Как избежать штрафа за утечку персональных данных: чек-лист базовых мер защиты

Зачем защищать персональные данные: цена утечки в 2026

После реформы 152-ФЗ утечка персональных данных перестала быть «репутационной» проблемой и стала прямым финансовым риском. Размер штрафа для юридических лиц привязан к масштабу утечки: уже при утечке данных 1 000 клиентов штраф составляет 3–5 млн рублей, а при больших объёмах доходит до 10–15 млн. За повторную утечку применяется оборотный штраф — процент от годовой выручки.

На фоне этих сумм любые базовые меры защиты окупаются многократно. Подробный разбор того, сколько и за что штрафует Роскомнадзор, — в обзоре штрафов за персональные данные; здесь же речь о профилактике — как до штрафа не доводить.

Чек-лист базовых мер защиты персональных данных

Пройдите по шести шагам ниже. Это не исчерпывающий стандарт по информационной безопасности, а разумный минимум, который закрывает типовые угрозы для сайта, интернет-магазина или небольшой компании и создаёт задокументированную добросовестность.

• Соберите реестр персональных данных. Выпишите, какие персональные данные вы собираете, где они хранятся и кто имеет к ним доступ. Нельзя защитить то, о существовании чего вы не знаете.
• Минимизируйте данные. Откажитесь от сбора и хранения лишнего: паспортов, которые не нужны, старых баз, которые давно не используются. То, чего у вас нет, не утечёт и не станет штрафом.
• Назначьте ответственного за обработку ПДн. Приказом назначьте сотрудника, отвечающего за организацию обработки персональных данных. Это требование 152-ФЗ и первое, что спрашивает Роскомнадзор при проверке.
• Разграничьте доступ и включите защиту. Дайте доступ к данным только тем, кому он нужен для работы. Включите шифрование, надёжные пароли, двухфакторную аутентификацию и антивирус на устройствах, где хранятся данные.
• Оформите документы и согласия. Опубликуйте политику обработки персональных данных на сайте, собирайте согласия там, где они обязательны, подайте уведомление об обработке в Роскомнадзор.
• Подготовьте план на случай утечки. Заранее пропишите, кто и как уведомляет Роскомнадзор в течение 24 и 72 часов. Готовый план превращает панику в чек-лист и снимает отдельный штраф за молчание.

Ниже — та же логика в виде таблицы: какая мера какой именно риск (и штраф) снимает.

Организационные меры защиты

Организационные меры — это документы, роли и процессы. Они не защищают данные технически, но именно они снимают большинство «бумажных» штрафов и работают как смягчающее обстоятельство при инциденте. Минимум, который стоит иметь:

• Ответственный за обработку ПДн — назначается приказом; это прямое требование 152-ФЗ.
• Политика обработки персональных данных — опубликована на сайте и доступна каждому. Пример структуры — в политике конфиденциальности этого сайта.
• Согласия на обработку — там, где они обязательны (рассылки, передача третьим лицам, спецкатегории).
• Уведомление в Роскомнадзор об обработке — вносит вас в реестр операторов; как его подать — в пошаговой инструкции.
• Внутренний порядок доступа и обучение — сотрудники должны знать, какие данные нельзя пересылать и куда.

Не уверены, обязаны ли вы вообще подавать уведомление? Это разбирает гайд о том, кто должен подавать уведомление в Роскомнадзор и кто освобождён.

Технические меры защиты

Технические меры снижают вероятность и масштаб самой утечки. Для типового сайта или небольшой компании, обрабатывающей обычные данные клиентов, дорогие сертифицированные средства обычно не требуются — достаточно базовой гигиены:

• Разграничение доступа — каждый сотрудник видит только те данные, которые нужны ему для работы.
• Шифрование и надёжные пароли — шифрование баз и дисков, менеджер паролей, двухфакторная аутентификация.
• Актуальное ПО — своевременные обновления CMS, плагинов и серверного софта закрывают известные уязвимости.
• Резервные копии — регулярные бэкапы позволяют восстановить данные при их уничтожении или шифровании вымогателем.
• Защита каналов — HTTPS на сайте, отсутствие персональных данных в открытых логах и публичных таблицах.

Требования ужесточаются, если вы обрабатываете биометрию, данные о здоровье или большие объёмы ПДн, — тогда стоит привлекать профильного специалиста по информационной безопасности.

Если утечка всё-таки произошла

Ни один набор мер не даёт стопроцентной гарантии. Если утечка случилась, критично не молчать: несообщение об инциденте — это отдельный штраф поверх штрафа за саму утечку. Закон отводит на реакцию сжатые сроки — 24 часа на первичное уведомление и 72 часа на итоговое.

Что именно делать в первые часы, по шагам разобрано в пошаговом плане действий при утечке персональных данных, а точные сроки уведомления — 24 и 72 часа — в отдельном гайде. Заранее подготовленный план реагирования превращает стрессовую ситуацию в понятный чек-лист и напрямую снижает итоговый штраф.

Читайте также

• Штрафы за персональные данные в 2026 году: сколько и за что — сколько стоит то, от чего вы защищаетесь.
• Оборотный штраф за утечку персональных данных: что это и как избежать — почему повторная утечка особенно опасна.
• Уведомление в Роскомнадзор об обработке персональных данных: как подать в 2026 — первый пункт чек-листа.
• Кто должен подавать уведомление в Роскомнадзор и кто освобождён — проверьте, оператор ли вы.
• Что делать при утечке персональных данных: пошаговый план действий — если профилактика не сработала.
• Сроки уведомления об утечке персональных данных: 24 и 72 часа — чтобы не получить штраф за молчание.

Частые вопросы