Повторное нарушение 152-ФЗ грозит увеличенным оборотным штрафом
С 30 мая 2025 года повторная утечка персональных данных по 152-ФЗ наказывается не как первое нарушение, а по ставке от 1 до 3% годовой выручки компании, минимум 20 миллионов рублей. Разбираем, что считается повторным нарушением по статье 13.11 КоАП РФ, через какой срок статус снимается и что сделать, чтобы не получить второй штраф.
С 30 мая 2025 года действует новая редакция статьи 13.11 КоАП РФ. Закон № 420-ФЗ ввёл оборотные штрафы за утечку персональных данных и отдельно ужесточил ответственность для тех, кто нарушает 152-ФЗ повторно. Компания, которая уже получила штраф за утечку и не перестроила процессы, рискует получить второй штраф, в разы больше первого.
Что считается повторным нарушением
Повторным по КоАП РФ признают нарушение, которое компания или её должностное лицо совершили, уже будучи наказанными за похожее нарушение раньше. Общее правило закреплено в статье 4.6 КоАП РФ. Наказание действует со дня, когда постановление вступило в силу, и ещё год после того, как его полностью исполнили, то есть штраф уплатили. Если новая утечка персональных данных произошла в этот период, её квалифицируют как повторное нарушение статьи 13.11 КоАП РФ, а не как первое.
Пример. Оператор персональных данных заплатил штраф за первую утечку в январе 2026 года. Если вторая утечка случится до истечения года с момента уплаты штрафа, наказывать будут уже по повторной ставке.
Сколько грозит за повторное нарушение
Первое нарушение наказывают по количеству пострадавших субъектов персональных данных.
- Утечка данных менее 1000 человек. Штраф юридическому лицу от 150 до 300 тысяч рублей.
- Утечка данных от 1000 до 10 000 человек. Штраф от 3 до 5 миллионов рублей.
- Утечка данных от 10 000 до 100 000 человек. Штраф от 5 до 10 миллионов рублей.
- Утечка данных свыше 100 000 человек. Штраф от 10 до 15 миллионов рублей.
Для повторного нарушения число пострадавших уже не имеет значения. Штраф считают от годовой выручки компании: от 1 до 3 процентов, но не менее 20 миллионов рублей.
Возьмём оператора с выручкой 500 миллионов рублей в год. Первый штраф за некрупную утечку составит несколько сотен тысяч рублей. Повторный штраф от того же оператора составит от 5 до 15 миллионов рублей, потому что процент считают от всей выручки компании, а не от суммы предыдущего штрафа. Точную сумму для своей компании можно прикинуть в
.Что делать, чтобы не получить повторный штраф
После первого штрафа компанию проверяют внимательнее. Если причина утечки не устранена, второй инцидент почти неизбежен.
- Найти реальную причину первой утечки. Часто это слабый пароль, незащищённый API, доступ уволенного сотрудника или подрядчик без договора поручения. Разовая заплатка причину не устранит.
- Провести аудит систем, где хранятся персональные данные, и закрыть уязвимости, а не только ту, из-за которой уже случилась утечка. Для этого пригодится .
- Обновить или составить заново политику обработки персональных данных, формы согласий и договоры с подрядчиками, которые тоже работают с данными.
- Заранее прописать порядок действий при новой утечке. Роскомнадзор нужно уведомить предварительно в течение 24 часов с момента обнаружения инцидента и направить итоги внутреннего расследования в течение 72 часов. Порядок и сроки уведомления можно свериться в .
Перед плановой или внеплановой проверкой Роскомнадзора стоит заранее собрать документы и проверить готовность через
Чек-лист готовности к проверке Роскомнадзора
.Частые вопросы
Что считается повторным нарушением по 152-ФЗ?
Нарушение, которое компания или её должностное лицо совершили, уже будучи наказанными по статье 13.11 КоАП РФ в течение предыдущего года. Если утечка персональных данных повторилась до истечения этого срока, её наказывают как повторную.
Через какой срок нарушение перестаёт считаться повторным?
По общему правилу статьи 4.6 КоАП РФ наказание считается погашенным через год после того, как постановление исполнили, то есть штраф заплатили. После этого срока новое нарушение снова считают первым.
От какой суммы считают штраф за повторную утечку?
Штраф считают от годовой выручки компании. Ставка от 1 до 3 процентов, но не менее 20 миллионов рублей. Количество пострадавших субъектов персональных данных на размер повторного штрафа не влияет.
Что делать, если компания уже получила штраф за утечку персональных данных?
Устранить техническую причину инцидента, провести аудит систем и документов, обновить политику обработки персональных данных и договоры с подрядчиками. Это снижает риск второй утечки и повторного, уже оборотного штрафа.