Оборотные штрафы за утечку персональных данных в 2026 году

Оборотные санкции по 152-ФЗ действуют с 30 мая 2025 года. Разбираем точные суммы штрафов за утечку персональных данных, когда штраф становится оборотным и как законно платить минимум, если утечка всё же случится.

Если у вашей компании в этом году произойдёт утечка персональных данных во второй раз, штраф посчитают не в рублях, а в процентах от выручки. Оборотные санкции по 152-ФЗ действуют с 30 мая 2025 года, и за прошедшее время многие руководители так и не разобрались, чем конкретно рискуют и как законно снизить сумму. Разбираем по цифрам, сколько стоит утечка сейчас, когда штраф становится оборотным и что сделать, чтобы заплатить минимум, если инцидент всё же случится.

Сколько стоит утечка персональных данных по 152-ФЗ

Федеральный закон от 30.11.2024 № 420-ФЗ переписал наказания за нарушения при работе с персональными данными. С 30 мая 2025 года базовый штраф за незаконную обработку данных вырос для граждан до 10 000–15 000 рублей, для должностных лиц до 50 000–100 000 рублей, для организаций и ИП до 300 000–500 000 рублей. Раньше юрлицо платило 60 000–100 000 рублей, теперь минимум вырос в пять раз.

Отдельно закон наказывает саму утечку, и сумма растёт вместе с её масштабом. Утечка данных 1 000–10 000 субъектов, либо 10 000–100 000 обезличенных идентификаторов, стоит организации 3–5 млн рублей. Утечка 10 000–100 000 субъектов обходится в 5–10 млн рублей. Если пострадали больше 100 000 человек, штраф достигает 10–15 млн рублей. Отдельно наказывают молчание. Если оператор не сообщил Роскомнадзору о факте утечки, юрлицо и ИП платят 1–3 млн рублей, должностное лицо платит 400 000–800 000 рублей.

Когда штраф становится оборотным

Первое нарушение обходится в суммы выше, но повторное запускает оборотный штраф. Для юрлиц и ИП, допустивших утечку во второй раз, размер взыскания считают как 1–3% от совокупной годовой выручки. Нижняя граница равна 20 млн рублей для обычных данных и 25 млн рублей, если речь о биометрии, специальных категориях данных или повторной утечке любых сведений. Верхняя граница равна 500 млн рублей. Так выглядит оборотный штраф по 152-ФЗ, о котором писали ещё в 2024 году, когда закон только готовили в Думе. Наказание привязали к выручке компании вместо фиксированной таблицы сумм.

Проверьте два момента. Повтор считают по факту второй утечки у того же оператора, а не по числу пострадавших субъектов. И нижняя планка в 20–25 млн рублей одинаковая для всех при повторном нарушении, небольшой ИП и федеральный ритейлер платят по ней поровну.

Как получить минимальный штраф

Закон прямо называет два условия для снижения санкции. Оператор должен потратить на информационную безопасность не менее 0,5% от выручки за последние три года и сообщить Роскомнадзору о факте утечки в течение 24 часов с момента обнаружения. Оба условия проверяют вместе. Одних расходов на защиту без своевременного уведомления недостаточно, и наоборот.

Срок уведомления закреплён в части 3.1 статьи 21 федерального закона от 27.07.2006 № 152-ФЗ. Эта норма обязывает оператора направить в Роскомнадзор уведомление в течение 24 часов с момента, когда стало известно о неправомерной передаче, предоставлении, распространении персональных данных или доступе к ним без согласия субъекта. Дальше у оператора есть 72 часа, чтобы отчитаться о результатах внутреннего расследования по пункту 2 той же части.

На практике часы уже идут с момента обнаружения утечки, и разбираться в форме уведомления некогда. Отправьте уведомление сразу, а причины разбирайте потом. Форму и порядок подачи удобно подготовить заранее, чтобы не искать их в момент инцидента, для этого подходит

Нужно ли уведомлять РКН? — пройти тест

Что сделать прямо сейчас

Оцените, к какой утечке вы готовы, если она случится завтра. Заранее назначьте сотрудника, который свяжется с Роскомнадзором, подготовьте шаблон уведомления и соберите документы о расходах на информационную безопасность за последние три года: договоры, акты, счета. Без бумажного подтверждения довод про 0,5% от выручки суд не примет, даже если деньги реально потрачены.

Дальше посчитайте примерную сумму штрафа именно для вашей выручки и вашего сценария, первое нарушение или повторное. Ориентир даёт

Калькулятор штрафов по 152-ФЗ

Авто-аудит сайта — проверка на нарушения 152-ФЗ

Отдельно проверьте внутренний регламент реагирования на инциденты. Если такого документа нет, у ответственного сотрудника не будет ни установленного срока, ни списка получателей уведомления, а 24 часа истекают быстро.

Частые вопросы

С какой даты действуют новые штрафы за утечку персональных данных?

С 30 мая 2025 года, когда вступил в силу Федеральный закон от 30.11.2024 № 420-ФЗ, изменивший статью 13.11 КоАП РФ.

Что считается повторной утечкой для оборотного штрафа?

Вторая утечка у того же оператора персональных данных. Штраф в этом случае считают как 1–3% от годовой выручки. Минимум 20 млн рублей для обычных данных, минимум 25 млн рублей для биометрии, специальных категорий данных или повторной утечки любых сведений. Максимум 500 млн рублей.

Как снизить оборотный штраф до минимума?

Нужно подтвердить два условия одновременно. Расходы на информационную безопасность не менее 0,5% от выручки за последние три года. И уведомление Роскомнадзора в течение 24 часов с момента обнаружения утечки.

Кому грозит оборотный штраф, только крупному бизнесу?

Нет. Норма распространяется на юрлиц и ИП независимо от размера выручки. Нижняя граница штрафа фиксированная и одинаковая для всех при повторном нарушении.