Штрафы за утечку данных: сколько это реально стоит и как снизить заранее

Есть закон, который для собственника бизнеса важнее многих. С 30 мая 2025 года утечка персональных данных стала отдельным правонарушением с собственными штрафами. Прошёл год, накопились первые дела. Пора смотреть, как норму применяют суды на практике.

Смотрю я на это не глазами юриста. Для меня штраф — это строка в бюджете, которую нужно планировать заранее. И тема оказалась куда хитрее, чем «утекло — заплатил по шкале».

Сколько стоит утечка по закону

Начнём с сухих цифр. Шкала в статье 13.11 КоАП привязана к числу пострадавших:

• утекли данные от 1 до 10 тысяч человек — 3–5 млн ₽;
• от 10 до 100 тысяч — 5–10 млн ₽;
• свыше 100 тысяч — 10–15 млн ₽;
• утечка биометрии (лица, голоса, отпечатков) — 15–20 млн ₽ независимо от количества.

И отдельно наказывается молчание: не уведомили Роскомнадзор об инциденте — ещё 1–3 млн сверху.

Сразу отвечу на вопрос, который слышу чаще всего: «Я ИП, мне же меньше?» Нет. По примечанию к статье 13.11 индивидуальные предприниматели по этим составам отвечают как юридические лица. Форма бизнеса от штрафа не спасает — ни ИП, ни самозанятость.

Почему первые штрафы оказались смешными — и почему это ловушка

А теперь самое интересное. Первые же решения судов вышли в разы мягче того, что написано в статье. Три реальных дела.

Сервис детских кружков «Юкидс»: взломали CRM, наружу ушли данные более 300 тысяч человек. По закону — 10–15 миллионов. Арбитражный суд Москвы в марте 2026 года назначил 400 тысяч. Ещё две компании — аналитическая фирма и региональный телеком — за утечки на десятки тысяч человек отделались предупреждением.

Тут хочется выдохнуть. Рано. Суд не смотрел на их защиту и не хвалил её — сработали специальные правила для малого бизнеса и первый эпизод. Хорошо ли у этих компаний выстроена безопасность, никто вообще не оценивал.

С «Юкидс» отдельная история, из-за которой я бы вообще не советовал закладывать эти 400 тысяч в свои расчёты. Суд применил льготу для микропредприятий, но у этой льготы есть прямое исключение как раз для тех составов, по которым ИП отвечают как юрлица, — а утечки к ним и относятся. То есть решение юридически спорное. Оно устояло в апелляции, но строить на нём финансовый план — то же самое, что планировать бюджет по выигрышу в лотерею.

Первые мягкие исходы — это не индульгенция и не новый тариф. Это стечение обстоятельств: маленькая компания, первый прокол, отсутствие доказанного вреда. Ни одно из этих оснований не говорит, что вашу защиту признали достаточной.

Когда мягкость заканчивается

Льготы, на которые уповают, испаряются в трёх случаях. И все три реальны для растущего бизнеса.

Вы выросли. Поблажка по статусу работает для малых и микропредприятий. Пара сильных сезонов в онлайн-торговле — и вы средний бизнес, льгота исчезла, а в инфраструктуре не поменялось ничего.

Прокол не первый. Обязательная замена штрафа предупреждением работает только для впервые совершённого нарушения. Второй раз — уже по полной.

Утечка повторная. Здесь начинается совсем другая математика. Для повторной утечки включается оборотный штраф: от 1 до 3 процентов годовой выручки, но не меньше 20 и не больше 500 миллионов рублей. Первые «добрые» дела с их фиксированными вилками к этому режиму отношения не имеют вообще.

Как заранее уменьшить оборотный штраф — самая полезная норма

Теперь — то, ради чего стоило читать. В законе есть норма, которой можно законно ограничить этот полумиллиардный штраф. Её почти никто не находит, потому что ищут в статье про утечки, а лежит она в общей части кодекса — в части 3.4-2 статьи 4.1 КоАП.

Она работает только для повторных утечек и превращает вилку «20–500 млн» в коридор 15–50 млн.

Сразу разрушу популярный миф. Про эту норму любят писать «снижение штрафа в десять раз». Это неправда. У нижней границы штраф упадёт с 20 до 15 миллионов — скромно. Зато потолок действительно рушится с 500 до 50 миллионов — и для крупной компании это принципиальная разница. То есть чем больше ваш бизнес, тем сильнее норма спасает.

Но есть цена входа. Три условия, и выполнить их надо одновременно:

• три года подряд вы тратили на информационную безопасность не меньше 0,1% годовой выручки, и делала эту работу организация с профильной лицензией (или вы сами, если лицензия есть у вас);
• вы соблюдали требования к защите данных, и это документально подтверждено за 12 месяцев до инцидента;
• нет отягчающих обстоятельств.

В деньгах порог входа скромный: при выручке 500 млн это 500 тысяч в год, при миллиарде — миллион. Но ловушка в слове «заранее»: тратить надо три года подряд, до инцидента. В день утечки начинать поздно. Полис ОСАГО после аварии тоже не оформишь.

Поэтому я и называю это финансовой моделью. Полмиллиона в год на протяжении трёх лет — против потенциальных 450 миллионов экономии на штрафе. Такую арифметику собственник понимает без переводчика.

Первые сутки решают больше, чем годовой бюджет

Даже если инцидент случился, часть штрафа ещё в ваших руках. Закон 152-ФЗ даёт два срока с момента, как вы обнаружили утечку: 24 часа — уведомить Роскомнадзор о самом факте и принятых мерах; 72 часа — сообщить результаты внутреннего расследования. Промолчали или опоздали — от 1 до 3 миллионов сверху.

Двадцать четыре часа — это мало. Само письмо написать несложно. Сложно за сутки понять, что вообще произошло: чьи данные и в каком объёме ушли. И внезапно выясняется, зачем нужна вся та «бюрократия», которую в спокойное время хочется отключить, — журналы доступа.

Был у нас случай: собственник подозревал, что менеджер выгрузил базу перед увольнением. Доказать удалось только потому, что в CRM сохранились логи — кто, когда и сколько записей открыл. Они показали факт выгрузки за одну ночь. Тема кражи базы уволенным — отдельный больной разговор: инсайдер тут смыкается с социальной инженерией, и полноценно я к ней ещё вернусь.

Ответьте себе прямо: за сколько времени вы сегодня ответите, чьи данные и в каком объёме у вас утекли? Если ответ «за неделю» — в 24 часа вы не уложитесь.

«Это же подрядчик виноват» — самое дорогое заблуждение

Данные лежат в облаке, обзвон ведёт колл-центр, рассылки идут через сторонний сервис, склад на аутсорсе. Логика подсказывает: утечёт у них — с них и спрос.

Закон говорит иначе. Часть 5 статьи 6 закона 152-ФЗ: перед человеком, чьи данные утекли, отвечает оператор — то есть вы. Передача обработки подрядчику не снимает с вас обязанностей. С самого подрядчика вы потом будете взыскивать убытки — отдельно и только в пределах того, что записано в договоре.

Не буду упрощать до «штраф в любом случае выпишут вам»: тут всё зависит от ролей и условий договора. Но вывод для собственника простой: любой, у кого есть доступ к вашей базе, — это ваш риск. Не их. Кстати, если пробьют именно через сайт, я разбирал что делать при взломе отдельно.

Отдельно учтите: сам факт распространения базы в интернете — самостоятельное основание для контрольного мероприятия, даже при моратории на плановые проверки. Разбирал это в статье про проверки РКН.

Что сделать на этой неделе

Без паники и без большого бюджета. Четыре вещи:

• Составьте список, у кого есть доступ к клиентской базе. Поимённо — сотрудники, подрядчики, бывшие работники. Список всегда длиннее, чем кажется. Мы однажды нашли активный VPN уволившегося админа — через шесть недель после увольнения.
• Убедитесь, что действия с базой оставляют следы. Выгрузка тысячи записей в три часа ночи должна оставлять след в логах. Если она проходит бесследно — это дыра.
• Назначьте человека, который в течение 24 часов уведомит Роскомнадзор. Конкретного, с фамилией и телефоном, — закон требует указать, кто уполномочен на взаимодействие.
• Перечитайте договоры с подрядчиками. Обязаны ли они сообщать вам об инциденте и кто возмещает убытки.

Отдельно проверьте свой сайт — с него утечки начинаются чаще всего. Как это сделать за день без юриста, я собрал в чек-листе аудита на 152-ФЗ, а как правильно собирать согласия, чтобы не отдать базу «легально», — в статье про согласие на обработку данных.

И ещё одна связь, которую стоит держать в голове: те же расходы на защиту данных закрывают текущие требования РКН, а не только работают страховкой на будущее. Что именно входит в защиту и за что не надо переплачивать — в статье про защиту персональных данных.

Короткий вывод

Практика по новым штрафам только формируется: дел мало, позиции Верховного суда пока нет, и первые мягкие исходы — это не гарантия, а стечение обстоятельств. Закладывать их в расчёт рискованно.

Зато в ваших руках две вещи, которые работают наверняка. Первая — заранее, за скромный годовой бюджет, включить норму, которая ограничит самый страшный штраф коридором 15–50 млн. Вторая — уметь за 24 часа сказать, что именно у вас утекло. И то и другое стоит несопоставимо дешевле штрафа. Это и есть светлая сторона: полумиллиардным штрафом легко пугать, но застраховаться от него реально — заранее и законно.

Свежие разборы законов и штрафов на языке бизнеса выкладываю в телеграм-канале.

Частые вопросы

Отдельная история — когда утечка произошла не у вас, а у подрядчика: разбор в статье про поручение обработки персональных данных.