С 30 мая 2025 года в России действуют оборотные штрафы за утечки персональных данных, а к 2026 году практика их применения уже сложилась. Одновременно ужесточились требования к уведомлению Роскомнадзора, локализации баз данных и работе с трансграничной передачей информации. Разбираем, что изменилось в 152-ФЗ и КоАП и на что владельцу сайта стоит обратить внимание в первую очередь.
Коротко
- С 30.05.2025 введены оборотные штрафы за утечку персональных данных - до 500 млн руб. при повторном нарушении.
- Появилась отдельная ответственность за нарушение порядка локализации баз данных (ст. 18 ч.5 152-ФЗ).
- Уточнены сроки и порядок уведомления Роскомнадзора об утечках (ст. 21 ч.4, ст. 22.1 152-ФЗ).
- Усилен контроль за трансграничной передачей данных (ст. 12 152-ФЗ) и получением согласий (ст. 9).
- Практика 2026 года показывает: проверяющие чаще смотрят на сайты - политику обработки ПДн, формы и cookie.
Оборотные штрафы: что изменилось с 30 мая 2025 года
Ключевое изменение периода - переход от фиксированных штрафов к оборотным для операторов, допустивших утечку персональных данных. Норма закреплена в ч. 3.2 ст. 13.11 КоАП РФ и применяется к юридическим лицам, у которых произошла утечка ПДн вследствие нарушения требований к их обработке или защите.
Размер штрафа зависит от количества субъектов, чьи данные утекли, и от того, повторное это нарушение или первичное. При повторном нарушении в течение года штраф рассчитывается как процент от выручки компании за предыдущий календарный год, но не менее установленного минимума и не более 500 млн руб.
| Норма | Суть нарушения | Ответственность |
|---|---|---|
| ч. 1 ст. 13.11 КоАП | Обработка ПДн без законных оснований или с нарушением условий согласия | Штраф для юрлиц до 150 000 руб. |
| ч. 2 ст. 13.11 КоАП | Отсутствие или ненадлежащее опубликование политики обработки ПДн на сайте | Штраф для юрлиц до 100 000 руб. |
| ч. 2.1 ст. 13.11 КоАП | Невыполнение требований по локализации баз данных (обработка без хранения в РФ) | Штраф для юрлиц до 18 млн руб. при повторном нарушении |
| ч. 3.2 ст. 13.11 КоАП | Утечка ПДн вследствие нарушения требований к обработке/защите | Оборотный штраф - от суммы выручки, максимум 500 млн руб. при повторе |
| ч. 8, ч. 9 ст. 13.11 КоАП | Невыполнение обязанности по уведомлению Роскомнадзора об утечке или об инциденте безопасности | Отдельный штраф для юрлиц, применяется вместе с основным составом |
Важно понимать: оборотный штраф применяется не за любую утечку, а именно в случаях, когда доказана связь между утечкой и нарушением требований оператора к обработке или защите персональных данных. Это подчёркивает значение внутренней документации - политики, приказов о назначении ответственных, актов проверок.
Уведомление Роскомнадзора об инцидентах
Порядок уведомления регулятора закреплён в ст. 21 ч. 4 и ст. 22.1 152-ФЗ. Оператор обязан сообщить об утечке в течение 24 часов с момента обнаружения, а в течение 72 часов - предоставить результаты внутреннего расследования, включая сведения о причинах и предполагаемом вреде субъектам данных.
Несоблюдение этих сроков квалифицируется отдельно от самого факта утечки: даже если объём утечки был небольшим, отсутствие своевременного уведомления образует самостоятельный состав правонарушения по ч. 8 и ч. 9 ст. 13.11 КоАП.
- Уведомление подаётся через личный кабинет на портале Роскомнадзора или иным установленным способом.
- Форма уведомления фиксирует категории данных, количество субъектов, дату обнаружения и меры реагирования.
- Повторное информирование в течение 72 часов должно содержать выводы расследования и меры по предотвращению повторения.
Локализация данных и трансграничная передача
Требование о хранении и обработке персональных данных россиян на серверах, расположенных на территории РФ, закреплено в ст. 18 ч. 5 152-ФЗ. Для сайтов это означает, что база данных пользователей, формы обратной связи и CRM-системы должны быть локализованы, если иное прямо не предусмотрено законом.
Трансграничная передача данных (ст. 12 152-ФЗ) допускается только с учётом требований к стране получателя и, в ряде случаев, после уведомления Роскомнадзора о намерении осуществлять трансграничную передачу. Использование зарубежных сервисов аналитики, email-рассылок или CRM без проверки условий передачи данных - частый источник претензий при проверках.
| Ситуация на сайте | Применимая норма | Риск |
|---|---|---|
| Форма заявки хранит данные на зарубежном хостинге | ст. 18 ч. 5 | Штраф по ч. 2.1 ст. 13.11 КоАП |
| Подключён зарубежный сервис веб-аналитики без проверки условий передачи | ст. 12 | Претензии при проверке, требование обосновать основания передачи |
| Согласие на обработку не содержит цели и перечня действий | ст. 9 | Штраф по ч. 1 ст. 13.11 КоАП |
Согласие на обработку и права субъектов данных
Требования к содержанию согласия на обработку персональных данных установлены в ст. 9 152-ФЗ: согласие должно быть конкретным, информированным и сознательным, содержать цель обработки, перечень действий с данными и срок их обработки. Общая формулировка вида «согласен с политикой конфиденциальности» без конкретики рассматривается проверяющими как формальная и недостаточная.
Отдельного внимания заслуживают нормы ст. 18.1 и ст. 19 152-ФЗ, обязывающие оператора принимать меры по обеспечению безопасности данных и подтверждать выполнение требований закона - в том числе документально: назначением ответственного лица, утверждением локальных актов, оценкой вреда субъектам данных.
Формальное наличие политики обработки персональных данных на сайте не заменяет реального соответствия требованиям ст. 18.1 и ст. 19 152-ФЗ - при проверке оценивается фактическое исполнение мер защиты, а не только текст документа.
Нормы ст. 20, ст. 22 и ст. 23 152-ФЗ регулируют порядок ответа на запросы субъектов данных и полномочия Роскомнадзора как уполномоченного органа по защите прав субъектов персональных данных, включая право проводить проверки и выдавать предписания об устранении нарушений.
Что проверить у себя на сайте
- Опубликована ли актуальная политика обработки персональных данных, доступная с любой страницы сайта.
- Содержат ли формы согласия конкретную цель обработки и перечень действий с данными, а не общую формулировку.
- Где физически расположены серверы, на которых хранится база пользователей и заявок.
- Используются ли зарубежные сервисы аналитики, рассылок или CRM и проверены ли условия трансграничной передачи.
- Назначен ли ответственный за организацию обработки персональных данных.
- Есть ли утверждённый план действий на случай утечки данных, включая сроки уведомления Роскомнадзора.
- Настроен ли на сайте механизм получения и хранения согласий на использование cookie.
- Проводился ли аудит соответствия сайта требованиям 152-ФЗ за последние 12 месяцев.
Частые вопросы
Правда ли, что оборотный штраф применяется за любую утечку данных?
Нет. Оборотный штраф по ч. 3.2 ст. 13.11 КоАП применяется, когда установлена связь между утечкой и нарушением оператором требований к обработке или защите персональных данных, и преимущественно при повторном нарушении.
Нужно ли уведомлять Роскомнадзор, если утечка коснулась всего нескольких пользователей?
Да, обязанность уведомления по ст. 21 ч. 4 и ст. 22.1 152-ФЗ не зависит от масштаба утечки - она распространяется на любой подтверждённый инцидент.
Можно ли использовать зарубежный сервис для форм обратной связи?
Можно, если соблюдены требования ст. 18 ч. 5 о локализации первичного сбора и хранения данных россиян и, при необходимости, требования ст. 12 о трансграничной передаче.
С чего начать проверку сайта на соответствие 152-ФЗ?
Разумно начать с перечня документов для сайта и сверки их с фактическим состоянием форм, согласий и хранения данных.
Как понять, соответствует ли сайт требованиям без глубокого юридического анализа?
Можно пройти краткую самопроверку по чек-листу выше, а для более полной картины - воспользоваться формой аудита сайта.
Изменения 2026 года делают тему персональных данных менее формальной и более практической: проверяющие смотрят на реальное состояние сайта, а не только на наличие документов. Если после чтения статьи остались вопросы по конкретным формулировкам или ситуации на вашем сайте - имеет смысл разобрать их отдельно, спешить с выводами не стоит.