Раньше разговор про персональные данные заканчивался суммой в несколько десятков тысяч рублей, и бизнес относился к теме соответственно. С 30 мая 2025 года в статье 13.11 КоАП появились новые части, и порядок цифр изменился: утечка базы на тысячу человек обойдётся минимум в три миллиона.
Ниже разбор по частям статьи с суммами для юридических лиц. Индивидуальные предприниматели по этим составам отвечают как юридические лица, это прямо написано в примечании.
Сколько стоит утечка
Размер штрафа зависит от того, сколько людей затронуто.
- От 1 000 до 10 000 человек: от 3 до 5 млн рублей.
- От 10 000 до 100 000 человек: от 5 до 10 млн.
- Больше 100 000 человек: от 10 до 15 млн.
- Специальные категории данных, например о здоровье: от 10 до 15 млн независимо от объёма.
- Биометрия, то есть слепки лица и голоса: от 15 до 20 млн.
Отдельно считается повторное нарушение. Если компанию уже штрафовали по этим частям, второй раз штраф становится оборотным: от 1 до 3 процентов годовой выручки, но не меньше 20 млн и не больше 500 млн. По биометрии и специальным категориям нижняя граница повтора выше, 25 млн.
Два срока, о которых забывают
Сама утечка это только половина истории. Вторая половина в том, что о ней нужно сообщить, и на это даны часы, а не дни. По части 3.1 статьи 21 закона о персональных данных оператор обязан уведомить Роскомнадзор в течение 24 часов с момента выявления инцидента: что произошло, предполагаемые причины, предполагаемый вред, принятые меры и кто отвечает за связь с ведомством. Ещё через 72 часа отправляются результаты внутреннего расследования.
За неуведомление или просрочку есть отдельный штраф: для юридических лиц от 1 до 3 млн рублей. То есть компания может получить две суммы подряд: за утечку и за молчание о ней.
Уведомления подаются через портал персональных данных Роскомнадзора, порядок утверждён приказом ведомства. Практический вывод простой: формы и доступы стоит найти заранее, а не в те самые сутки.
Есть ли вы в реестре операторов
Ещё одна обязанность, про которую вспоминают в последнюю очередь: уведомление о намерении обрабатывать персональные данные. Если на сайте есть форма заявки, вы собираете имена и телефоны, значит обрабатываете. Штраф за неподачу или просрочку для юридических лиц от 100 до 300 тысяч рублей.
Это самая дешёвая из перечисленных проблем и одновременно самая частая: уведомление подаётся один раз и закрывает вопрос.
Что проверить у себя
- Подано ли уведомление в Роскомнадзор и совпадают ли в нём цели обработки с тем, что вы делаете на самом деле.
- Есть ли на сайте политика обработки данных и согласие в формах, причём согласие отдельной галочкой, а не припиской мелким шрифтом.
- Где физически лежат данные. Базы с персональными данными граждан России должны находиться на серверах в России, и это касается не только CRM, но и сервисов рассылок и аналитики.
- Кто имеет доступ к базе клиентов. В CRM менеджер обычно должен видеть свои сделки, а не все: как это настраивается, описано в инструкции про права доступа в CRM Битрикс24.
- Видно ли, кто и когда заходил в портал. Журнал событий показывает входы с датами и адресами, и именно он отвечает на вопрос, была ли утечка через сотрудника.
- Включена ли двухфакторная аутентификация, хотя бы у тех, кто видит всю базу.
- Куда уходят выгрузки. Файл с базой клиентов в личном мессенджере сотрудника это та же утечка, просто пока не обнаруженная.
С чего начать, если руки не доходят
Начните с сайта: он публичный, и проверить его можно за минуту. Наш экспресс-аудит смотрит сайт по четырём направлениям, включая 152-ФЗ, и показывает балл с планом устранения. Это не юридическая экспертиза, но видно, чего не хватает прямо сейчас: политики, согласия, защищённого соединения.
Дальше внутренняя часть: права в CRM, журнал входов, двухфакторная аутентификация, порядок с выгрузками. Это обычная настройка портала, и она же закрывает большую часть рисков, потому что чаще всего данные утекают не через взлом, а через доступ, который кому-то выдали и забыли забрать. Про техническую сторону писали отдельно: что проверить, когда взломали хостинг.
Оговорка
Суммы приведены по статье 13.11 КоАП в редакции на день публикации, сроки по части 3.1 статьи 21 закона о персональных данных. Мы настраиваем системы, а не оказываем юридические услуги: если у вас сложный случай с трансграничной передачей, биометрией или данными о здоровье, решение должен готовить юрист. Техническую часть (доступы, журналы, хранение и выгрузки) поможем привести в порядок.
Статья была полезна?
