Штраф за утечку персональных данных в 2026 году: суммы и что делать

Сколько составляет штраф за утечку

Ключевой параметр — сколько субъектов затронул инцидент. Чем больше людей, чьи данные утекли, тем выше фиксированная сумма для юридического лица по статье 13.11 КоАП РФ:

Это суммы, действующие после реформы 2025 года; в 2026 году нормы применяются в том же виде. Полный обзор всех составов — не только за утечку, но и за отсутствие политики, неподачу уведомления и прочее — в материале про штрафы за персональные данные.

От чего зависит сумма

В пределах вилки итоговый штраф за утечку персональных данных определяется обстоятельствами дела. На него влияют:

• Число пострадавших субъектов — задаёт саму «полку» из таблицы выше.
• Первая утечка или повторная — повтор переводит ответственность в оборотный штраф.
• Своевременность уведомления — соблюдены ли сроки 24 и 72 часа.
• Категория данных — утечка специальных категорий (здоровье и т. п.) воспринимается строже.
• Действия оператора — проведено ли расследование, устранена ли причина, приняты ли меры.

Отсюда практический вывод: часть факторов уже нельзя изменить (масштаб, категория данных), но скорость и добросовестность реакции — полностью в ваших руках, и именно они двигают сумму к нижней границе.

Первая утечка и повтор: оборотный штраф

Разница между первой и повторной утечкой — принципиальная. За первую платят фиксированную сумму по масштабу: от 3 до 15 млн ₽ для юрлица. За повторнуюприменяется оборотный штраф — 1–3% совокупной выручки за предшествующий календарный год, но не менее 20 млн и не более 500 млн ₽.

Отдельный штраф за несообщение

Важный и часто недооценённый момент: несообщение об утечке — это самостоятельное нарушение. Штраф за него начисляется поверх штрафа за саму утечку, а сроки жёсткие:

• 24 часа с момента обнаружения — на первичное уведомление Роскомнадзора о факте инцидента.
• 72 часа — на второе уведомление, о результатах внутреннего расследования.

Просрочка каждого из этих уведомлений — отдельный повод для санкции. Поэтому уведомлять нужно даже при неполной картине: «дособерём и сообщим позже» здесь не работает. Подробный разбор сроков и порядка — в материале о сроках уведомления об утечке.

Что снижает штраф

Полностью «отменить» ответственность за состоявшуюся утечку сложно, но повлиять на сумму в пределах вилки реально. В пользу оператора работают:

• Своевременное уведомление Роскомнадзора в сроки 24 и 72 часа.
• Проведённое внутреннее расследование с задокументированными результатами.
• Быстрое устранение причины и усиление мер защиты.
• Наличие заранее подготовленного плана реагирования на утечку.
• Общее добросовестное поведение и готовность сотрудничать.

Ключевое условие — все эти действия должны быть задокументированы: без бумаги их трудно предъявить как смягчающее обстоятельство. Как выстроить аргументацию за смягчение — в отдельном материале о снижении штрафа за утечку.

Чек-лист действий при утечке: 5 шагов

Если утечка уже произошла, действовать нужно по порядку — именно последовательность и скорость определяют, окажется ли штраф за утечку персональных данных в нижней части вилки или в верхней:

1. Срочные меры: зафиксируйте факт и остановите утечку. Запишите точное время обнаружения — с этого момента идёт отсчёт сроков уведомления. Локализуйте инцидент: закройте доступ, отзовите скомпрометированные ключи и пароли, но не удаляйте логи и следы — они понадобятся как доказательства добросовестности. Именно скорость и аккуратность первых часов потом влияют на то, каким будет штраф за утечку персональных данных.
2. В течение 24 часов уведомите Роскомнадзор о факте утечки. Первичное уведомление об инциденте подаётся в Роскомнадзор в течение 24 часов с момента обнаружения. В нём указывают предполагаемые причины, характер утёкших данных и число затронутых субъектов. Несообщение — это самостоятельное нарушение и отдельный штраф поверх штрафа за саму утечку, поэтому пропускать этот шаг нельзя даже при неполной картине.
3. В течение 72 часов подайте результаты расследования. В течение 72 часов проводится внутреннее расследование и подаётся второе уведомление — о его результатах: что именно произошло, какие данные затронуты, какие меры приняты. Расследование фиксирует ваши действия и показывает, что оператор отреагировал добросовестно, — это учитывается при определении размера штрафа за утечку персональных данных.
4. Устраните причину и усильте защиту. Закройте уязвимость, из-за которой произошёл инцидент: пересмотрите права доступа, обновите средства защиты, ограничьте выгрузку баз. Это профилактика повтора — а повторная утечка переводит ответственность в оборотный штраф, кратно более тяжёлый. Устранение причины важно не только «на будущее»: оно тоже относится к добросовестным действиям оператора.
5. Соберите доказательства добросовестности. Соберите в одну папку всё, что подтверждает корректные действия: журнал инцидента, копии поданных уведомлений с отметками о времени, приказы и переписку по реагированию, документы о принятых мерах защиты. Именно этот пакет — основной аргумент за смягчение, когда решается, каким будет итоговый штраф за утечку персональных данных.

Частые ошибки

• Удаляют логи и следы «чтобы замести», лишая себя доказательств добросовестности.
• Тянут с уведомлением, дожидаясь «полной картины», — и получают отдельный штраф за просрочку.
• Считают, что молчание безопаснее огласки — тогда как несообщение наказывается само по себе.
• Не фиксируют момент обнаружения — и не могут доказать, что уложились в 24 и 72 часа.
• Устраняют симптом, но не причину — и рискуют повтором с оборотным штрафом.
• Реагируют без плана и ролей — теряют часы на согласования, пока идёт отсчёт сроков.

Общий знаменатель ошибок — попытка «сделать вид, что ничего не было». На практике именно скрытность и промедление превращают умеренный штраф за утечку персональных данных в максимальный, а в тяжёлых случаях добавляют уголовную ответственностьконкретных лиц.

Читайте также

• Штрафы за персональные данные в 2026 — полный обзор всех составов, не только за утечку.
• Оборотный штраф за утечку — как считается санкция за повторный инцидент.
• Как снизить штраф за утечку — что учитывается как смягчающее обстоятельство.
• Что делать при утечке персональных данных — подробный план действий «по часам».
• Сроки уведомления об утечке — как работают 24 и 72 часа.
• План реагирования на утечку — документ, который пишут заранее, «в мирное время».
• Роскомнадзор и персональные данные: гайд для бизнеса — обзор всех обязанностей оператора.

Частые вопросы