Оборотные штрафы за утечку персональных данных в 2026

Коротко: Оборотный штраф за утечку персональных данных – это штраф от 1% до 3% годовой выручки компании, но не менее 20 миллионов рублей (25 миллионов – за специальные категории и биометрию) и не более 500 миллионов рублей. Он применяется только за повторную утечку.

С 30 мая 2025 года в России действуют новые правила ответственности за утечки персональных данных. Законодатель ввёл так называемый оборотный штраф за персональные данные – механизм, который привязывает размер наказания не к фиксированной сумме, а к годовой выручке компании. Для бизнеса это принципиальное изменение: если раньше утечка базы клиентов грозила относительно предсказуемым штрафом, то теперь сумма может исчисляться десятками и сотнями миллионов рублей.

В этой статье разберём, как работает оборотный штраф за персональные данные в 2026 году, когда он применяется, как рассчитывается и что сделать, чтобы не попасть под его действие. Материал написан для владельцев сайтов и бизнеса – без юридического жаргона, но с точными ссылками на нормы закона.

Что такое оборотный штраф за утечку персональных данных

Оборотный штраф – это наказание, которое рассчитывается как процент от выручки компании за предыдущий год. В отличие от фиксированных штрафов, которые устанавливаются конкретной суммой, оборотный штраф за персональные данные напрямую зависит от масштаба бизнеса: чем больше зарабатывает компания, тем больше ей придётся заплатить за утечку.

Законодательная база: 420-ФЗ и часть 15 статьи 13.11 КоАП

Оборотные штрафы за утечку персональных данных введены Федеральным законом № 420-ФЗ от 30.11.2024, который вступил в силу 30 мая 2025 года. Основная норма – часть 15 статьи 13.11 Кодекса об административных правонарушениях (КоАП РФ).

До 2025 года ответственность за утечки регулировалась общими нормами статьи 13.11 КоАП с фиксированными суммами. Закон 420-ФЗ дополнил её новыми частями 12–18: в них появились отдельные штрафы за утечки, а части 15 и 18 предусматривают именно оборотный штраф.

Ключевые параметры оборотного штрафа

Оборотный штраф за персональные данные составляет от 1% до 3% годовой выручки компании. При этом закон устанавливает жёсткие нижнюю и верхнюю границы:

• минимальный размер – 20 миллионов рублей (если повторно утекли специальные категории данных или биометрия – 25 миллионов, часть 18 статьи 13.11);
• максимальный размер – 500 миллионов рублей.

То есть даже если 1% от выручки компании составляет, скажем, 5 миллионов рублей, штраф всё равно будет не меньше 20 миллионов. А если 3% выручки превышают 500 миллионов, заплатить придётся только 500 миллионов.

Когда применяется оборотный штраф

Оборотный штраф за персональные данные – это не наказание за первую утечку. Он назначается только за повторную утечку – если компания уже привлекалась к ответственности за утечку по частям 12–14 или 16–18 статьи 13.11 КоАП и снова её допустила.

За первую утечку действует фиксированный штраф по статье 13.11 КоАП – в зависимости от числа затронутых людей от 3 до 15 миллионов рублей (для специальных категорий и биометрии – до 20 миллионов). А вот если утечка повторная (компанию уже наказывали за утечку), в дело вступает оборотный штраф за персональные данные.

Как рассчитывается оборотный штраф за персональные данные

Механизм расчёта вызывает больше всего вопросов у бизнеса. Разберём по шагам.

Что идёт в базу расчёта

Для расчёта берётся совокупная сумма выручки компании за календарный год, предшествующий году, в котором было выявлено нарушение. Учитывается выручка от реализации всех товаров, работ и услуг.

От чего зависит процент

Закон не устанавливает фиксированную ставку – суд выбирает процент в диапазоне 1–3% в зависимости от обстоятельств:

• масштаб утечки – сколько записей затронуто;
• характер утёкших данных – обычные или специальные категории (здоровье, биометрия, национальность);
• действия компании после утечки – уведомила ли Роскомнадзор вовремя, приняла ли меры;
• причинённый ущерб – пострадали ли субъекты данных.

Есть и отдельная льгота: если компания три года подряд тратила на информационную безопасность не менее 0,1% выручки и соблюдала требования к защите данных, штраф может быть снижен до 15–50 миллионов рублей.

Примеры расчёта

Пример 1. Компания с годовой выручкой 1 миллиард рублей допустила повторную утечку базы клиентов. Суд назначил штраф в размере 1% выручки. Расчёт: 1 млрд × 1% = 10 миллионов рублей. Но так как минимальный порог – 20 миллионов, компания заплатит 20 миллионов.

Пример 2. Крупный маркетплейс с выручкой 50 миллиардов рублей допустил повторную утечку. Суд назначил 2% выручки. Расчёт: 50 млрд × 2% = 1 миллиард рублей. Но максимальный порог – 500 миллионов, поэтому штраф составит 500 миллионов.

Отличие оборотного штрафа от фиксированных штрафов по 13.11 КоАП

Чтобы не путаться, важно разграничивать два вида штрафов внутри статьи 13.11 КоАП.

Статья 13.11 КоАП – фиксированные штрафы

Эта статья действует давно и охватывает различные нарушения в сфере персональных данных: обработка без согласия, непредоставление уведомления в Роскомнадзор, невыполнение требований о блокировке и так далее. Штрафы здесь фиксированные, но за последние годы они существенно выросли.

С 30 мая 2025 года размеры этих штрафов увеличены: например, за обработку данных с нарушениями организации грозит 150–300 тысяч рублей, за неподачу уведомления в Роскомнадзор – 100–300 тысяч, за первую утечку – от 3 до 15 миллионов в зависимости от её масштаба.

Часть 15 статьи 13.11 КоАП – оборотный штраф

Эти нормы действуют с 30 мая 2025 года и касаются только повторных утечек персональных данных:

• повторная утечка обычных данных – не менее 20 млн рублей (часть 15);
• не менее 25 млн рублей – если повторно утекли специальные категории данных или биометрия (часть 18).

Таблица сравнения

Уголовная ответственность за утечки персональных данных

Помимо административных штрафов, за утечки персональных данных предусмотрена и уголовная ответственность. Это важно понимать, потому что оборотный штраф за персональные данные – не единственная угроза.

Статья 272.1 УК РФ – новая норма

С 11 декабря 2024 года действует статья 272.1 Уголовного кодекса. Она устанавливает ответственность за незаконное использование, передачу, сбор или хранение компьютерной информации с персональными данными, полученной незаконным путём.

Наказание по части 1 статьи 272.1 УК:

• штраф до 300 000 рублей;
• принудительные работы;
• лишение свободы до 4 лет.

Уголовная ответственность наступает, если в действиях есть состав преступления – например, сотрудник слил базу клиентов за вознаграждение.

Статья 137 УК РФ – классическая норма

Статья 137 УК РФ действует давно и касается незаконного сбора или распространения сведений о частной жизни лица. Она тоже может применяться при утечках персональных данных, особенно если речь идёт о специальных категориях.

Статья 274 УК РФ – ответственность сотрудника

Если утечка произошла из-за того, что сотрудник нарушил правила эксплуатации систем хранения или обработки персональных данных, и это привело к уничтожению, блокированию или копированию данных, при причинении крупного ущерба возможна ответственность по статье 274 УК РФ.

Как уведомлять Роскомнадзор об утечке

Правильное поведение после утечки может существенно повлиять на размер наказания. Если компания оперативно уведомит Роскомнадзор и примет меры, это может смягчить ответственность.

Сроки уведомления

Порядок уведомления Роскомнадзора об утечке установлен приказом РКН от 14.11.2022 № 187. Сроки жёсткие:

• 24 часа с момента выявления инцидента – на первичное уведомление о факте утечки;
• 72 часа с момента выявления инцидента – на уведомление с результатами внутреннего расследования.

Что должно быть в уведомлении

Первичное уведомление должно содержать:

• информацию о факте утечки;
• дату и время обнаружения;
• предположительное количество затронутых субъектов;
• контактные данные ответственного лица.

Детальное уведомление включает результаты внутреннего расследования: причины утечки, виновных лиц, принятые меры.

Последствия неуведомления

Если компания не уведомила Роскомнадзор в установленные сроки, это самостоятельное нарушение. За него предусмотрен отдельный штраф по статье 13.11 КоАП – от 1 до 3 миллионов рублей для организаций. Кроме того, сокрытие утечки может учитываться как отягчающее обстоятельство при назначении штрафа за саму утечку.

Что делать, чтобы не получить оборотный штраф за персональные данные

Главный способ избежать оборотного штрафа за персональные данные – не допускать утечек. Но полностью исключить риск невозможно, поэтому важно выстроить систему защиты.

1. Проведите аудит обработки персональных данных

Начните с того, чтобы понять, какие персональные данные вы собираете, где храните, кто имеет к ним доступ и как они передаются. Для этого нужно:

• составить перечень всех баз данных с персональными данными;
• определить правовые основания для обработки (согласие, договор, закон);
• проверить, есть ли уведомление в Роскомнадзор о начале обработки.

Уведомление подаётся через портал pd.rkn.gov.ru или Госуслуги. Форма утверждена приказом РКН от 28.10.2022 № 180, срок рассмотрения – 30 дней.

2. Приведите в порядок согласия на обработку

Согласие на обработку персональных данных – это базовый документ. По статье 9 152-ФЗ оно должно быть конкретным, предметным, информированным, сознательным и однозначным.

Специальные категории данных (здоровье, национальность, судимость) по статье 10 152-ФЗ обрабатывать нельзя, кроме случаев ч. 2 ст. 10; для сайта обычно это согласие в письменной форме. Для публикации данных (неопределённому кругу лиц) нужно отдельное согласие на распространение по статье 10.1 152-ФЗ; оно оформляется отдельно от согласия на обработку. Для передачи конкретному партнёру нужно основание по ст. 6 (обычно согласие с указанием получателя).

3. Настройте защиту информации

Технические меры защиты – это требование закона. В зависимости от уровня защищённости персональных данных нужно применять соответствующие средства криптографической защиты, системы обнаружения вторжений и другие меры.

4. Разработайте план реагирования на инциденты

У вас должен быть готовый алгоритм действий на случай утечки:

• кто отвечает за реагирование;
• как фиксируется факт утечки;
• кто и как уведомляет Роскомнадзор в 24-часовой срок;
• как проводится внутреннее расследование.

5. Обучите сотрудников

Большинство утечек происходит по вине сотрудников: кто-то пересылает базу на личную почту, кто-то теряет ноутбук, кто-то становится жертвой фишинга. Регулярное обучение и контроль доступа снижают риски.

Особенности для операторов с иностранными элементами

Если ваш бизнес передаёт персональные данные за границу – например, использует иностранные облачные сервисы или рекламные платформы, – есть дополнительные риски.

Передача данных в страны с «адекватной защитой»

Перечень стран с «адекватной защитой персональных данных» утверждён приказом РКН от 16.09.2026 № 253 (действует с 30.10.2026, заменил приказ № 128). В перечень входят, в частности, все страны Евросоюза, Беларусь, Казахстан, Киргизия, Китай, Индия, Австралия, Канада, Республика Корея; США и Украины в нём нет.

США в этом перечне нет, а страны Евросоюза – есть, Украины в новом перечне тоже нет. Перед передачей данных проверяйте актуальную редакцию. В американские сервисы (Google и др.) данные можно передавать только после уведомления Роскомнадзора и по истечении 10 рабочих дней, если он не запретит передачу (ст. 12 152-ФЗ). Но сначала данные граждан РФ должны записываться в базу в России (ч. 5 ст. 18 в ред. 23-ФЗ): уведомление по ст. 12 этого не заменяет.

Cookie и персональные данные

Cookie считаются персональными данными, если вместе с другими данными позволяют определить человека. За обработку данных без согласия – в том числе за сбор cookie – организации грозит штраф 150–300 тысяч рублей, ИП – 50–100 тысяч (ч. 1 ст. 13.11 КоАП), за повторное нарушение организации – до 500 тысяч.

Единой прямой нормы про формат cookie-баннера в 152-ФЗ нет, практика ещё формируется. Но для чувствительных случаев – например, передачи данных рекламным партнёрам – рекомендуется использовать активное согласие (галочка), а не молчаливое согласие по умолчанию.

Ответственность за нарушения при обработке биометрии

Биометрические персональные данные – это отдельная категория с особыми требованиями. По статье 11 152-ФЗ они обрабатываются только с письменного согласия субъекта, за исключением случаев, прямо предусмотренных законом.

Что относится к биометрии

К биометрическим персональным данным относятся физиологические и биологические характеристики человека: отпечатки пальцев, изображение лица, голос, радужная оболочка глаза и другие.

Требования к обработке

Оператор не вправе отказать человеку в услуге, если он отказывается дать биометрию или согласие на её обработку, когда по закону такое согласие не обязательно. Это правило действует с 1 сентября 2022 года (ч. 3 ст. 11 152-ФЗ, 266-ФЗ).

Особенности для несовершеннолетних

Для обработки биометрии и специальных категорий данных несовершеннолетних нужно согласие в письменной форме, которое дают родители или иные законные представители (ст. 10 и 11 152-ФЗ, ст. 26 и 28 ГК).

Сроки хранения персональных данных

Оборотный штраф за персональные данные – не единственная проблема. Даже если утечки не было, нарушение сроков хранения данных может привести к штрафам по статье 13.11 КоАП.

Согласие на обработку

Согласие на обработку персональных данных как документ хранится 3 года с момента истечения или отзыва (перечень, приказ Росархива № 236).

Документы по личному составу

Архивные документы по личному составу хранятся:

• 50 лет – если оформлены после 1 января 2003 года;
• 75 лет – если оформлены раньше.

Это требование установлено статьёй 22.1 125-ФЗ «Об архивном деле».

Уничтожение данных после отзыва согласия

После отзыва согласия оператор обязан уничтожить персональные данные в течение 30 дней (статья 21 152-ФЗ). Если уничтожить данные в этот срок невозможно, их блокируют и уничтожают не позднее чем через 6 месяцев (ч. 6 ст. 21 152-ФЗ).

Специальные категории персональных данных

Специальные категории – это данные о здоровье, национальности, политических взглядах, религиозных убеждениях, судимости. Их обработка требует особой осторожности.

Требования к обработке

Обработка специальных категорий запрещена, кроме случаев, перечисленных в ч. 2 ст. 10 152-ФЗ; для сайта обычно это согласие в письменной форме. Согласие должно быть именно на обработку специальных категорий, а не общее согласие на обработку всех данных.

Риски при утечке

За утечку специальных категорий данных предусмотрен отдельный, более высокий штраф (ч. 16 ст. 13.11 КоАП). Если в утёкшей базе были данные о здоровье или другие чувствительные сведения, штраф выше уже за первую утечку – от 10 до 15 миллионов рублей (за биометрию – от 15 до 20 миллионов), а при повторной утечке нижняя граница оборотного штрафа – 25 миллионов вместо 20.

Как вести себя при утечке: пошаговый алгоритм

Если утечка всё-таки произошла, действовать нужно быстро и по плану. От ваших действий зависит, насколько серьёзным будет наказание.

Шаг 1. Зафиксируйте факт утечки

Определите дату и время обнаружения, масштаб утечки, какие данные затронуты. Сохраните все логи и технические данные – они понадобятся для расследования.

Шаг 2. Уведомите Роскомнадзор в течение 24 часов

Первичное уведомление подаётся через личный кабинет на портале Роскомнадзора. Укажите факт утечки, дату обнаружения, предположительное количество затронутых субъектов.

Шаг 3. Проведите внутреннее расследование

Выясните причины утечки, найдите виновных, оцените ущерб. Результаты расследования нужно предоставить в Роскомнадзор в течение 72 часов с момента выявления инцидента (а не с момента первого уведомления).

Шаг 4. Примите меры по устранению последствий

Заблокируйте доступ к утёкшим данным, измените пароли, усильте защиту. Если возможно, уведомьте затронутых субъектов.

Шаг 5. Подготовьтесь к проверке

Роскомнадзор проведёт проверку. Соберите все документы: политику обработки персональных данных, согласия, приказы о назначении ответственных, журналы регистрации операций.

Судебная практика и перспективы

Оборотный штраф за персональные данные – новый механизм (действует с 30.05.2025), и судебная практика по нему ещё только формируется.

Что можно ожидать от судов

Суды будут оценивать:

• степень вины компании;
• принятые меры для предотвращения утечки;
• действия после утечки;
• масштаб и характер утёкших данных.

Логично предположить, что компании, которые оперативно уведомили Роскомнадзор, провели расследование и приняли меры, могут рассчитывать на процент ближе к минимальному, а сокрытие утечки или небрежное отношение к защите данных – на санкции ближе к максимальным. Но подтвердить это практикой пока нельзя – её ещё нет.

Законодательные перспективы

Законодательство об ответственности за утечки продолжает меняться, поэтому перед важными решениями сверяйтесь с актуальной редакцией статьи 13.11 КоАП.

Частые вопросы об оборотных штрафах

Что запомнить

Оборотный штраф за персональные данные – это новый и серьёзный инструмент ответственности, который действует в России с 30 мая 2025 года. Он составляет от 1% до 3% годовой выручки компании, но не менее 20 миллионов (25 миллионов – при утечке специальных категорий и биометрии) и не более 500 миллионов рублей. Применяется за повторные утечки персональных данных.

Чтобы не попасть под действие оборотного штрафа за персональные данные, нужно:

1. Провести аудит обработки персональных данных и устранить нарушения.
2. Привести в порядок согласия, включая согласия на распространение данных.
3. Настроить техническую защиту информации.
4. Разработать план реагирования на инциденты.
5. Обучить сотрудников правилам работы с персональными данными.
6. Соблюдать сроки уведомления Роскомнадзора об утечках – 24 часа на первичное, 72 часа на детальное.

Если утечка уже произошла, действуйте быстро и прозрачно: уведомите Роскомнадзор, проведите расследование, примите меры. Это может существенно снизить размер штрафа.

Помните: оборотный штраф за персональные данные – не единственная угроза. За утечки предусмотрена и уголовная ответственность по статье 272.1 УК РФ – до 4 лет лишения свободы. Поэтому защита персональных данных – это критически важная часть управления бизнесом в 2026 году.

На что опираемся

• КоАП РФ – ст. 13.11 (административная ответственность за нарушения при обработке персональных данных)
• Федеральный закон № 420-ФЗ от 30.11.2024 (введение оборотных штрафов)
• УК РФ – ст. 272.1 (незаконное использование компьютерной информации с персональными данными)
• Приказ РКН от 14.11.2022 № 187 (порядок уведомления об утечке)

Что сделать дальше

1. Проверьте свой сайт бесплатно – найдём нарушения 152-ФЗ и покажем, какие штрафы за них грозят.
   Проверить бесплатно
2. Соберите документы под свою компанию – политика, отдельное согласие по 156-ФЗ и cookie-политика, реквизиты по ИНН. Политика – бесплатно. Перейти к генератору →
3. Пришло требование Роскомнадзора или случай сложный? Опишите задачу – посмотрим и скажем, чем можем помочь.