Оборотный штраф за утечку персональных данных в группе компаний
У холдинга несколько юрлиц. При повторной утечке персональных данных оборотный штраф считают не от выручки всей группы, а от выручки конкретного юрлица-нарушителя. Разбираем расчёт по 152-ФЗ и статье 13.11 КоАП и что проверить заранее.
Холдинг из трёх юрлиц. Одно продаёт услуги и собирает персональные данные клиентов, второе держит недвижимость, третье оформляет сотрудников. У «клиентского» юрлица случилась вторая за год утечка персональных данных. Бухгалтерия головной компании считает годовую выручку группы в 2 млрд рублей и готовится к штрафу в десятки миллионов. Юрист смотрит в 152-ФЗ и статью 13.11 КоАП и находит другую цифру.
Что говорит статья 13.11 КоАП
Оборотный штраф для юридических лиц ввёл Федеральный закон от 30.11.2024 № 420-ФЗ. Норма заработала с 30 мая 2025 года. Часть 15 статьи 13.11 КоАП считает штраф за повторное нарушение так. От 1 до 3 процентов совокупного размера выручки, которую юрлицо получило от реализации всех товаров, работ и услуг за календарный год перед годом, когда обнаружили нарушение.
Нижняя граница штрафа составляет 20 млн рублей, а для утечки биометрии и других специальных категорий персональных данных 25 млн рублей. Верхняя граница составляет 500 млн рублей.
Слово «совокупного» в этой формуле путает многих. Кажется, что речь про выручку всей группы компаний, но это не так.
Чья выручка попадает в расчёт
Закон считает выручку того юридического лица, которое привлекают к ответственности. Это оператор, допустивший утечку. Совокупный размер здесь означает сумму выручки этого юрлица от всех видов его деятельности, а не сумму выручки всех компаний холдинга. Материнская компания, сестринские юрлица и другие участники группы в формулу не входят, если сами не нарушили закон.
Для холдинга это разница в разы. Утечку допустило юрлицо-прослойка с небольшой официальной выручкой, а основные продажи и деньги группы на самом деле идут через другую компанию. Штраф в такой ситуации считают по выручке именно прослойки.
Где риск для группы компаний
Судебной практики по утечкам персональных данных в холдинговых структурах пока немного. Закон действует чуть больше года. По другим оборотным штрафам, например антимонопольным, суды разбирали похожие споры и отказывались складывать выручку разных юрлиц без прямых оснований в законе. Ждать похожего подхода к утечкам ПДн разумно, но не гарантированно.
Есть и обратный риск. В реестре Роскомнадзора оператором персональных данных формально указано юрлицо с минимальной выручкой. Фактическую деятельность и доход от неё группа ведёт через другую компанию. При проверке такое расхождение способно привлечь отдельное внимание, и вопросы возникнут не только по 152-ФЗ.
Что сделать заранее
- Проверить по каждому направлению обработки персональных данных, какое юрлицо группы официально выступает оператором и указано в реестре Роскомнадзора .
- Свести выручку этого юрлица за прошлый календарный год и прикинуть возможный штраф при повторном нарушении с помощью .
- Не переносить обработку персональных данных на юрлицо с искусственно заниженной выручкой без реальной экономической причины.
- Хранить документы, которые подтверждают, что распределение выручки между юрлицами группы соответствует их реальной деятельности.
Если утечка уже случилась, дальше поможет
Пошаговый гайд «Как подать уведомление в Роскомнадзор» — что вписать в каждое поле формы, с примерами под вашу сферу, 990 ₽. Открыть гайд
с разбором обязательных шагов после инцидента. Там про уведомление РКН, работу с пострадавшими и подготовку к проверке.Частые вопросы
Штраф считают от выручки российского юрлица или всей международной группы?
От выручки конкретного юрлица-нарушителя, зарегистрированного в России. Выручка зарубежной материнской структуры в формулу не входит.
А если у юрлица-нарушителя не было выручки в прошлом году?
Закон предусматривает такой случай. Берут выручку за часть текущего календарного года до даты, когда обнаружили нарушение. Нижняя и верхняя границы штрафа остаются те же.
Оборотный штраф грозит за первую утечку или только за повторную?
За первое нарушение штрафы фиксированные, без привязки к выручке. Оборотный штраф от 1 до 3 процентов включается при повторном нарушении, если компанию уже наказывали за похожее.
Можно ли оспорить расчёт штрафа, если РКН посчитал его неверно?
Да, расчёт можно обжаловать в суде и приводить свои документы о выручке конкретного юрлица. Это отдельная тема, где нужен юрист, который ведёт административные дела.