Оборотные штрафы за утечку персональных данных: расчёт
До 30 мая 2025 года утечка клиентской базы обходилась компании в худшем случае в десятки тысяч рублей штрафа и репутационные потери. Федеральный закон от 30.11.2024 № 420-ФЗ изменил это радикально: в статье 13.11 КоАП появились отдельные составы за неправомерную передачу персональных данных с градацией по числу пострадавших, а за повторную утечку — штраф в процентах от выручки. Для малого и среднего бизнеса это впервые сделало утечку событием, которое может поставить под вопрос существование компании.
Ниже — таблица санкций по актуальной редакции статьи 13.11 КоАП РФ, разбор того, что считается утечкой и повтором, пример расчёта и практические меры, которые реально снижают риск. Текст не заменяет консультацию юриста; актуальную редакцию закона всегда проверяйте на КонсультантПлюс или портале правовой информации.
Таблица штрафов за утечку для организаций
| Часть ст. 13.11 КоАП | Нарушение | Юрлица | Должностные лица |
|---|---|---|---|
| ч. 11 | Не уведомили Роскомнадзор об утечке или нарушили срок | 1–3 млн ₽ | 400–800 тыс. ₽ |
| ч. 12 | Утечка 1 000–10 000 субъектов или 10 000–100 000 идентификаторов | 3–5 млн ₽ | 200–400 тыс. ₽ |
| ч. 13 | Утечка 10 000–100 000 субъектов или 100 000–1 000 000 идентификаторов | 5–10 млн ₽ | 300–500 тыс. ₽ |
| ч. 14 | Утечка более 100 000 субъектов или более 1 000 000 идентификаторов | 10–15 млн ₽ | 400–600 тыс. ₽ |
| ч. 15 | Повторная утечка по ч. 12–14 | 1–3% выручки, но не менее 20 млн и не более 500 млн ₽ | 800 тыс. — 1,2 млн ₽ |
| ч. 16 | Утечка специальных категорий данных (здоровье, убеждения и т. п.) | 10–15 млн ₽ | 1–1,3 млн ₽ |
| ч. 17 | Утечка биометрических данных | 15–20 млн ₽ | 1,3–1,5 млн ₽ |
| ч. 18 | Повторная утечка по ч. 16–17 | 1–3% выручки, но не менее 25 млн и не более 500 млн ₽ | 1,5–2 млн ₽ |
Для сравнения: базовые нарушения, не связанные с утечкой, тоже подорожали. Обработка без законного основания (ч. 1) — 150–300 тыс. рублей для юрлица, обработка без надлежащего письменного согласия (ч. 2) — 300–700 тыс., неподача уведомления о начале обработки в Роскомнадзор (ч. 10) — 100–300 тыс. рублей.
Что считается утечкой
Закон говорит о неправомерной передаче (предоставлении, распространении, доступе) персональных данных. На практике под это подпадают не только хакерские атаки:
- Выгрузка клиентской базы уволившимся менеджером.
- Открытый доступ к базе данных, хранилищу файлов или админке без пароля — даже если вы не знаете, скачивал ли кто-то данные.
- Таблица с клиентами, опубликованная по ссылке «доступно всем, у кого есть ссылка».
- Ошибка в коде, из-за которой личный кабинет одного клиента показывает данные другого.
- Утечка через подрядчика: колл-центр, сервис рассылок, разработчика с доступом к боевой базе. Отвечает перед регулятором оператор, то есть вы.
Субъекты и идентификаторы: как считается масштаб
Градация в ч. 12–14 идёт по двум параметрам: число субъектов (людей) и число идентификаторов (уникальных обозначений сведений о человеке — например, телефон, e-mail, номер документа). Применяется тот порог, который достигнут. База на 8 000 клиентов, где у каждого есть телефон, e-mail, адрес и дата рождения, — это 8 000 субъектов, но может быть более 10 000 идентификаторов. Точный порядок подсчёта определён правительством и практикой; для оценки собственного риска разумно смотреть на худший из двух вариантов.
Пример расчёта для небольшой компании
Условный интернет-магазин с выручкой 400 млн рублей в год. В CRM 35 000 клиентов: имя, телефон, адрес доставки, история заказов.
| Сценарий | Квалификация | Возможный штраф юрлица |
|---|---|---|
| Первая утечка всей базы, уведомили РКН вовремя | ч. 13 | 5–10 млн ₽ |
| То же, но об утечке узнали из СМИ и не уведомили | ч. 13 + ч. 11 | 6–13 млн ₽ |
| Повторная утечка в течение срока, когда компания считается подвергнутой наказанию | ч. 15 | 1–3% от 400 млн = 4–12 млн, но не менее 20 млн ₽ |
| Повторная утечка у компании с выручкой 30 млрд ₽ | ч. 15 | 300–900 млн, но не более 500 млн ₽ |
Обратите внимание на третью строку. Для небольшой компании нижний порог в 20 млн рублей оказывается выше, чем 3% выручки. То есть оборотный штраф бьёт по малому бизнесу непропорционально сильно: при выручке 100 млн рублей минимальная санкция за повторную утечку составляет пятую часть годового оборота.
Что такое «повторная» утечка
Повторным считается нарушение, совершённое лицом, которое уже подвергнуто административному наказанию за однородное правонарушение. По общему правилу КоАП лицо считается подвергнутым наказанию со дня вступления постановления в силу и до истечения одного года со дня окончания его исполнения. Практически это означает: после первого штрафа у компании есть период больше года, когда любая следующая утечка станет оборотной.
Уведомление об утечке: 24 и 72 часа
Статья 21 закона № 152-ФЗ обязывает оператора при выявлении неправомерной передачи данных уведомить Роскомнадзор: в течение 24 часов — о самом инциденте, предполагаемых причинах, вреде и принятых мерах, и в течение 72 часов — о результатах внутреннего расследования и лицах, действия которых стали причиной. Нарушение этих сроков — отдельный штраф по ч. 11 до 3 млн рублей, даже если сама утечка небольшая.
- Назначьте заранее, кто принимает решение об уведомлении и кто его подаёт. В момент инцидента искать ответственного некогда.
- Подготовьте шаблон уведомления и проверьте доступ к личному кабинету на портале Роскомнадзора.
- Опишите в регламенте, что считается «выявлением» — сообщение клиента, письмо от исследователя, публикация в Telegram-канале.
- Сохраняйте журналы: без логов вы не сможете ни оценить масштаб, ни отчитаться о расследовании через 72 часа.
Уголовная ответственность
Параллельно с КоАП в конце 2024 года в Уголовный кодекс добавлена статья 272.1 о незаконном использовании и передаче компьютерной информации, содержащей персональные данные. Она касается прежде всего тех, кто незаконно получает, продаёт и распространяет базы, но под неё может попасть и сотрудник, который «слил» клиентскую базу. Для руководителя это аргумент не только для технической защиты, но и для разъяснения сотрудникам последствий.
Меры, которые реально снижают риск
| Мера | От какого сценария защищает | Стоимость для малого бизнеса |
|---|---|---|
| Минимизация: не собирать и не хранить лишнее | Любая утечка становится меньше по масштабу | Почти бесплатно, нужен пересмотр форм и сроков хранения |
| Роли и права доступа в CRM, запрет массовой выгрузки | Слив базы сотрудником | Настройка существующей системы |
| Двухфакторная аутентификация для всех, у кого есть доступ к ПДн | Компрометация паролей | Бесплатно или недорого |
| Журналирование доступа и выгрузок | Невозможность расследовать за 72 часа | Часто есть в CRM, нужно включить и хранить |
| Закрытие тестовых стендов и админок, отдельная тестовая база без реальных ПДн | Открытые базы и стенды | Работа разработчика на несколько дней |
| Договоры с подрядчиками с требованиями к защите и ответственностью | Утечка через подрядчика | Работа юриста |
| Резервные копии с шифрованием | Утечка через бэкап | Небольшая доплата к хранению |
Подробно о защите клиентской базы мы писали в статьях как защитить CRM от утечки и почему права доступа «всем всё» заканчиваются плохо. Сгенерировать стойкие пароли для служебных учётных записей можно в нашем генераторе паролей.
Можно ли снизить штраф
Примечания к статье 13.11 КоАП предусматривают смягчение оборотных штрафов для операторов, которые вкладывались в информационную безопасность и соблюдали требования к защите данных. Условия и порядок применения смягчения детально прописаны в самом КоАП, и рассчитывать на них можно только при наличии документального подтверждения: договоров, актов, расходов на ИБ за предыдущие годы. Вывод практический: хранить документы о затратах на защиту данных стоит уже сейчас, а не после инцидента.
Чек-лист на одну неделю
- Проверьте, подано ли уведомление о начале обработки ПДн в Роскомнадзор и актуально ли оно.
- Составьте перечень систем, где хранятся персональные данные: сайт, CRM, почта, таблицы, мессенджеры, бухгалтерия.
- Для каждой системы отметьте, кто имеет доступ и может ли выгрузить всю базу.
- Включите двухфакторную аутентификацию в CRM, почте и хостинге.
- Удалите данные, срок хранения которых истёк, и закройте публичные ссылки на таблицы.
- Напишите одностраничный регламент реагирования на утечку с контактами и сроками 24/72 часа.
- Пройдите наш чек-лист по 152-ФЗ и обновите политику обработки ПДн.
Сколько стоит утечка помимо штрафа
Штраф — лишь одна строка в цене инцидента. Чтобы оценить риск честно, сложите несколько статей: расследование и восстановление систем силами подрядчиков, простой и потерянные продажи, юридическое сопровождение и возможные иски клиентов, затраты на уведомление пострадавших и поддержку, отток клиентов после публикации новости об утечке. Для небольшой компании эти статьи нередко сопоставимы со штрафом или превышают его. Прикинуть общую сумму для вашего бизнеса можно в нашем калькуляторе ущерба от инцидента — он считает простой, восстановление и штрафы по введённым вами параметрам.
Если хотите проверить, насколько ваш сайт и CRM защищены от утечки, закажите аудит безопасности — начнём с поверхности атаки, доступов и резервных копий. Базовые требования к сайтам по 152-ФЗ собраны в отдельной статье «152-ФЗ: что обязан сделать сайт».
Вопросы и ответы
С какой даты действуют оборотные штрафы?
Поправки в КоАП по закону № 420-ФЗ вступили в силу 30 мая 2025 года. Утечки, произошедшие до этой даты, квалифицируются по прежней редакции.
Штрафуют ли ИП так же, как организации?
Для целей статьи 13.11 индивидуальные предприниматели, как правило, несут ответственность как юридические лица, если в статье не установлено иное. Проверьте примечания к статье в актуальной редакции.
Если утечка произошла по вине подрядчика, кто платит штраф?
Перед регулятором отвечает оператор персональных данных. Взыскать убытки с подрядчика можно по договору, поэтому в договоре должны быть требования к защите данных и ответственность за их нарушение.
Что считать выявлением утечки, с которого идут 24 часа?
Момент, когда оператор узнал о факте неправомерной передачи: от сотрудника, клиента, исследователя безопасности, СМИ или Роскомнадзора. Отсчёт не ждёт окончания внутренней проверки.
Есть ли штраф, если утечка затронула меньше 1 000 человек?
Составы ч. 12–14 начинаются с 1 000 субъектов, но за неуведомление Роскомнадзора, нарушения при обработке и защите данных ответственность наступает и при меньших объёмах.