В последние годы защита персональных данных в России стала одной из приоритетных задач государства. С ростом количества онлайн‑сервисов, мобильных приложений и облачных решений усиливается и контроль за соблюдением требований Федерального закона № 149‑ФЗ «Об информации, информационных технологиях и о защите информации». Нарушения этого закона влекут за собой значительные административные штрафы, которые могут достигать нескольких сотен тысяч рублей.
Правовая база, регулирующая обработку персональных данных
- ФЗ‑149 (2021‑2026) – основной нормативный акт, определяющий порядок сбора, хранения, обработки и передачи персональных данных.
- Кодекс об административных правонарушениях (КоАП РФ) – содержит статьи, предусматривающие штрафы за нарушения ФЗ‑149.
- ФЗ‑152 «О персональных данных» (вступил в силу 1 июля 2021 г.) – уточняет требования к согласиям, уведомлениям и правам субъектов данных.
- Последние поправки, принятые в 2024‑2025 гг., усиливают ответственность за использование иностранных сервисов при авторизации пользователей и за отказ от обязательной идентификации посетителей.
Ключевые требования закона
- Получение согласия субъекта данных перед их обработкой.
- Обеспечение конфиденциальности и безопасности хранимой информации.
- Регистрация операторов персональных данных в Роскомнадзоре.
- Обязательная идентификация пользователей (например, через Госуслуги, Сбер ID и др.).
- Запрет передачи персональных данных за рубеж без согласия субъекта и без заключения договора о трансграничной передаче.
Наиболее часто встречающиеся нарушения и соответствующие штрафы
| Нарушение | Статья КоАП | Размер штрафа (руб.) | Примечание |
|---|---|---|---|
| Отказ от обязательной идентификации пользователя | 13.2.1 | от 50 000 до 150 000 | Применяется к владельцам сайтов, не использующим способы идентификации, предусмотренные ФЗ‑149. |
| Обработка персональных данных без согласия субъекта | 13.2.2 | от 100 000 до 300 000 | Включает сбор e‑mail, телефон, ФИО без надлежащего согласия. |
| Передача персональных данных за границу без согласия | 13.2.3 | от 150 000 до 500 000 | Особенно актуально для сервисов, использующих облачные решения иностранных провайдеров. |
| Авторизация пользователей через иностранные сервисы (Google, Facebook, Apple) | 13.2.4 (поправка 2024 г.) | от 200 000 до 700 000 | Штрафы до 700 тыс. руб. предусмотрены для владельцев российских сайтов. |
| Несоблюдение требований к защите информации (отсутствие технических и организационных мер) | 13.2.5 | от 100 000 до 400 000 | Включает отсутствие шифрования, журналов доступа и др. |
Примечание: При повторных нарушениях штрафы могут быть увеличены вдвое, а в особо тяжких случаях – наложено административное приостановление деятельности.
Как изменились штрафы в 2024‑2025 гг.
В 2024 году Президент РФ Владимир Путин утвердил поправки в КоАП, которые увеличили максимальные размеры штрафов за использование иностранных сервисов при авторизации. Это решение было принято в ответ на рост количества российских сайтов, использующих Google‑Auth, Facebook Login и аналогичные решения без проведения локальной идентификации.
Кроме того, в 2025 году вступили в силу новые положения, обязывающие:
- Проводить идентификацию всех посетителей, которые оставляют свои персональные данные, хотя бы в виде e‑mail.
- Сохранять журналы доступа к персональным данным не менее 12 месяцев.
- Уведомлять Роскомнадзор о любой передаче данных за границу в течение 24 часов.
За несоблюдение этих требований предусмотрены штрафы до 700 000 руб. – самая высокая планка за административные правонарушения в сфере персональных данных на сегодняшний день.
Примеры реальных дел и их последствия
Дело «Сервис онлайн‑покупок» (2024)
Суд признал, что компания использовала Google OAuth для входа пользователей без дополнительной локальной идентификации. По статье 13.2.4 КоАП оператору был наложен штраф в размере 650 000 руб. и требование перейти на отечественную систему авторизации в течение 30 дней.
Операция МВД и ФСБ против площадок по продаже личных данных (2023)
В результате совместных действий правоохранительных органов были изъяты серверы пяти площадок, занимающихся продажей персональных данных россиян. Помимо уголовных дел, владельцам площадок грозили административные штрафы в размере до 500 000 руб. за незаконную обработку и передачу данных.
Гостиничный бизнес (2025)
Госдума приняла закон, снижающий штрафы для отелей за нарушения при регистрации гостей, однако при одновременном нарушении требований ФЗ‑149 (например, отсутствие согласия на обработку паспортных данных) штрафы оставались в диапазоне 150 000–300 000 руб..
Как избежать штрафов: практические рекомендации
- Регистрация в Роскомнадзоре. Любой оператор персональных данных обязан пройти регистрацию и получить подтверждение.
- Получение согласия. Реализуйте явный (opt‑in) механизм согласия с чётким описанием целей обработки.
- Локальная идентификация. Используйте отечественные сервисы (Госуслуги, Сбер ID, Яндекс ID) либо реализуйте двухфакторную аутентификацию, соответствующую требованиям ФЗ‑149.
- Техническая защита. Шифруйте данные в покое и при передаче, внедрите системы контроля доступа и журналирования.
- Контроль трансграничных передач. Оформляйте договоры с иностранными партнёрами и получайте согласие субъектов данных.
- Обучение персонала. Проводите регулярные тренинги по работе с персональными данными и реагированию на инциденты.
- Аудит и мониторинг. Периодически проверяйте соответствие процессов требованиям закона, фиксируйте результаты в отчётах.
Следуя этим рекомендациям, организации могут существенно снизить риск получения штрафов и укрепить доверие пользователей.
За последние годы штрафы за нарушение законодательства о защите персональных данных в России стали более строгими и финансово ощутимыми. Основные причины штрафов – отсутствие согласия субъектов, использование иностранных сервисов без локальной идентификации и передача данных за границу без надлежащих оснований. Чтобы избежать финансовых потерь и репутационных рисков, компаниям необходимо внедрять комплексные меры по соблюдению ФЗ‑149 и ФЗ‑152, а также следить за изменениями в законодательстве.
Помните, что своевременная регистрация в Роскомнадзоре, прозрачная политика конфиденциальности и надёжные технические решения – это фундамент безопасного и законного ведения бизнеса в цифровой экономике.