Штрафы за персональные данные до 500 млн: что делать бизнесу

С 30 мая 2025 года в России выросли административные штрафы за утечки персональных данных, а уголовная ответственность за их незаконный оборот действует с 11 декабря 2024 года. Штраф для юридического лица за повторную утечку крупного объёма данных теперь может достигать 500 млн рублей. Это уже не угроза только для корпораций — любой предприниматель, который хранит базу клиентов, оператор персональных данных и несёт соответствующую ответственность.

Правовая основа: что изменилось

Поправки в Кодекс об административных правонарушениях вступили в силу 30 мая 2025 года (Федеральный закон от 30.11.2024 № 420-ФЗ). Отдельно Федеральным законом от 30.11.2024 № 421-ФЗ введена уголовная ответственность за незаконный оборот персональных данных (ст. 272.1 УК РФ) — она действует с 11 декабря 2024 года. Базовый закон — Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных».

Изменения в КоАП РФ (ст. 13.11):

• За утечку от 1 000 до 10 000 записей о физлицах: штраф для юрлиц — от 3 до 5 млн рублей.
• За утечку от 10 000 до 100 000 записей: штраф от 5 до 10 млн рублей.
• За утечку свыше 100 000 записей: штраф от 10 до 15 млн рублей.
• При повторной утечке (ч. 15 ст. 13.11 КоАП): для юрлиц — оборотный штраф от 1% до 3% годовой выручки, но не менее 20 млн и не более 500 млн рублей.

Уголовная ответственность введена новой ст. 272.1 УК РФ: незаконный сбор, хранение, распространение специальных категорий ПДн (биометрия, здоровье, религиозные убеждения и др.) при наступлении тяжких последствий — лишение свободы до 10 лет.

Кто такой оператор персональных данных

Оператор ПДн — любое лицо, которое самостоятельно или совместно с другими определяет цели и способы обработки персональных данных (ст. 3 Закона № 152-ФЗ). Под это определение попадают:

• интернет-магазины с формой регистрации или оформления заказа (о технической стороне приёма оплат и чеков — в материале касса для интернет-магазина);
• кафе и рестораны с картами лояльности или бронированием столиков;
• работодатели (хранят данные сотрудников);
• арендодатели (хранят паспортные данные арендаторов);
• салоны красоты, стоматологии, фитнес-клубы с базой клиентов;
• любой бизнес, ведущий рассылки по e-mail или телефону.

Если ваша CRM или таблица Excel содержит ФИО, телефоны, адреса, дату рождения — вы оператор ПДн.

Минимальный набор мер для малого бизнеса

Общий чек-лист обязанностей оператора (уведомление Роскомнадзора, политика, согласия, защита данных, хранение в России) собран в статье 152-ФЗ о персональных данных. Здесь разобраны только действия при утечке.

Особые риски для отдельных видов бизнеса

Интернет-торговля. При передаче данных покупателей в службы доставки оформляется договор поручения обработки ПДн (ст. 6 Закона № 152-ФЗ). Без него вы несёте ответственность за действия курьерской службы с данными клиентов.

Медицина и стоматология. Данные о состоянии здоровья — специальная категория ПДн. Основанием может быть письменное согласие пациента или обработка в медицинских целях медработником, обязанным хранить врачебную тайну. Обработка только в информационных системах, прошедших аттестацию.

HR и кадровая документация. Данные сотрудников обрабатываются на основании трудового договора — отдельное согласие не нужно, но обязателен локальный акт (положение об обработке ПДн сотрудников). Какой пакет документов оформляется при найме и где впервые появляются персональные данные работника, разобрано в материале первый сотрудник: полный пакет документов.

О проверках бизнеса и рисках привлечения к ответственности в 2026 году читайте в материале «Проверки бизнеса в 2026».

Что делать при утечке данных

С 30 мая 2025 года при обнаружении утечки оператор обязан:

1. В течение 24 часов уведомить Роскомнадзор о факте инцидента через портал pd.rkn.gov.ru.
2. В течение 72 часов направить уточнённое уведомление с результатами внутреннего расследования.

Простыми словами: при утечке главное — не тянуть и не прятать. Сначала выясните, какие данные ушли, кто мог до них добраться и закрыт ли доступ. Запишите всё, что удалось установить: эти записи понадобятся и для уведомления, и для внутреннего расследования. Сроки в законе короткие, поэтому готовьтесь заранее: решите, кто в компании отвечает за уведомления, и держите под рукой доступ к порталу Роскомнадзора.

Клиентам, чьи данные затронуты, лучше сообщить, что случилось и что вы уже сделали. Так люди смогут сами защититься, например сменить пароли и быть внимательнее к письмам от незнакомцев.

Потом найдите причину. Общий пароль у нескольких сотрудников, база без ограничения доступа и старая копия на личном телефоне часто становятся источником повторной утечки. Устраните их до того, как проверка начнётся сама.

Уведомление не освобождает от штрафа, но смягчает ответственность: ст. 4.2 КоАП предусматривает уведомление как обстоятельство, учитываемое судом при назначении наказания.

Скрытие утечки отягчает ответственность.

FAQ

Мне нужно согласие на обработку ПДн для ведения книги жалоб и предложений?

Нет. Если посетитель сам вписывает свои данные в книгу — это его волеизъявление. Систематизация этих данных в электронной базе потребует согласия.

Есть ли упрощённый порядок для ИП?

Нет. Требования 152-ФЗ распространяются на ИП и юрлиц одинаково, и по большинству составов о персональных данных — частям 1.1 и 8–18 ст. 13.11 КоАП — ИП отвечает как юридическое лицо, с теми же суммами штрафов.

Нужно ли согласие клиента на передачу его данных в налоговую?

Нет. Обработка для исполнения требований закона идёт без согласия субъекта.

Зарубежный сервис хранит данные на серверах в ЕС — это нарушение?

Нарушение требования о локализации. Допускается последующее хранение в зарубежных системах, но первичная запись должна быть в России.

Может ли Роскомнадзор прийти с проверкой к малому бизнесу?

Да. Проверки проводятся как плановые (план публикуется на сайте РКН), так и внеплановые — по жалобам субъектов ПДн.

Заключение

Штрафы за нарушение законодательства о персональных данных стали реальной угрозой для МСБ после реформы 2025 года. Минимальный пакет мер — уведомление РКН, политика конфиденциальности, согласия и техническая защита — занимает не более 2–3 рабочих дней при наличии шаблонов от регулятора. Если не знаете, с чего начать, откройте статью 152-ФЗ о персональных данных и идите по её чек-листу по порядку. Так проще не пропустить важное.