Дата актуализации:
Кратко о главном
- 30 мая 2025 года вступил в силу Федеральный закон № 420-ФЗ – он резко повышает административные штрафы за нарушения в сфере персональных данных (ПДн).
- С 2026 года применяются «оборотные» штрафы – каждая новая утечка в течение трёх лет влечёт двойной размер санкций.
- Уголовная ответственность введена ст. 272.1 УК РФ (федеральные законы № 420-ФЗ и № 421-ФЗ): до 4 лет колонии за незаконный оборот специальных категорий ПДн.
- Штрафы за одну утечку теперь растут «по шкале» — от 3 млн ₽ до 15 млн ₽ в зависимости от числа затронутых граждан.
Новая система штрафов с 30 мая 2025 года
Административные санкции по КоАП РФ (ст. 13.11)
| Нарушение | Физлицо | Должностное лицо | Юр. лицо / ИП |
|---|---|---|---|
| Неуведомление Роскомнадзора о начале обработки ПДн | 100 000 – 300 000 ₽ | 100 000 – 300 000 ₽ | 500 000 – 1 000 000 ₽ |
| Неуведомление об инциденте (утечке) в течение 24 ч | 300 000 – 400 000 ₽ | 300 000 – 500 000 ₽ | 3 000 000 – 5 000 000 ₽ |
| Утечка специальных категорий ПДн (биометрия, здоровье, полит. взгляды и пр.) | 300 000 – 500 000 ₽ | 500 000 – 800 000 ₽ | 5 000 000 – 10 000 000 ₽ |
| Крупная утечка (>100 тыс. человек) | — | — | 15 000 000 ₽ |
Примечание. Под «утечкой» понимается любое неправомерное предоставление, распространение или доступ к ПДн (ч. 15 ст. 13.11 КоАП РФ).
«Оборотные» штрафы
Если в течение трёх лет с момента первого правонарушения организация допускает повторную утечку, применяется коэффициент 2 к базовому размеру штрафа. Таким образом, максимальный административный штраф может достигать 30 000 000 ₽.
Уголовная ответственность (ст. 272.1 УК РФ)
- Объект преступления: автоматизированные системы, содержащие ПДн граждан РФ.
- Квалифицирующие признаки:
- Деяние совершено из корыстной или иной личной заинтересованности.
- Причинён крупный ущерб (от 5 млн ₽).
- Данные относятся к специальным категориям.
- Наказание:
- штраф до 2 000 000 ₽;
- лишение свободы до 4 лет;
- запрет занимать определённые должности до 3 лет.
Как проверить свою компанию прямо сейчас
- Аудит периметра ПДн. Составьте актуальный реестр обрабатываемых данных и источников.
- Политика безопасности. Проверьте, все ли сотрудники подписали локальные акты, включая «Согласие на обработку ПДн» и «Политику конфиденциальности».
- Система оповещения. Зафиксируйте 24-часовой SLA на информирование Роскомнадзора и субъектов ПДн об инциденте.
- Шифрование и токенизация. Внедрите технические меры защиты: шифрование не менее AES-256, контроль доступа по модели RBAC, журнирование всех операций.
- Тесты на проникновение (Pen-test). Проводите не реже 1 раза в год и устраняйте выявленные уязвимости в срок до 30 дней.
Чек-лист для руководителя
| Что сделать | Срок |
|---|---|
| Назначить ответственного за защиту ПДн (DPO) | до |
| Обновить регистр операций с ПДн и категории данных | до |
| Провести обучение персонала (в т.ч. удалённых сотрудников) | ежеквартально |
| Заключить договор с центром сертификации на годовой аудит соответствия 152-ФЗ | до |
| Подписать акт внедрения системы DLP (Data Loss Prevention) | до |
Что будет дальше: прогноз до 2027 года
По информации Роскомнадзора и Верховного Суда РФ, в 2027 году возможны:
- введение обязательного реестра инцидентов в Госуслугах;
- повышение порога «крупного ущерба» до 10 млн ₽;
- обязанность ежегодной сертификации средств защиты через ФСТЭК/ФСБ.
Персональные данные стали «красной зоной» для бизнеса. За одну ошибку можно потерять не только миллионы рублей, но и свободу. Внедрите комплаенс-систему уже сегодня – это дешевле, чем заплатить 30 000 000 ₽ «оборотного» штрафа завтра.
Информация подготовлена по материалам: Федеральные законы № 420-ФЗ и № 421-ФЗ, разъяснения Роскомнадзора, Верховного Суда РФ и экспертов портала «Хабр».