Оборотный штраф за утечку персональных данных: что это и как его избежать
Оборотный штраф — самая пугающая часть реформы 152-ФЗ: за повторную утечку персональных данных наказание считается не в фиксированных рублях, а в процентах от годовой выручки компании. Ниже — что такое оборотный штраф за персональные данные, когда он применяется, как считается и, главное, что сделать, чтобы до него не дойти.
Быстрый ответ. Оборотный штраф за персональные данные применяется за повторную утечку и составляет 1–3% совокупной годовой выручки за предыдущий год, но не менее 20 млн и не более 500 млн рублей. За первую утечку действует фиксированный штраф (3–15 млн ₽ по числу субъектов). Значит, ключ к тому, чтобы не получить оборотный штраф, — не допустить повторного инцидента.
Что такое оборотный штраф
Оборотный штраф — это административный штраф, размер которого рассчитывается не фиксированной суммой, а долей от выручки нарушителя. Для персональных данных такой механизм ввёл Федеральный закон № 420-ФЗ, действующий с 30 мая 2025 года; в 2026 году норма продолжает применяться в том же виде.
Логика законодателя проста: для крупного бизнеса даже штраф в 15 млн рублей может быть незаметен, а процент от оборота — всегда чувствителен. Поэтому за самые серьёзные нарушения — повторные утечки — наказание привязали к выручке. Общий обзор всех штрафов за ПДн, включая фиксированные, — в гайде о штрафах за персональные данные.
Когда применяется оборотный штраф
Ключевое условие — повторность. Первая утечка персональных данных наказывается фиксированным штрафом, привязанным к масштабу инцидента. А вот вторая и последующие утечки у того же оператора запускают оборотный штраф.
| Ситуация | Штраф для юрлица |
|---|---|
| Первая утечка (1 000–10 000 субъектов) | 3–5 млн ₽ |
| Первая утечка (10 000–100 000 субъектов) | 5–10 млн ₽ |
| Первая утечка (более 100 000 субъектов) | 10–15 млн ₽ |
| Повторная утечка (любой масштаб) | оборотный: 1–3% выручки, 20–500 млн ₽ |
Отдельно наказывается несообщение об утечке. Если вовремя не уведомить Роскомнадзор, добавится ещё один штраф — поэтому критично уложиться в сроки уведомления об утечке: 24 и 72 часа.
Сколько составляет и как считается
Оборотный штраф за повторную утечку персональных данных для юридических лиц составляет от 1% до 3% совокупного размера выручки за календарный год, предшествующий году нарушения. При этом действуют жёсткие границы:
- Нижний порог — 20 млн ₽. Даже при небольшой выручке штраф не опустится ниже этой суммы.
- Верхний потолок — 500 млн ₽. Процент от оборота крупной компании ограничен сверху.
- База расчёта — выручка за прошлый год, а не за год, когда рассматривается дело.
Именно нижний порог делает оборотный штраф особенно опасным для среднего и малого бизнеса: для компании с выручкой в несколько десятков миллионов 20 млн рублей — это удар, сопоставимый с закрытием.
Кто в зоне риска
Оборотный штраф применяется к юридическим лицам независимо от отрасли и размера. Но распределение риска неравномерно:
- Крупный бизнес — процент от большой выручки быстро упирается в потолок 500 млн ₽; репутационные и оборотные потери максимальны.
- Средний и малый бизнес — страдает от нижней границы: 20 млн ₽ для небольшой компании тяжелее, чем 3% для холдинга.
- Компании с историей инцидентов — именно повторность включает оборотный штраф, поэтому один незакрытый инцидент делает следующий кратно дороже.
Разобраться, попадаете ли вы под требования как оператор ПДн, помогает гайд о том, кто должен подавать уведомление в Роскомнадзор и кто освобождён.
Как не довести до оборотного штрафа
Поскольку оборотный штраф — это ответственность за повтор, стратегия двухуровневая: не допустить первую утечку и правильно отреагировать, если инцидент всё-таки случился. Пройдите по шагам:
- Не допустите первую утечку. Оборотный штраф — это ответственность за повтор. Пока не было первой утечки, нет и базы для оборотного штрафа. Базовая защита данных (реестр, минимизация, разграничение доступа, шифрование) снижает вероятность самого инцидента.
- При инциденте уведомите Роскомнадзор за 24 часа. Если утечка всё же произошла, в течение 24 часов подайте первичное уведомление в Роскомнадзор. Несообщение — это отдельный штраф поверх штрафа за утечку и отягчающее обстоятельство при повторе.
- Проведите расследование и подайте отчёт за 72 часа. В течение 72 часов направьте итоговое уведомление с результатами внутреннего расследования: причины, объём утечки, принятые меры. Задокументированное расследование показывает добросовестность оператора.
- Устраните причину, чтобы не было повтора. Именно повторная утечка запускает оборотный штраф. После инцидента закройте уязвимость, которая к нему привела: смените скомпрометированные доступы, обновите ПО, пересмотрите права сотрудников. Повтор из-за той же дыры — самый дорогой сценарий.
- Зафиксируйте принятые меры защиты. Соберите доказательства добросовестности: приказ об ответственном, политика, согласия, журнал мер и уведомлений. Эти документы учитываются как смягчающие обстоятельства и напрямую влияют на итоговый размер штрафа.
Полный чек-лист профилактики — организационные и технические меры, которые снижают риск самой утечки, — собран в гайде о том, как избежать штрафа за утечку персональных данных. А если инцидент уже произошёл, пошаговый порядок действий разобран в плане действий при утечке персональных данных.
Читайте также
- Уголовная ответственность за утечку персональных данных: ст. 272.1 УК РФ — что грозит не компании, а конкретному человеку, выгрузившему базу.
- Штрафы за персональные данные в 2026 году: сколько и за что — полный обзор сумм, куда входит и оборотный штраф.
- Как избежать штрафа за утечку персональных данных: чек-лист мер защиты — как не допустить первую утечку.
- Что делать при утечке персональных данных: пошаговый план действий — как правильно отреагировать на инцидент.
- Сроки уведомления об утечке персональных данных: 24 и 72 часа — чтобы не получить штраф за молчание.
- Уведомление в Роскомнадзор об обработке персональных данных: как подать в 2026 — фундамент добросовестности оператора.
Частые вопросы
01Что такое оборотный штраф за персональные данные?
02Когда применяется оборотный штраф за утечку данных?
03Сколько составляет оборотный штраф и как он считается?
04Оборотный штраф грозит только крупным компаниям?
05Как избежать оборотного штрафа за утечку персональных данных?
06Чем оборотный штраф отличается от обычного штрафа за утечку?
Материал носит информационный характер и не является юридической консультацией. Размеры и условия оборотного штрафа приведены по редакции КоАП РФ после закона № 420-ФЗ и могут меняться — сверяйтесь с актуальной редакцией 152-ФЗ и КоАП РФ.