Штрафы за утечку персональных данных после 30 мая 2025 года

Что изменилось 30 мая 2025 года

С 30 мая 2025 года штрафы за утечку персональных данных стали зависеть от её масштаба и категории данных. Изменения внесены в статью 13.11 КоАП РФ законом № 420-ФЗ.

До этого отдельных составов именно за утечку в КоАП не было. Теперь для юридических лиц установлены отдельные составы: за утечку в зависимости от числа субъектов, за утечку специальных категорий и биометрии, за повторную утечку и за неуведомление Роскомнадзора.

Штрафы за утечку персональных данных: таблица

Размер штрафа для юрлица за утечку определяется числом субъектов или числом идентификаторов, которые утекли, и категорией данных. Например, первая ступень — это 1 000–10 000 субъектов или 10 000–100 000 идентификаторов. Основные суммы собраны в таблице.

Суммы — для юрлиц; для каждой ступени закон указывает и пороговое число идентификаторов. Суммы для должностных лиц, граждан и ИП отличаются — перед принятием решений сверяйте их с актуальной редакцией КоАП. Чтобы прикинуть порядок возможных сумм для своей компании, воспользуйтесь калькулятором штрафов.

Обратите внимание на логику шкалы: штраф растёт вместе с числом субъектов, чьи данные утекли. Значит, каждая копия клиентской базы или папка с договорами, которая лежит в открытом виде, увеличивает не только вероятность инцидента, но и его возможную цену. Чем меньше данных хранится и передаётся в открытом виде, тем меньше их может оказаться в утечке.

Повторная утечка и оборотный штраф

За повторную утечку компании грозит оборотный штраф: от 1 до 3 % выручки, но не менее 20 млн и не более 500 млн ₽. Для крупного бизнеса это наиболее чувствительный состав.

Нижняя граница в 20 млн ₽ означает, что даже для небольшой компании повторный инцидент обходится дороже любой первой утечки из таблицы. Поэтому после первого инцидента важно не только устранить причину, но и сократить объём персональных данных, который вообще находится в обороте: чем меньше мест, где лежат данные в открытом виде, тем ниже вероятность повторения.

Неуведомление Роскомнадзора

Если компания не сообщила Роскомнадзору об утечке, это отдельное нарушение со штрафом от 1 до 3 млн ₽. Он может добавиться к штрафу за саму утечку.

Порядок уведомления и сведения, которые нужно передать, описаны на портале персональных данных Роскомнадзора. Готовый внутренний регламент реагирования на инциденты помогает уложиться в сроки: ответственные, каналы связи и шаблон уведомления лучше определить заранее.

Уголовная ответственность: статья 272.1 УК РФ

С 11 декабря 2024 года статья 272.1 УК РФ устанавливает уголовную ответственность за незаконные использование и передачу компьютерной информации с персональными данными, полученной путём неправомерного доступа или иным незаконным путём. Она касается уже не компании, а конкретных людей.

Будут ли действия квалифицированы по этой статье, зависит от обстоятельств, прежде всего от того, как данные были получены. Такие вопросы оценивает юрист по материалам конкретного дела.

Обычная передача документов клиентов в сторонний ИИ-сервис — это прежде всего вопрос 152-ФЗ: нужны правовое основание, соблюдение конфиденциальности и, для зарубежных сервисов, правил трансграничной передачи. Нарушения здесь грозят административной ответственностью по статье 13.11 КоАП РФ. Поэтому практический вывод для компании простой: данные клиентов уходят только туда, где это предусмотрено, а в ИИ — в обезличенном виде.

Как обезличивание снижает риски

Обезличивание уменьшает количество персональных данных, которые могут утечь. Документ, в котором вместо имён стоят токены [ФИО_1], при утечке без таблицы соответствий не позволяет определить, о ком он.

Это особенно важно для работы с ИИ. Когда сотрудник вставляет договор в чат с нейросетью, копия текста оказывается у стороннего сервиса. Если текст обезличен, у сервиса остаются условия договора, но не данные клиента.

Важно понимать границы. Для того, у кого хранится таблица соответствий, токены остаются персональными данными, поэтому таблицу нужно защищать не хуже исходных документов. Самый строгий вариант — когда таблица и ключи хранятся только на устройстве пользователя, как в режиме «Ключи у вас». Правовая сторона разобрана в гайде обезличивание и псевдонимизация по 152-ФЗ.

В LEXARIS сервис находит более 116 типов персональных данных, а проверка «можно / нельзя отправлять» при отправке через LEXARIS не даёт отправить непроверенный документ; она снижает риск, но не заменяет просмотр. Облачный режим работает на серверах в России: таблицы соответствий шифруются AES‑256‑GCM, передача защищена TLS; подробнее — в разделе соответствие 152-ФЗ.

Отдельный вопрос — зарубежные ИИ-сервисы. Отправка документа с данными клиентов такому сервису может рассматриваться как трансграничная передача персональных данных по статье 12 закона № 152-ФЗ, с соответствующими требованиями. Обезличивание перед отправкой снижает этот риск, но не снимает автоматически всех обязанностей: оценивайте ситуацию вместе с юристом. Кроме того, закон № 242-ФЗ требует, чтобы сбор персональных данных граждан России вёлся с использованием баз данных, находящихся в России, — это стоит учитывать при выборе сервисов, где хранятся исходные документы.

Чек-лист для компании

Снизить риск штрафов помогает несколько последовательных шагов. Их можно начать выполнять без больших бюджетов.

1. Составьте перечень мест, где хранятся и обрабатываются персональные данные, включая почту, общие папки и ИИ-сервисы, которыми пользуются сотрудники.
2. Оцените масштаб: сколько субъектов в каждой базе и есть ли специальные категории или биометрия. От этого зависит размер возможного штрафа.
3. Уберите персональные данные там, где они не нужны для задачи: в тестовых базах, аналитике, запросах к ИИ.
4. Введите правило: документы с данными клиентов отправляются в ИИ только в обезличенном виде. Порядок работы описан в гайде как отправить документ клиента в ИИ без персональных данных.
5. Храните таблицы соответствий и ключи отдельно от обезличенных документов и ограничьте к ним доступ.
6. Подготовьте регламент реагирования на утечку и шаблон уведомления Роскомнадзора.
7. Фиксируйте действия по обезличиванию в реестре — это пригодится при проверке.