Штрафы за утечку персональных данных: что действует сейчас и где чаще всего ошибается бизнес

Персональные данные обрабатывает практически любая компания: форма заявки на сайте, база клиентов в CRM, рассылка, запись на прием. При этом требования закона за последние два года ужесточились трижды, а Роскомнадзор перешел к автоматической проверке сайтов — теперь ведомству не нужна жалоба, чтобы обратить на вас внимание.

Разбираем, что уже действует, сколько стоит нарушение и какие ошибки встречаются чаще всего.

Что изменилось: три волны поправок

Суть изменений сводится к четырем пунктам: 

• согласие должно быть активным, конкретным и отдельным; 
• согласия на обработку и на рекламные рассылки разделяются; 
• уведомление Роскомнадзора о начале обработки обязательно; 
• там, где применимо, данные должны обезличиваться.

Ключевой сдвиг в надзоре. Роскомнадзор проверяет сайты в автоматическом режиме, а не только по обращениям. Устаревшая политика или неправильно настроенные чекбоксы могут попасть в поле зрения ведомства без единой жалобы.

Кто считается оператором персональных данных

Практически каждый, кто ведет бизнес.

Оператор — компания, индивидуальный предприниматель или самозанятый, который организует и осуществляет обработку персональных данных.

Персональные данные — любая информация, прямо или косвенно относящаяся к определенному или определяемому физическому лицу.

Обработка — практически любое действие: сбор, запись, систематизация, хранение, уточнение, использование, передача, удаление.

Последнее определение шире, чем принято думать. Обработкой становится даже привязка имени и фамилии к телефонному номеру, полученному во время звонка, если этот контакт затем сохраняется в CRM. Достаточно одной формы обратной связи на сайте, чтобы обязанности оператора возникли в полном объёме.

Отдельно стоит отметить: статус индивидуального предпринимателя не дает послаблений. Предприниматели отвечают по тем же правилам, что и организации, включая оборотные штрафы.

Штрафы за утечку персональных данных

Размер зависит от объема пострадавших записей — шкала градуированная.

Отдельные, более жесткие ставки предусмотрены за незаконную передачу биометрических данных третьим лицам: для индивидуальных предпринимателей и юридических лиц — от 15 до 20 млн рублей за первое нарушение.

Оборотные штрафы за повторное нарушение

Здесь начинается принципиально другая математика.

При повторной утечке персональных данных штраф рассчитывается от годовой выручки компании: от 1 до 3 %, но не менее 20 млн рублей и не более 500 млн рублей.

Для повторной утечки биометрических и иных специальных категорий данных нижняя планка выше — не менее 25 млн рублей. Та же минимальная граница действует при повторной незаконной передаче биометрии третьим лицам, с максимумом в 500 млн рублей.

Практический вывод: первое нарушение — это серьезные, но подъемные суммы. Второе способно оказаться сопоставимым с годовым результатом бизнеса, поэтому реакция на первый инцидент важнее, чем кажется.

Штрафы за неуведомление Роскомнадзора

Помимо утечек, ответственность предусмотрена за более обыденное нарушение — непредставление или несвоевременное представление уведомления о начале обработки данных. Это самостоятельный состав, и он не требует никакой утечки: достаточно того, что вы обрабатываете данные, не уведомив ведомство.

Локализация: почему это проверяют в первую очередь

Требование записывать и хранить персональные данные граждан России на серверах в России — не новое, но остается одним из самых контролируемых.

В марте 2026 года Таганский суд Москвы оштрафовал сервис Duolingo на 2 млн рублей: компания не обеспечила хранение данных российских пользователей на территории страны.

Типичные точки нарушения локализации у российского бизнеса:

• клиентская база в зарубежных облачных сервисах и таблицах;
• формы обратной связи, отправляющие данные на иностранные серверы;
• иностранные CRM, сервисы рассылок и аналитики;
• подрядчики, работающие с вашей базой на своей зарубежной инфраструктуре.

Обратите внимание на последний пункт: ответственность лежит на операторе, а не на подрядчике. Передав базу на обработку, вы не передаете вместе с ней обязанности по закону.

Какие документы должны быть

На сайте, в открытом доступе:

• политика обработки персональных данных;
• согласие на обработку персональных данных;
• согласие на получение рекламы — обязательно отдельным документом.

Внутри компании, без публикации:

• приказ о назначении ответственного за организацию обработки данных;
• приказ о допуске сотрудников к персональным данным;
• иные локальные акты, описывающие порядок обработки.

Важный момент: универсальной типовой политики не существует. Документ описывает реальные процессы конкретной компании — какие данные собираются, откуда, зачем, где хранятся и кому передаются. Скачанный шаблон, не совпадающий с фактическими процессами, при проверке работает против вас.

Отдельная тема — правовой статус самой клиентской базы. Она может быть объектом смежных прав как база данных, и это самостоятельный уровень защиты, не отменяющий обязанностей оператора. Соотношение этих режимов разобрано в материале «Правовая охрана программ и данных».

Самопроверка сайта: пять пунктов

• Политика обработки актуальна и соответствует действующей редакции закона.
• Заявленные цели сбора данных совпадают с реальными процессами компании, а не переписаны из шаблона.
• Чекбоксы согласия не проставлены по умолчанию — согласие должно быть активным действием пользователя.
• Согласие на рекламу оформлено отдельно от согласия на обработку данных.
• Тексты согласий видны и доступны пользователю до того, как он отправляет форму.

Семь шагов для снижения рисков

1. Составьте карту данных. Откуда поступают, где хранятся, кому передаются, как долго живут. Без этой карты остальные шаги делаются вслепую.
2. Пересмотрите поля форм. По каждому задайте вопрос, зачем он нужен. Лишние поля — лишние данные и лишний риск.
3. Разделите согласия на обработку данных и на рекламные рассылки.
4. Проверьте уведомление в Роскомнадзор и при необходимости актуализируйте его: цели и состав данных со временем меняются.
5. Назначьте ответственного и закройте избыточные доступы к базам — большинство утечек происходит изнутри.
6. Подготовьте сценарий на случай утечки заранее: кто что делает, кого уведомляет и в какие сроки. В момент инцидента импровизировать некогда.
7. Сверьте документы с реальностью — как фактически работают сайт, CRM и подрядчики, и действительно ли данные хранятся в России.

Частые ошибки

Согласие внутри договора или оферты. С сентября 2025 года это самостоятельное нарушение: согласие должно быть отдельным документом.

Одна галочка на все сразу. Обработка данных и рекламные рассылки требуют раздельных согласий.

Предустановленные чекбоксы. Согласие по умолчанию согласием не является.

Шаблонная политика с чужого сайта. Она описывает чужие процессы и при проверке расходится с вашими.

Отсутствие уведомления Роскомнадзора. Отдельный состав, не связанный с утечкой.

Хранение базы в зарубежных сервисах. Нарушение локализации — то, что проверяется в первую очередь.

Сбор избыточных данных. Каждое лишнее поле формы увеличивает и объем обязанностей, и потенциальный масштаб утечки.

Часто задаваемые вопросы

Когда подавать уведомление в Роскомнадзор — до начала обработки или после?

До. Правильная последовательность: подготовка документов и подача уведомления, затем фактическая обработка данных.

Нужно ли дожидаться подтверждения от Роскомнадзора?

Отдельного разрешения не требуется. Ведомство проверяет уведомление и вносит сведения в реестр операторов, наличие записи можно проверить самостоятельно на сайте Роскомнадзора.

Компания работает несколько лет, а уведомление не подано. Будет ли штраф при подаче?

Возможны и предупреждение, и штраф — за неподачу либо за несвоевременную подачу. Но подавать уведомление нужно в любом случае: отсрочка только увеличивает риск.

Можно ли хранить персональные данные в зарубежных облачных таблицах?

Как основное хранилище данных граждан России — нет: информация размещается на зарубежных серверах, что нарушает требование локализации и правила трансграничной передачи. Ограничение не действует, если данные обезличены либо персональные данные в этих таблицах не хранятся.

Различаются ли требования для доменов .ru и .com?

Нет. Значение имеет не доменная зона, а то, какие данные фактически собираются и как обрабатываются.

Нужно ли согласие на рекламу для автоматического уведомления о заказе?

Нет, если сообщение отправляется в рамках исполнения договора. Рекламной рассылкой такое уведомление не является.

Клиент позвонил сам, форму не заполнял. Возникают ли обязанности оператора?

Если контакт использован только в рамках разговора — обработка на этом и заканчивается. Но как только номер связывается с именем и сохраняется в CRM, это самостоятельная обработка персональных данных со всеми вытекающими требованиями.

Что считается утечкой с точки зрения закона?

Точного законодательного определения нет, оценка строится на совокупности норм. Как правило, речь о неправомерном или случайном доступе к персональным данным, который повлек или мог повлечь их неправомерное предоставление, распространение, копирование, изменение или уничтожение. На практике утечки выявляют по появлению баз в сети или по фиксации несанкционированного доступа внутренними системами.

Нужно ли уведомлять о трансграничной передаче, если сайт работает и на зарубежную аудиторию?

Если данные действительно передаются за границу — да, с соблюдением установленного порядка. Само наличие англоязычной версии сайта трансграничной передачей не является. При этом база в любом случае должна храниться на территории России.

Политика обработки и согласие на обработку — это одно и то же?

Нет, это два разных документа с разным назначением, и при обработке персональных данных оба должны быть на сайте.

Статья проверена экспертом

Эксперт: Александра Морозова

Эксперт в области: Товарные знаки и знаки обслуживания

Комментарий эксперта:

Требования к работе с персональными данными ужесточились трижды за два года, и все изменения уже действуют: с мая 2025 года в КоАП появились отдельные составы за утечку с оборотными штрафами за повторное нарушение, с сентября 2025 года согласие оформляется исключительно отдельным документом, а требование хранить данные россиян в России действовало и раньше — и проверяется в первую очередь. Экономика нарушений устроена так, что первый инцидент обходится в миллионы, а второй считается уже от выручки: от 1 до 3 %, но не менее 20 млн рублей, а для биометрии — не менее 25 млн. При этом штрафуют не только за утечки: неподанное уведомление Роскомнадзора — самостоятельный состав, для которого никакого инцидента не требуется. Проверка сайтов перешла в автоматический режим, поэтому расчет на то, что без жалобы никто не придёт, больше не работает. Вывод: начните с карты данных и сверки документов с реальными процессами — большинство нарушений обнаруживается именно на этом стыке, когда политика описывает одно, а сайт, CRM и подрядчики работают иначе.