Новые штрафы за утечку персональных данных в 2026: от 3 миллионов рублей до уголовной статьи

Новая шкала штрафов за утечку персональных данных

Новые штрафы действуют с 30 мая 2025 года: их ввёл Федеральный закон № 420-ФЗ, поправки в ст. 13.11 КоАП РФ. Так что в 2026 году это уже не прогноз, а практика. Шкала простая: чем больше людей попало в утечку, тем больнее. Слили данные 1–10 тысяч человек — компании грозит от 3 до 5 млн рублей. От 10 до 100 тысяч — 5–10 млн. От 100 тысяч и больше — 10–15 млн рублей за одно нарушение.

Отдельная, значительно более жёсткая шкала предусмотрена для повторных нарушений: оборотный штраф в размере 1–3% от годовой выручки компании, но не менее 20 млн рублей (для специальных категорий и биометрии — не менее 25 млн) и не более 500 млн рублей. Для крупного бизнеса это уже не «штраф», а строчка в отчёте об убытках. Один раз — неприятно. Второй раз — по-настоящему дорого.

Уголовная ответственность: статья 272.1 УК РФ

Федеральный закон №421-ФЗ ввёл в Уголовный кодекс РФ новую статью 272.1 — ответственность за незаконные действия с персональными данными, включая их неправомерный сбор, хранение, использование и передачу третьим лицам. Максимальное наказание по этой статье — лишение свободы на срок до 10 лет (ч. 5 — при тяжких последствиях или в составе организованной группы), что переводит вопрос защиты персональных данных из чисто административной плоскости в область личной уголовной ответственности должностных лиц. Если ваши данные уже утекли, разбираем, как удалить персональные данные из интернета.

Почему утечка — это не только штраф, но и репутационный кризис

Оборотный штраф или уголовное дело — это последствия, которые разворачиваются неделями и месяцами через регулятора и суд. Репутация страдает раньше. Гораздо раньше. клиенты и СМИ обычно узнают об утечке из собственных источников — уведомлений о взломе, публикаций на теневых форумах, скриншотов в Telegram-каналах — часто быстрее, чем компания успевает подготовить официальную позицию.

Представьте: утро, клиенты получают странные звонки «из банка», в чатах гуляет скриншот вашей базы, а на сайте — тишина. Вот она, самая опасная фаза кризиса. Люди не ждут официальной позиции, они достраивают картину сами — и всегда в худшую сторону. Переубедить их потом намного труднее, чем сказать правду в первый же час.

Что делать бизнесу уже сейчас

1. Пересмотрите внутренние процедуры обработки и хранения персональных данных — при новых суммах штрафов стоимость профилактики становится ощутимо ниже стоимости инцидента.
2. Подготовьте план коммуникации на случай утечки заранее — кто уведомляет клиентов, кто выходит с официальным заявлением, какие каналы используются в первые часы.
3. Свяжите юридическое реагирование с репутационным — юристы работают с регулятором и возможным уголовным аспектом, но параллельно нужна отдельная команда или подрядчик, который управляет публичным восприятием ситуации.
4. Не откладывайте признание инцидента — при обнаружении признаков утечки, ставших публичными, молчание компании воспринимается хуже, чем оперативное и честное объяснение ситуации.

До обращения в Кликнет против работы с Кликнет

Какие инструменты SERM здесь применимы

• Заранее подготовленный план кризисной коммуникации — с первых часов после утечки работает готовый сценарий, а не импровизация в момент кризиса
• Мониторинг упоминаний утечки — уведомления о взломе и скриншоты часто расходятся в Telegram-каналах и на теневых форумах быстрее официальной позиции компании
• Синхронизация юридического и репутационного реагирования — работа с регулятором и работа с публичным восприятием ведутся параллельно, а не последовательно
• Быстрое, честное публичное признание инцидента — молчание компании в первые часы воспринимается хуже, чем оперативное объяснение ситуации

Какие инструменты работы с репутацией здесь применимы

Штраф вы заплатите один раз. А вот след в выдаче будет всплывать годами — каждый раз, когда кто-то загуглит ваш бренд. Для работы с ним применимы следующие механики:

• Мониторинг упоминаний — после утечки отслеживаются новости, Telegram-каналы и отзывы с названием компании и словами «утечка», «слив», «базы», чтобы вовремя увидеть волну и её источник.
• Публичный ответ — официальное заявление о масштабе инцидента и принятых мерах; клиенты и журналисты ищут позицию компании в первые часы.
• Жалоба площадке — публикации с фрагментами утёкших персональных данных нарушают закон и правила площадок; на них подаётся жалоба с требованием удалить данные.
• SERM — новости об утечке остаются в выдаче по бренду годами; их вытесняют официальные материалы о защите данных и нейтральные публикации.
• GERm — нейросети отвечают на вопрос «надёжна ли компания» с опорой на новости; актуальные материалы о принятых мерах снижают риск, что ИИ-ассистент будет пересказывать только сам инцидент.

Чек-лист: что сделать в первые 72 часа после утечки

Сроки здесь не наши, а закона. По ч. 3.1 ст. 21 152-ФЗ об инциденте нужно сообщить в Роскомнадзор в течение 24 часов, а результаты внутреннего расследования направить в течение 72 часов. Уведомление подаётся через портал pd.rkn.gov.ru.

1. Час 0–2. Зафиксируйте, что произошло: какие базы, сколько записей, откуда утечка. Закройте доступ, смените ключи и пароли.
2. До 24 часов. Первичное уведомление в Роскомнадзор: что случилось, предполагаемые причины, вред, принятые меры, контактное лицо.
3. Параллельно. Короткое публичное заявление и письмо клиентам: что утекло, что сделали, на что обратить внимание (звонки «из банка», фишинг).
4. До 72 часов. Итоги внутреннего расследования в РКН, данные о виновных, если установлены.
5. Дальше. Мониторинг упоминаний бренда со словами «утечка», «слив», «база»; жалобы на публикации с фрагментами ПД; ответы на вопросы клиентов.

Частые ошибки при утечке данных

Почти все они случаются в первые сутки:

• Ждать, пока «всё выяснится», и молчать сутки — клиенты узнают из Telegram-каналов.
• Пропустить 24-часовой срок уведомления Роскомнадзора: это отдельное нарушение со своим штрафом.
• Обвинять подрядчика в первом же заявлении, не объяснив, что сделали вы.
• Удалять или «чистить» обсуждения вместо ответа — скрины уже сохранены.
• Считать, что штраф закрывает вопрос: репутационный след в выдаче живёт годами.

Готовые шаблоны: заявление, письмо клиентам и план на 30 дней

Замените данные в квадратных скобках. Тексты короткие специально: в кризис их читают с телефона.

Первые два шаблона — для дня инцидента, третий — чтобы этот день прошёл спокойнее.

Часто задаваемые вопросы

❓ Какой штраф грозит за утечку данных 50 тысяч клиентов?

Точная сумма зависит от квалификации нарушения регулятором, но для утечек такого масштаба применяется шкала между базовым штрафом за 1–10 тыс. субъектов (3–5 млн ₽) и повышенным порогом от 100 тыс. субъектов (10–15 млн ₽). Утечка данных 50 тысяч человек попадает в диапазон 10–100 тыс. субъектов: для юрлица это 5–10 млн ₽ (ч. 13 ст. 13.11 КоАП РФ в ред. 420-ФЗ), конкретная сумма определяется в рамках административного производства.

❓ Кто несёт уголовную ответственность по ст. 272.1 УК РФ — компания или конкретное должностное лицо?

Уголовная ответственность персональная и применяется к физическим лицам, чьи неправомерные действия привели к нарушению — обычно это должностные лица, ответственные за обработку и защиту персональных данных в компании.

❓ Можно ли снизить репутационный ущерб от утечки, если компания технически не виновата (например, взлом подрядчика)?

Да, но только при быстрой и честной коммуникации — объяснение реальных обстоятельств инцидента и конкретных мер реагирования снижает ущерб сильнее, чем попытка переложить ответственность без объяснений в первые часы после огласки.