Настоящая статья подготовлена на основе актуальных законодательных изменений, вступивших в силу с 30 ноября 2024 года (Федеральный закон от № 420-ФЗ), а также анализа судебной практики 2024–2025 годов и рекомендаций самого регулятора. Материал будет полезен операторам персональных данных, DPO (специалистам по защите данных), юристам и руководителям компаний.
Ключевое законодательное изменение: 420-ФЗ и новая штрафная сетка
Самое главное помнить, что с 30 мая 2025 года (по истечении 6 месяцев после официального опубликования 420-ФЗ) вступили в силу кардинально измененные размеры административных штрафов по ст. 13.11 КоАП РФ. Ранее действующие размеры штрафов выросли многократно, а сам подход к квалификации нарушений стал более детализированным.
Основные нововведения ст. 13.11 КоАП РФ (ред. 420-ФЗ):
- Дифференциация по объему утечки: Размер штрафа теперь напрямую зависит от количества пострадавших субъектов и объема утерянных данных.
- Честная категория данных: Установлены отдельные, максимально высокие санкции за утечку специальных категорий ПД (здоровье, биометрия, раса, политические взгляды и др.).
- Штрафы за неуведомление: Значительно повышена ответственность за непредставление уведомления о начале обработки ПД в Роскомнадзор.
Сравнительная таблица штрафов (юридические лица) — до и после 420-ФЗ
| Нарушение | Статья КоАП РФ | Старые штрафы (до ) | Новые штрафы (после ) |
|---|---|---|---|
| Неправомерная передача/распространение спец. категории ПД (ч. 16 ст. 13.11) | 13.11 ч. 16 | До 75 000 руб. | От 300 000 до 400 000 руб. (для должностных лиц — до 100 000 руб.) |
| Нарушение требований локализации (хранение БД за рубежом) | 13.11 ч. 5 | От 1 000 000 до 6 000 000 руб. | До 6 000 000 руб. (верхняя планка сохранена, но применяется активнее) |
| Обработка без согласия / нарушение прав субъектов | 13.11 ч. 1–4 | От 15 000 до 75 000 руб. | От 100 000 до 500 000 руб. (в зависимости от объема) |
| Непредставление уведомления в РКН | 13.11 ч. 7 | От 20 000 до 50 000 руб. | От 200 000 до 500 000 руб. |
| Утечка ПД (общая норма, ч. 13.11 КоАП) | 13.11 | До 75 000 руб. | От 300 000 до 1 000 000 руб. (базовые ставки), для крупных — до 3% выручки |
Примечание: Точные диапазоны зависят от квалификации нарушения (частная часть статьи), категории оператора (МСБ, СМП, крупный) и наличии повторного правонарушения.
Практика проверок Роскомнадзора: от предписаний к штрафам
Как профессиональный DPO, ежедневно сталкивающийся с запросами регулятора, отмечаю важный тренд: Роскомнадзор сохраняет подход «предупреждение — предписание, штраф», но порог перехода к штрафам существенно снизился.
Позиция регулятора по незначительным огрехам
«Исходя из известной установки, некоторые ошибки, неточности, огрехи в документах, принятых в компании и реализуемых компанией, по сравнению с требованиями законодательства, Роскомнадзор скорее всего не будет расценивать как прямое нарушение, вызывающее применение ответственности, а будет выдавать предписания об устранении».
Однако данная позиция работает только для формально-процедурных нарушений (опечатки в политике, незначительные просрочки обновления локальных актов, отсутствие ссылок на нормативные акты в согласиях).
«Красные флаги», гарантирующие штраф (практика 2024–2025)
- Утечка данных (Инцидент безопасности): Любой факт неправомерного доступа/передачи ПД, основание для возбуждения дела по ч. 13–16 ст. 13.11 КоАП. Критически важно: уведомить Роскомнадзор и субъектов в течение 24 часов (с — по новым правилам ФЗ-152). Если утечка произошла до 30 мая 2025, но уведомление подано после — применяются старые нормы (без штрафов за неуведомление РКН).
- Нарушение локализации (ч. 5 ст. 13.11): Штраф до 6 млн руб. Суды в 2024–2025 гг. подтверждают штрафы даже за использование зарубежных SaaS-сервисов (CRM, почта, аналитика) без зеркалирования БД в РФ.
- Завышенные сроки хранения: Судебная практика 2024–2025 гг. признает хранение ПД «на всякий случай» или сверх установленных законом/договором сроков, несоразмерным целям обработки (ч. 1 ст. 13.11).
- Отсутствие уведомления в реестре операторов: С новыми штрафами (до 500 тыс. руб.) проверка актуальности записи в реестре стала приоритетом плановых проверок.
Судебная практика: как оспаривать предписания и штрафы
Мониторинг судебных споров (в т.ч. реестр споров Роскомнадзора за сентябрь 2025 г., опубликован ) показывает ключевые аргументы, по которым суды отменяют акты РКН:
Успешные линии защиты операторов:
- Несоразмерность меры ответственности: Ссылка на ст. 3;5 КоАП (принцип справедливости). Суды снижают штрафы до минимума, если ущерб не причинен, утечка локализована, оператор сотрудничает.
- Отсутствие вины: Доказательство принятия всех необходимых организационных и технических мер (модель угроз, СЗИ, сертифицированные средства защиты, обучение персонала).
- Процедурные нарушения РКН: Нарушение сроков проверки, отсутствие оснований для внеплановой проверки, неправомерный запрос документов, не входящих в компетенцию регулятора.
- Спор о квалификации данных: Доказательство, что утечка не затрагивала специальные категории ПД (снижает штраф в 4–6 раз).
Пример из практики (Свидетельство о регистрации СМИ Эл № 77-20649):
Судебное разбирательство по заявлению Роскомнадзора о прекращении деятельности электронного издания (Chinovnic.ru) в Верховном Суде РФ демонстрирует, что регулятор использует полную палитру инструментов — от штрафов до радикальных мер (приостановка/прекращение деятельности) при систематических нарушениях.
Алгоритм действий при получении запроса/предписания Роскомнадзора
Рекомендую следующий чек-лист (памятку), основанный на рекомендациях самого Роскомнадзора для компаний:
- Регистрация и учет сроков: Внести входящий документ в журнал, зафиксировать дату получения. Срок исполнения предписания — как правило, 10–30 дней (указан в акте).
- Юридическая экспертиза акта: Проверить компетенцию инспектора, основания проверки (плановая/внеплановая, основание, жалоба, инцидент, мониторинг), законность запрошенных документов.
- Аудит соответствия (Gap-анализ): Внутренняя проверка на предмет наличия фактов, указанных в предписании.
- Формирование ответа:
- При согласии: план мероприятий по устранению с конкретными сроками и ответственными.
- При несогласии: мотивированный ответ с приложением доказательств (скриншоты настроек СЗИ, журналы доступа, локальные акты, согласия субъектов).
- Обжалование (при необходимости): Жалоба старшему инспектору / в суд (ГАС РФ) в 10-дневный срок (для предписаний) или 3-месячный (для постановлений о штрафе).
- Документирование устранения: Направление в РКН отчета об исполнении предписания с приложением подтверждающих документов до истечения срока;
Рекомендации по минимизации рисков (Чек-лист DPO на 2026 год)
Используя сервисы по защите ПД и рекомендации Роскомнадзора, выделим приоритетные меры:
| Направление | Ключевые действия | Риск при игнорировании |
|---|---|---|
| Локализация БД | Аудит всех используемых SaaS/облаков. Зеркалирование БД в РФ. Исключение передачи ПД за границу без оснований (ч. 5 ст. 18 ФЗ-152). | Штраф до 6 млн руб. (ч. 5 ст. 13.11 КоАП) |
| Уведомление РКН | Проверка актуальности записи в реестре. Подача уведомлений на новые цели/БД. Снятие с учета закрытых БД. | Штраф до 500 тыс. руб. (ч. 7 ст. 13.11 КоАП) |
| Сроки хранения и уничтожение | Внедрение регламента уничтожения. Автоматизация удаления по истечении сроков/цели. Логирование факта уничтожения. | Штраф за несоразмерность обработки (ч. 1 ст. 13.11 КоАП) |
| Работа со спец. категориями ПД | Инвентаризация (биометрия, мед. данные, дети). Усиленная защита (шифрование, ДУП, разграничение доступа). Отдельные согласия. | Штраф 300–400 тыс. руб. за утечку (ч. 16 ст. 13.11 КоАП) |
| Готовность к инциденту | План реагирования (24 часа на уведомление РКН и субъектов). Страхование кибер-рисков. Обучение персонала (фишинг, утечки). | Оборотные штрафы (до 3% выручки) + репутационные потери |
| Документооборот | Актуализация Политики, Согласий, Локальных актов; Наличие модели угроз, перечня СЗИ, актов категорирования объектов. | Предписания, штрафы за отсутствие документации |
Внедрение 420-ФЗ перевело защиту персональных данных из разряда «бумажной работы» в категорию критических бизнес-рисков. Штрафы в сотни тысяч и миллионы рублей, а также риск прекращения деятельности (для СМИ и критической инфраструктуры) делают инвестиции в СЗИ, аудит и компетентного DPO экономически обоснованными.
Главный совет: Не ждите проверки. Проведите внутренний аудит по чек-листу выше, устраните «красные флаги» (локализация, уведомление, сроки хранения, спец. категории) и настройте процесс уведомления об инцидентах за 24 часа. В текущей практике Роскомнадзора проактивная позиция оператора — единственный надежный способ избежать максимальных санкций.
Статья подготовлена на основе данных за . Законодательство и судебная практика могут меняться. Для принятия управленческих решений рекомендуется обратиться к актуальным текстам КоАП РФ, ФЗ-152 и консультироваться с профильным юристом.