Что изменилось. Федеральный закон от 30.11.2024 № 420-ФЗ переписал статью 13.11 КоАП, и с 30 мая 2025 года утечки персональных данных выделены в самостоятельные составы. Размер штрафа теперь зависит от объёма утечки, а за повторное нарушение предусмотрен оборотный штраф — процент от годовой выручки.
Порядок сумм. За первую утечку — от 3 до 15 млн рублей в зависимости от количества затронутых субъектов и записей. За повторную — от 1 до 3 процентов годовой выручки, с нижней и верхней границей в абсолютных величинах. Для компании со средним оборотом это означает, что второй инцидент обходится дороже, чем вся служба информационной безопасности за несколько лет.
Отдельный состав — работа без уведомления. Штраф предусмотрен не только за утечку, но и за обработку персональных данных без направления уведомления в Роскомнадзор, а также за неуведомление о самой утечке. Для юридических лиц это до 300 тысяч рублей.
Кого это касается. Любого, кто собирает данные: форма обратной связи на сайте, список рассылки, анкеты клиентов, кадровый учёт. Уведомление об обработке подаётся до её начала, и отсутствие уведомления — нарушение само по себе, независимо от того, случилась ли утечка.
С чего начать. С инвентаризации: какие данные собираются, где хранятся, кто имеет доступ. Дальше — уведомление в Роскомнадзор, политика обработки в открытом доступе на сайте, приказ о назначении ответственного и перечень допущенных лиц. Это тот минимум, который проверяющий спрашивает первым, и собирается он за несколько дней, а не за квартал.
Публикация носит информационный характер и отражает состояние регулирования на 4 октября 2026. Для оценки последствий в вашей ситуации нужен разбор конкретных документов.