Утечка персональных данных — это не только ущерб репутации, но и две отдельные обязанности перед Роскомнадзором с жёсткими сроками. За их нарушение и за саму утечку КоАП РФ устанавливает разные штрафы: это отдельные составы.
Что закон считает утечкой
Утечка — неправомерная или случайная передача, предоставление, распространение персональных данных или доступ к ним, если это нарушило права людей. Закон называет и неправомерную, и случайную передачу — например, по ошибке.
Так это сформулировано в ч. 3.1 ст. 21 152-ФЗ (в редакции от 26.07.2026): обязанность возникает «в случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов персональных данных». Для сайта типичные случаи — заявки из форм, доступные по прямой ссылке, открытая выгрузка заказов, взломанная админка или CRM.
Что сделать за первые 24 часа
В течение 24 часов с момента, когда инцидент выявлен, нужно уведомить Роскомнадзор: что произошло, предполагаемые причины и вред, какие меры уже приняты и кто от компании отвечает за взаимодействие по этому инциденту.
Отсчёт идёт не с момента, когда о проблеме узнало руководство. По ч. 3.1 ст. 21 152-ФЗ срок считается «с момента выявления такого инцидента оператором, уполномоченным органом по защите прав субъектов персональных данных или иным заинтересованным лицом». Поэтому реагируйте сразу, даже если об открытой базе вам написал посторонний человек.
В первом уведомлении по пункту 1 ч. 3.1 ст. 21 сообщают:
- о произошедшем инциденте;
- о предполагаемых причинах, повлекших нарушение прав людей;
- о предполагаемом вреде, нанесённом их правам;
- о принятых мерах по устранению последствий;
- о лице, уполномоченном взаимодействовать с Роскомнадзором по этому инциденту.
Чтобы уложиться в сутки, заранее решите, кто внутри компании принимает сигнал об утечке, кто оценивает объём данных и кто подписывает уведомление.
Что сообщить за 72 часа
В течение 72 часов с момента выявления Роскомнадзору направляют второе уведомление — о результатах внутреннего расследования и, если они установлены, о лицах, действия которых стали причиной инцидента.
Это пункт 2 ч. 3.1 ст. 21 152-ФЗ: «в течение семидесяти двух часов о результатах внутреннего расследования выявленного инцидента, а также предоставить сведения о лицах, действия которых стали причиной выявленного инцидента (при наличии)».
Состав этого дополнительного уведомления раскрывает порядок, утверждённый приказом Роскомнадзора от 14.11.2022 № 187: причины и вред, дополнительно принятые меры, решение о проведении расследования с его реквизитами, а если инцидент вызвали посторонние — в том числе IP-адрес компьютера или устройства и предполагаемое местонахождение этих лиц или устройств. Если итоги расследования готовы раньше, их можно указать уже в первом уведомлении (пункт 4 порядка).
Если дополнительное уведомление не пришло в срок, Роскомнадзор направляет требование, и ответить на него нужно в течение одного рабочего дня (пункты 12 и 13 порядка).
Как уведомить Роскомнадзор
Уведомление подают на бумаге по адресу Роскомнадзора или электронным документом — через специализированную форму на Портале персональных данных Роскомнадзора, после входа через ЕСИА и с электронной подписью.
Так установлено пунктами 5–7 порядка, утверждённого приказом Роскомнадзора от 14.11.2022 № 187. После того как уведомление поступило, на адрес электронной почты из первого уведомления приходит письмо с датой и временем его передачи, а также номером и ключом уведомления (пункт 8). Номер и ключ понадобятся для второго уведомления, если его подают через портал (пункт 9).
Если сведения неполные или некорректные, Роскомнадзор не позднее трёх рабочих дней запрашивает недостающее, и на ответ у оператора тоже три рабочих дня (пункты 10 и 11). Указывайте в уведомлении почту, которую действительно читают.
Нужно ли сообщать в ГосСОПКА
Да, если утечка стала следствием компьютерного инцидента. Оператор обязан взаимодействовать с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак (ГосСОПКА) и информировать её о таких инцидентах.
Обязанность установлена ч. 12 ст. 19 152-ФЗ (в редакции от 26.07.2026): оператор обязан «обеспечивать взаимодействие с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации, включая информирование его о компьютерных инцидентах, повлекших неправомерную передачу (предоставление, распространение, доступ) персональных данных». Порядок взаимодействия определяет федеральный орган исполнительной власти, уполномоченный в области обеспечения безопасности, а полученные сведения он передаёт в Роскомнадзор (ч. 13 ст. 19). Это две разные обязанности: информирование по ст. 19 и уведомление Роскомнадзора по ч. 3.1 ст. 21.
Штраф за неуведомление об утечке
За то, что Роскомнадзор не уведомили или уведомили с опозданием, организации грозит штраф от 1 000 000 до 3 000 000 ₽ по ч. 11 ст. 13.11 КоАП РФ. Это отдельный состав, его сумма не зависит от размера утечки.
Состав — ч. 11 ст. 13.11 КоАП РФ (в редакции от 04.08.2026): «невыполнение или несвоевременное выполнение оператором ... обязанности по уведомлению уполномоченного органа по защите прав субъектов персональных данных в случае установления факта неправомерной или случайной передачи».
Какой штраф компании за саму утечку
Сумма зависит от того, данные скольких людей или скольких идентификаторов утекли: от 3 000 000 до 15 000 000 ₽ для организации, а за утечку специальных категорий или биометрии — до 20 000 000 ₽.
Суммы — по ст. 13.11 КоАП РФ в редакции от 04.08.2026, сверено 21.10.2026:
| Состав | Что утекло | Организация |
|---|---|---|
| ч. 12 ст. 13.11 | данные от 1 000 до 10 000 человек и (или) от 10 000 до 100 000 идентификаторов | от 3 000 000 до 5 000 000 ₽ |
| ч. 13 ст. 13.11 | данные от 10 000 до 100 000 человек и (или) от 100 000 до 1 000 000 идентификаторов | от 5 000 000 до 10 000 000 ₽ |
| ч. 14 ст. 13.11 | данные более 100 000 человек и (или) более 1 000 000 идентификаторов | от 10 000 000 до 15 000 000 ₽ |
| ч. 16 ст. 13.11 | специальные категории персональных данных | от 10 000 000 до 15 000 000 ₽ |
| ч. 17 ст. 13.11 | биометрические персональные данные | от 15 000 000 до 20 000 000 ₽ |
Идентификатор по примечанию 4 к ст. 13.11 — «уникальное обозначение сведений о физическом лице, содержащееся в информационной системе персональных данных оператора». Составы ч. 12–14 применяются, если в действиях нет признаков преступления.
В ч. 10–18 ст. 13.11 «юридическое лицо» — оператор, который не является государственным или муниципальным органом либо некоммерческой организацией (примечание 3), а индивидуальный предприниматель отвечает как юридическое лицо (примечание 1). Поэтому ИП грозят те же суммы, что и компании. Должностные лица по этим частям — только сотрудники госорганов, муниципальных органов и некоммерческих организаций (примечание 2); их суммы и все остальные составы — в статье «Штрафы для сайтов»: составы КоАП и размеры штрафов.
Оборотный штраф за повторную утечку
Если организация уже наказана за утечку и данные утекли снова, штраф считают от выручки: от 1 до 3 % за календарный год перед годом, когда нарушение выявлено, но не менее 20 000 000 и не более 500 000 000 ₽.
Это ч. 15 ст. 13.11 КоАП РФ: она применяется к утечке по ч. 12–14 тому, кто подвергнут наказанию по ч. 12–14, 16–18 или по самой ч. 15. Если в прошлом году компания не продавала товары и услуги, берут выручку за часть текущего года до выявления нарушения. За повторную утечку специальных категорий или биометрии (ч. 18) — тоже от 1 до 3 % выручки, но не менее 25 000 000 и не более 500 000 000 ₽.
По примечанию 5 к ст. 13.11 при назначении оборотного штрафа отягчает ответственность продолжение нарушения несмотря на требование его прекратить (п. 1 ч. 1 ст. 4.3 КоАП РФ), а также то, что компания на момент нарушения уже была наказана по ч. 1–11 ст. 13.11 или по ст. 13.6, 13.12 КоАП РФ. Например, за неуведомление об утечке или за обработку без согласия.
Что снижает штраф
Оборотный штраф назначают в размере одной десятой его минимального размера, но не меньше 15 000 000 и не больше 50 000 000 ₽, если компания вкладывалась в защиту данных, может это подтвердить и не имеет отягчающих обстоятельств. Льгота малого бизнеса к утечкам не применяется.
Условия — в ч. 3.4-2 ст. 4.1 КоАП РФ. Сниженный штраф по ч. 15 и 18 ст. 13.11 назначают, если до вынесения постановления выполнены одновременно три условия:
- Три календарных года до года выявления нарушения оператор ежегодно тратил на информационную безопасность не менее 0,1 % годовой выручки — через организации с лицензией по пункту 1 или 5 ч. 1 ст. 12 Федерального закона «О лицензировании отдельных видов деятельности» либо сам, если у него такая лицензия есть.
- Соблюдение требований к защите персональных данных в информационных системах документально подтверждено в течение 12 месяцев до выявления нарушения.
- Нет отягчающих обстоятельств из примечания 5 к ст. 13.11: продолжения нарушения несмотря на требование его прекратить (п. 1 ч. 1 ст. 4.3) и прежних наказаний по ч. 1–11 ст. 13.11, ст. 13.6 или 13.12.
Сниженный штраф для малых предприятий и социально ориентированных НКО по ст. 4.1.2 КоАП РФ здесь не назначают: по ч. 4 этой статьи её правила не применяются к составам, за которые ИП отвечает как юридическое лицо, а это как раз ч. 8–18 ст. 13.11.
Для всех составов действуют общие смягчающие обстоятельства из ст. 4.2 КоАП РФ. Применительно к утечке это прежде всего добровольное прекращение противоправного поведения, предотвращение вредных последствий правонарушения, добровольное возмещение ущерба или устранение вреда. Эти обстоятельства закон прямо признаёт смягчающими; другие обстоятельства судья или орган, рассматривающий дело, может признать смягчающими по своему усмотрению (ч. 2 ст. 4.2). А продолжение нарушения после требования его прекратить, наоборот, отягчает ответственность по п. 1 ч. 1 ст. 4.3 КоАП РФ.
Как сайту снизить риск утечки
Утечки через сайт часто начинаются с простого: данные из форм уходят по незащищённому каналу, заявки и файлы хранятся в открытой папке, админка доступна всем, а скрипты сторонних сервисов получают больше, чем нужно.
Что стоит сделать заранее:
- держать сайт только на HTTPS с действительным сертификатом;
- не принимать через формы лишние документы и сканы, а принятые файлы хранить вне публичных папок сайта;
- закрыть доступ к админке, выгрузкам и резервным копиям;
- знать, какие сторонние сервисы получают данные посетителей;
- назначить ответственного за уведомление Роскомнадзора и подготовить шаблон первого уведомления.
Бесплатная проверка Закониума находит часть таких проблем снаружи: сайт без HTTPS или с недействительным сертификатом — правилом NC-152-11, формы, которые принимают файлы с документами, — правилом NC-152-18, сторонние сервисы за пределами России, получающие данные посетителей, — правилом NC-152-09.
Материал подготовила редакция Закониума и сверила с текстами норм на дату обновления. Как мы готовим материалы.