Инспекции Роскомнадзора по проверке соблюдения законодательства о персональных данных (Закон № 152-ФЗ «О персональных данных») стали рутинной практикой для российского бизнеса. С введением существенных поправок в Кодекс об административных правонарушениях (КоАП РФ) и Уголовный кодекс (УК РФ) за последние годы, цена ошибки выросла многократно. На 2026 год штрафы исчисляются миллионами рублей, а для повторных нарушений — десятками миллионов, вплоть до уголовной ответственности для должностных лиц.

В данной статье подробно разбираются виды ответственности, процедура проведения проверок, актуальные суммы штрафов, судебная практика и алгоритм действий при выявлении нарушений.

Нормативная база: на чем строятся претензии регулятора

Основным документом, регламентирующим отношения по обработке персональных данных (ПДн), является Федеральный закон от № 152-ФЗ «О персональных данных». Однако ответственность за его нарушение установлена в других кодексах:

• КоАП РФ (ст. 13.11, 19.5, 19.7 и др.) — административная ответственность (штрафы, предписания).
• УК РФ (ст. 137, 272, 273, 274) — уголовная ответственность (штрафы, обязательные работы, ограничение/лишение свободы).
• ГК РФ (ст. 151, 1064, 1100) — гражданско-правовая ответственность (возмещение ущерба и морального вреда).
• ТК РФ (ст. 192, 81) — дисциплинарная ответственность работников (выговор, увольнение).

Важно: С 2022 года Роскомнадзор получил право проводить внеплановые проверки без посещения объекта (камеральные проверки) на основании обращений граждан, СМИ или иных сведений. Срок такой проверки — до 30 рабочих дней (продлевается до 60).

Процедура инспекции: что проверяет Роскомнадзор

Проверка может быть плановой (входит в план работы ведомства на год, частота — не чаще 1 раза в 3 года для МСБ) или внеплановой (по жалобам, сообщениям в СМИ, результатам предыдущих проверок).

Основные направления проверки (чек-лист инспектора):

1. Наличие и актуальность локальных актов: Политика конфиденциальности, Положение о защите ПДн, Инструкция по защите ПДн, Журналы учета операций с ПДн.
2. Согласия субъектов ПДн: Наличие, форма (письменная/электронная), содержание (цели, сроки, перечень данных), процедура отзыва.
3. Обеспечение безопасности ПДн (технические и организационные меры): Модель угроз, оценка вреда, сертифицированные СЗИ (ФСТЭК/ФСБ), шифрование, контроль доступа, защита от утечек (DLP), резервное копирование.
4. Учет операций с ПДн: Ведение журналов (бумажных или электронных) с фиксацией всех действий: сбор, запись, хранение, передача, удаление, уничтожение.
5. Порядок взаимодействия с третьими лицами (операторами/уполномоченными): Наличие договоров с условиями защиты ПДн (ст. 28.1 152-ФЗ).
6. Трансграничная передача: Наличие оснований (адекватная защита, согласия, договоры со стандартными условиями).
7. Реакция на инциденты (утечки): Наличие плана реагирования, своевременность уведомления Роскомнадзора и субъектов ПДн (в течение 24 часов после обнаружения/подтверждения).
8. Права субъектов ПДн: Обеспечение прав на доступ, уточнение, блокирование, удаление, отзыв согласия (срок ответа — 30 календарных дней).

Административная ответственность (КоАП РФ): Тарифы 2026 года

Главная статья — ст. 13.11 КоАП РФ «Нарушение законодательства в области персональных данных». Штрафы дифференцированы по категориям нарушителей и видам нарушений.

Таблица основных штрафов (ст. 13.11 КоАП РФ на 2026 год):

Другие актуальные статьи КоАП РФ:

• Ст. 19.5 КоАП РФ — Неисполнение законного предписания (должностные лица: 1 000 – 2 000 руб., юрлица: 50 000 – 100 000 руб.). Часто применяется параллельно со ст. 13.11 за игнорирование предписания об устранении нарушений.
• Ст. 19.7 КоАП РФ — Нарушение порядка осуществления деятельности по защите критической информационной инфраструктуры (КИИ) / значимых объектов (для операторов КИИ/ЗО штрафы до 500 000 руб. за нарушение, до 1 000 000 руб. за повторное).
• Ст. 13.12 КоАП РФ, Нарушение законодательства об информации, информационных технологиях и защите информации (например, отсутствие локализации баз данных — ч. 2 ст. 13.11 или ст. 13.12 в зависимости от квалификации, штрафы до 6 млн руб. для юрлиц).

Уголовная ответственность (УК РФ): когда дело доходит до суда

Уголовная ответственность наступает при наличии умысла и тяжевых последствий (крупный ущерб — от 250 000 руб., особо крупный, от 1 000 000 руб., либо причинение вреда здоровью/правам граждан).

Ключевые статьи УК РФ:

• Ст. 137 УК РФ «Нарушение неприкосновенности частной жизни», сбор/распространение сведений о частной жизни без согласия.
  • Ч. 1: штраф до 200 т.р. или до 2 лет испр.работ/ареста/свободы.
  • Ч. 2 (с использованием служебного положения): штраф до 300 т.р. или до 3 лет лишения свободы.
• Ст. 272 УК РФ «Неправомерный доступ к компьютерной информации» — часто применяется при взломе баз данных сотрудниками или хакерами (соучастниками). Наказание до 2 лет лишения свободы (ч.1), до 5 лет (ч.2, группой лиц/с использованием служебного положения).
• Ст. 273 УК РФ «Создание, использование и распространение вредоносных компьютерных программ» — если утечка вызвана вирусом, загруженным умышленно.
• Ст. 274 УК РФ «Нарушение правил эксплуатации средств хранения, обработки или передачи компьютерной информации» — халатность, повлекшая уничтожение/повреждение/разглашение инфы. Наказание до 4 лет лишения свободы (ч.2 — тяжкие последствия).

Практика: Дела по ст. 272 и 274 УК РФ возбуждаются регулярно против бывших сисадминов/разработчиков, скачавших базы клиентов при увольнении, а также против руководителей компаний, халатно подходивших к защите (отсутствие СЗИ, открытые порты, дефолтные пароли), если это привело к массовой утечке.

Гражданско-правовая ответственность: риски исков от субъектов ПДн

Согласно ст. 151, 1064, 1100 ГК РФ, оператор обязан возместить ущерб (реальные расходы: замена паспорта, переоформление кредитов, юристы) и моральный вред (физические/нравственные страдания).

Тенденции судебной практики 2024–2026 гг.:

• Презумпция вины оператора: Если утечка произошла из информационной системы оператора, суд считает, что меры безопасности были недостаточны (п. 19 Постановления Пленума ВС РФ от № 7). Оператор должен доказать, что принимал все необходимые и достаточные меры (соответствие ФСТЭК, актуальная модель угроз, работающие DLP/SIEM).
• Размеры компенсаций: Раньше суды присуждали 1 000 – 5 000 руб. На 2026 год средние суммы по коллективным искам составляют 10 000 – 50 000 руб. на одного пострадавшего, в крупных утечках (миллионы записей), до 100 000 руб. и выше.
• Коллективные иски: Роспотребнадзор и общественные организации все чаще подают иски в защиту неопределенного круга лиц (ст. 37 ЗоЗПП). Это ведет к выплатам в сотни миллионов рублей.

Разбор актуальной практики: кейсы 2025–2026 гг.

Информация из открытых источников за начало 2026 года подтверждает жесткий курс регулятора к крупным международным и российским игрокам:

Алгоритм действий компании при проведении проверки

1. Встреча инспекторов: Проверить служебные удостоверения, приказ о проверке (для плановой), основание (для внеплановой). Составить акт осмотра (если есть доступ к серверной/офису).
2. Предоставление документов: Выдавать только по письменному требованию (требование по форме). Вести журнал вручения/получения документов. Не предоставлять то, что не требуется (коммерческая тайна, не относящаяся к ПДн), но с мотивированным отказом.
3. Работа с предписанием: По итогам проверки выдается Предписание об устранении нарушений. Его обязательно нужно обжаловать в суде (ГАС) в течение 10 дней со дня получения, если вы не согласны. Игнорирование = ст. 19.5 КоАП РФ + принудительное исполнение.
4. Протокол об административном правонарушении: Составляется отдельно. Изучить протокол, написать объяснения («С протоколом не согласен, нарушение не совершалось / нет вины / истек срок давности 2 года / меры безопасности соответствуют актам ФСТЭК»).
5. Судебная защита: Дело рассматривает мировой судья (штрафы до 50 тыс. руб. на юрлица) или районный суд (остальные). Необходимо представить: Модель угроз, Акт оценки вреда, Сертификаты ФСТЭК на СЗИ, Журналы, Договоры с подрядчиками, Скриншоты настроек DLP/Антивируса/Бэкапов.

Чек-лист подготовки к проверке (Self-Audit)

Проводите внутренний аудит хотя бы раз в квартал:

• [ ] Локальные акты: Политика конфиденциальности на сайте/в приложении актуальна? Есть Положение о защите ПДн, Инструкция, План реагирования на инциденты? Утверждены приказом директора?
• [ ] Персонал: Назначен Ответственный за защичу ПДн (приказ)? Пройдено обучение всех с доступом к ПДн (протоколы за последнее время)? Подписаны допуски/NDA?
• [ ] Согласия: Есть у всех сотрудников/клиентов/подрядчиков? Форма соответствует ст. 9 152-ФЗ? Есть механизм отзыва (кнопка/форма)?
• [ ] Техзащита (ФСТЭК): Проведена категорирование объекта (1-4 класс или не подлежит)? Разработана Модель угроз? Проведена Оценка вреда? Внедрены сертифицированные СЗИ (антивирус, МЭ, DLP, контроль целостности, шифрование)? Пройдена аттестация (для 1-3 классов)?
• [ ] Журналы учета: Ведутся ли (электронно/бумага)? Фиксируют ли все операции? Есть ли журнал инцидентов?
• [ ] Трансграничная передача: Есть карта потоков данных? Для каждой передачи за рубеж, основание (адекватность, ССУ, согласие)?
• [ ] Инциденты: Есть план? Проводились учения? Уведомляли ли Роскомнадзор за 24ч при последних инцидентах (даже малых)?
• [ ] Права субъектов: Отработан процесс ответа на запросы за 30 дней? Есть образцы ответов?
• [ ] Договоры с подрядчиками (Операторами): Есть у всех (хостинг, CRM, почта, колл-центр, облака)? Содержат ли условия ст. 28.1 152-ФЗ (обязательства по защите, запрет сублицензирования без согласия, уведомление об инцидентах)?

Типовые ошибки, приводящие к максимальным штрафам

1. «Бумажная» защита: Документы есть, а технических средств (СЗИ) нет или они не настроены/не обновляются. Инспекторы проверяют фактическое состояние (сканирование портов, проверка логов, тестовые проникновения).
2. Игнорирование инцидентов: Утечка была, но не уведомили Роскомнадзор за 24 часа (ч. 7 ст. 13.11 КоАП РФ, до 500 тыс. руб.) или уведомили формально, без описания масштаба/мер ликвидации.
3. Отсутствие модели угроз и оценки вреда: Базовое требование приказа ФСТЭК № 21. Без них невозможно обосновать достаточность мер защиты. Автоматическое основание для ч. 4 ст. 13.11 КоАП РФ (500 тыс. – 1 млн руб.).
4. Неконтроль подрядчиков: Передали данные в CRM/облако/колл-центр без договора с условиями ст. 28.1 152-ФЗ. Утечка у подрядчика = ваша ответственность (ч. 4 ст. 13.11).
5. Просрочка ответов субъектам ПДн: Массовые жалобы в Роскомнадзор на игнорирование запросов на удаление/доступ → ч. 2 ст. 13.11 + предписание + ст. 19.5 КоАП РФ.

На 2026 год ответственность за нарушение законодательства о персональных данных при инспекции представляет собой многоуровневую систему рисков: от административных штрафов (до 5 млн руб. за повторное нарушение безопасности) и уголовных статей для руководства/ИТ-специалистов, до коллективных гражданских исков на сотни миллионов рублей.

Ключевая стратегия защиты — демонстрация надлежащей добросовестности (Due Diligence):

• Внедрить и реально эксплуатировать сертифицированные СЗИ (ФСТЭК/ФСБ).
• Проводить регулярные внутренние аудиты и пентесты (хотя бы раз в год).
• Автоматизировать учет операций и управление согласиями (DLP, SIEM, CMP).
• Обучать персонал и фиксировать это документально.
• Иметь готовый план реагирования на инциденты и уведомлять регулятор проактивно.

Инспекция Роскомнадзора не должна стать неожиданностью. Грамотно построенная система защиты ПДн — это не только способ избежать штрафов, но и конкурентное преимущество, репутационный актив и обязательное условие для работы с госзаказом, КИИ и крупными корпоративными клиентами.