Штрафы за утечки данных в России: до 15 млн рублей и оборотные санкции

Ответственность за утечки персональных данных в России за последние два года выросла радикально. Поправки 420-ФЗ, вступившие в силу 30 мая 2025 года, изменили статью 13.11 КоАП РФ: вместо фиксированных штрафов до 100 тыс. рублей появились суммы, измеряемые миллионами.\n\n## Новые размеры штрафов\n\nДля юридических лиц при первичной утечке действуют следующие диапазоны: от 3 до 5 млн рублей, если пострадали 1–10 тыс. человек; от 5 до 10 млн — за 10–100 тыс.; от 10 до 15 млн — за более 100 тыс. Отдельно выделены специальные категории данных и биометрия — там штраф достигает 15–20 млн рублей.\n\n## Оборотные штрафы\n\nЕсли утечка повторяется в течение года после привлечения к ответственности, применяется оборотный штраф: от 1% до 3% совокупной годовой выручки, но не менее 20 млн и не более 500 млн рублей. Это уже сопоставимо с санкциями в других странах.\n\n## Обязанности оператора\n\nПомимо денежных санкций, закон требует реакций в жёсткие сроки: первичное уведомление Роскомнадзора — в течение 24 часов после обнаружения утечки, развёрнутый отчёт о причинах и мерах — в течение 72 часов. Введена и отдельная ответственность по статье 272.1 УК РФ — за незаконные сбор, хранение и передачу персональных данных.\n\n## Что это значит для бизнеса\n\nДля компаний работа с персональными данными перестала быть формальностью. Эксперты советуют выстроить систему обнаружения утечек, сегментировать доступ к базам, обучить сотрудников и заранее подготовить план реагирования, чтобы уложиться в 24 часа.\n\nПо материалам РБК Компании и отраслевых разборов, 2026 год."