юридических требований․ Ошибка или халатность теперь могут привести не только к миллионным штрафам, но и к
реальному уголовному преследованию должностных лиц и организаций․
Ключевые изменения законодательства
Новый состав преступления — ст․ 272․1 УК РФ
С 1 сентября 2025 года вступила в силу статья 272․1 УК РФ «Незаконные использование и (или) передача,
сбор и (или) хранение компьютерной информации, содержащей персональные данные»․
Уголовная ответственность наступает при:
- хищении или разглашении сведений о биометрии, финансах, здоровье любого гражданина;
- передаче данных без согласия субъекта или в нарушение установленных правил;
- повторном нарушении после вступившего в законную силу постановления о штрафе․
Кому грозит уголовная ответственность
Ответственность несут:
- Должностные лица, директора, ИТ-директора, главные бухгалтера, главы служб безопасности․
- Операторы персональных данных, юрлица, осуществляющие обработку (даже если процесс аутсорсится)․
- Специалисты, получившие доступ по должности: сисадмины, аналитики, курьеры и др․
Кто в компании должен нести «груз» ответственности
Согласно ФЗ-420 и ФЗ-421 от 30 ноября 2024 г․, каждая организация обязана назначить ответственное
лицо за обработку персональных данных․ Его функции:
- контроль соблюдения 152-ФЗ и подзаконных актов;
- взаимодействие с Роскомнадзором;
- ведение реестра инцидентов и уведомление о утечке в течение 24 часов;
- обеспечение новых технических мер (маскирование, хэширование, ограничение выгрузки)․
Назначение оформляется приказом руководителя и доводится до сведения сотрудников под роспись․
Новые правила получения согласия (с )
С 1 сентября 2025 года действует упрощённая система:
- Отказ от бумажных форм: согласие можно получить через электронную подпись, SMS, «Госуслуги»․
- Многоуровневое согласие: отдельное подтверждение на каждую цель (маркетинг, передача третьим лицам, выезд за границу)․
- Автоматическое аннулирование при отсутствии активности субъекта более 3 лет․
Штрафы и санкции 2026
| Нарушение | Административный штраф (юр; лицо) | Уголовное наказание (должностное лицо) |
|---|---|---|
| Первая утечка (до 1000 записей) | 300 000 ₽ — 500 000 ₽ | не предусмотрено |
| Утечка > 100 000 записей | 1 000 000 ₽ — 3 000 000 ₽ | до 4 лет лишения свободы |
| Повторное разглашение | 5 000 000 ₽ | до 7 лет лишения свободы |
Как защититься: чек-лист компании
- Назначить ответственного и утвердить инструкцию по обработке ПДн․
- Внедрить DLP-систему и инструменты маскирования/хэширования․
- Обновить политику конфиденциальности с учётом нового порядка согласий․
- Обучить персонал (не реже 1 раза в год, фиксировать протоколом)․
- Провести внешний аудит: пентест, анализ сегментации сети, backup-стратегия․
- Заключить договор с аттестованной лабораторией по сертификации СЗИ․
В 2026 году «утечка» — это не только репутационные потери, но и уголовное дело․
Подготовьтесь заранее: назначьте ответственного, обновите процессы, внедрите технические меры․
Профилактика дешевле штрафа в 5 миллионов и тюремного срока․