Главная / База знаний / Статья
Информационная безопасность
Штрафы за нарушение 152-ФЗ и что проверяет Роскомнадзор
Коротко. С 30 мая 2025 года штрафы за нарушения с персональными данными выросли в разы. Общий штраф для компании 150–300 тысяч рублей, за утечку от 3 до 20 миллионов в зависимости от объёма и вида данных, а повторная утечка обойдётся в 1–3% годовой выручки, но не меньше 20 и не больше 500 миллионов рублей. Роскомнадзор в первую очередь смотрит на уведомление в реестре, политику, согласия, хранение данных в России и реакцию на утечки.
Сколько стоит нарушение
Штрафы для организаций по ст. 13.11 КоАП РФ в редакции, действующей с 30 мая 2025 года.
| Нарушение | Штраф для организации |
|---|---|
| Обработка персональных данных с нарушением закона (общий состав) | 150–300 тыс. ₽, повторно 300–500 тыс. ₽ |
| Не подали уведомление о намерении обрабатывать данные | 100–300 тыс. ₽ |
| Не сообщили Роскомнадзору об утечке | 1–3 млн ₽ |
| Утечка данных 1 тыс. и более человек или 10 тыс. и более идентификаторов | 3–5 млн ₽ |
| Утечка данных 10 тыс. и более человек или 100 тыс. и более идентификаторов | 5–10 млн ₽ |
| Утечка данных более 100 тыс. человек или более 1 млн идентификаторов | 10–15 млн ₽ |
| Утечка специальных категорий данных | 10–15 млн ₽ |
| Утечка биометрических данных | 15–20 млн ₽ |
| Повторная утечка | 1–3% годовой выручки, от 20–25 млн до 500 млн ₽ |
Кроме штрафов, с 11 декабря 2024 года действует статья 272.1 Уголовного кодекса о незаконном использовании, передаче, сборе и хранении компьютерной информации с персональными данными (введена законом № 421-ФЗ).
Что проверяет Роскомнадзор
Проверки идут по закону о государственном контроле (248-ФЗ). Часть нарушений Роскомнадзор видит без выезда: изучает сайты, формы и открытые данные. Поводом для внеплановой проверки часто становится жалоба клиента или бывшего сотрудника.
Обычно смотрят:
- Уведомление. Есть ли компания в реестре операторов и соответствуют ли сведения в уведомлении реальной обработке.
- Политика. Опубликована ли политика обработки персональных данных на сайте, если данные собирают через него (ч. 2 ст. 18.1 закона).
- Согласия. С 1 сентября 2025 года согласие оформляется отдельным документом, его нельзя прятать в политику, оферту или договор.
- Формы на сайте. Есть ли ссылка на согласие и политику, не отмечена ли галочка заранее.
- Хранение в России. Сбор, запись и хранение данных граждан России должны идти в базах данных на территории страны (ч. 5 ст. 18 закона).
- Передача за границу и сервисы. Для трансграничной передачи нужно отдельное уведомление. Проверьте, куда уходят данные из форм, аналитики и почты.
- Внутренние документы. Назначен ли ответственный, есть ли положение о защите, приказы, журнал учёта носителей.
- Сроки и уничтожение. Сколько хранятся данные и как подтверждается их уничтожение.
- Утечки. Есть ли порядок реагирования: уведомить Роскомнадзор в течение 24 часов и направить результаты расследования в течение 72 часов.
Как проверить себя за час
- Найдите свою компанию в реестре операторов на сайте Роскомнадзора.
- Откройте свой сайт: есть ли политика и отдельное согласие, ведут ли на них формы.
- Посчитайте, где у вас лежат персональные данные: CRM, таблицы, почта, облака. Все ли они в России.
- Проверьте, у кого есть доступ к клиентской базе и выгружали ли её.
- Спросите, кто в компании отвечает за персональные данные. Если никто, это первое, что нужно исправить.
Источники
- Кодекс РФ об административных правонарушениях
- Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»
- Федеральный закон от 31.07.2020 № 248-ФЗ «О государственном контроле (надзоре)…»
Частые вопросы
Нужно ли уведомлять Роскомнадзор, если у нас только сотрудники?
Почти всегда да. Исключения в законе есть, но после изменений 2022 года под них попадает мало компаний. Проверьте свою ситуацию по ст. 22 закона № 152-ФЗ или у специалиста.
Нужно ли заново собирать согласия, полученные до 1 сентября 2025 года?
Нет. Новое правило об отдельном документе касается согласий, которые оформляются с 1 сентября 2025 года.
Что делать, если утечка уже случилась?
В течение 24 часов уведомить Роскомнадзор, в течение 72 часов направить результаты внутреннего расследования. Параллельно закрыть канал утечки и сохранить следы.
Штрафуют ли за cookie на сайте?
Если через cookie и сервисы аналитики обрабатываются персональные данные, на них распространяются общие правила: нужны основание обработки и описание в политике.
