федеральный закон № 152-ФЗ «О персональных данных» (ред. 2025).
• Постановление Правительства РФ № 1119 «Об утверждении требований к защите ПДн при их обработке в ИС ПДн».
• Методические рекомендации Роскомнадзора (приказ № 996 от );
• Обновлённый КоАП РФ (ст. 13.11, в ред. ).

Краткий чек-лист для руководителя

1. Сегодня: назначить ответственного за ПДн.
2. Неделя: провести аудит всех процессов и баз.
3. Месяц: обновить политики, обучить персонал.
4. Квартал: тестировать план реагирования на инциденты.