Размеры административных штрафов за правонарушения, связанные с обработкой персональных данных и защитой информации
После 420-ФЗ утечка персональных данных — это ещё и крупные штрафы по ст. 13.11 КоАП, отдельно — за опоздание с уведомлением Роскомнадзора. Ниже таблица составов. Перед применением суммы сверьте официальный текст.
Какой документ смотреть
- 152-ФЗ «О персональных данных» — обязанности оператора, уведомления, защита.
- ст. 13.11 КоАП РФ — административные штрафы за нарушение этих обязанностей.
- 420-ФЗ от 30.11.2024 — закон, который переписал ст. 13.11 и добавил части про утечки.
- 421-ФЗ от 30.11.2024 — изменения в УК РФ. Срок и состав не пересказываю: откройте официальный текст, если оцениваете уголовный риск.
В примечаниях к ст. 13.11 для частей 10–18 «юридическое лицо» — коммерческий оператор, не госорган и не НКО. Крупные суммы в таблице ниже относятся в основном к ним.
Что считать утечкой в смысле штрафа
Части 12–14 и 16–17 говорят о действиях или бездействии оператора, которые повлекли неправомерную передачу, предоставление, распространение или доступ к информации с персональными данными. Это не «любой инцидент в SIEM». Порог считают по числу субъектов и (или) идентификаторов. Идентификатор в примечании к статье — уникальное обозначение сведений о физическом лице в ИСПДн оператора.
Если в событии есть признаки преступления, административный состав этих частей не применяют — смотрят УК. Границу «административка / уголовка» здесь не провожу: это оценка юриста по материалам дела.
Штрафы за утечку: ч. 12–18 ст. 13.11
| Часть | Суть | Граждане | Должностные лица | Юридические лица |
|---|---|---|---|---|
| 12 | 1–10 тыс. субъектов и (или) 10–100 тыс. идентификаторов | 100–200 тыс. | 200–400 тыс. | 3–5 млн |
| 13 | 10–100 тыс. субъектов и (или) 100 тыс.–1 млн идентификаторов | 200–300 тыс. | 300–500 тыс. | 5–10 млн |
| 14 | более 100 тыс. субъектов и (или) более 1 млн идентификаторов | 300–400 тыс. | 400–600 тыс. | 10–15 млн |
| 15 | повторная утечка после наказания по ч. 12–14, 16–18 | 400–600 тыс. | 800 тыс.–1,2 млн | 1–3% выручки, не менее 20 млн и не более 500 млн |
| 16 | утечка специальной категории ПДн | 300–400 тыс. | 1–1,3 млн | 10–15 млн |
| 17 | утечка биометрии (кроме ст. 13.11.3) | 400–500 тыс. | 1,3–1,5 млн | 15–20 млн |
| 18 | повтор по ч. 16 или 17 | 500–800 тыс. | 1,5–2 млн | 1–3% выручки, не менее 25 млн и не более 500 млн |
Суммы в рублях. Формула оборота в ч. 15 и 18 длинная: выручка за предыдущий календарный год либо за часть текущего, если в прошлом году реализации не было; для кредитной организации — размер собственных средств. Не упрощайте это до «3% от всего, что есть на счетах».
Уведомления Роскомнадзора: ч. 10 и 11
| Часть | Нарушение | Граждане | Должностные лица | Юридические лица |
|---|---|---|---|---|
| 10 | не уведомили или опоздали с уведомлением о намерении обрабатывать ПДн | 5–10 тыс. | 30–50 тыс. | 100–300 тыс. |
| 11 | не уведомили или опоздали при установленной утечке, нарушившей права субъектов | 50–100 тыс. | 400–800 тыс. | 1–3 млн |
Ч. 11 наказывает не «саму утечку», а срыв обязанности сообщить в уполномоченный орган. Процесс уведомления и часы/сутки из 152-ФЗ должны быть в регламенте инцидентов, а не в голове дежурного.
Как читать таблицу на своём случае
Это ориентир по открытому тексту, не квалификация события и не консультация. Перед применением сверьте актуальную редакцию ст. 13.11.
- Коммерческий оператор, в ИСПДн около 8 тыс. субъектов, утечка без спецкатегорий и биометрии — смотрите ч. 12: для юрлица в таблице 3–5 млн. Если субъектов 40 тыс. — уже ч. 13 (5–10 млн).
- Та же утечка, но в наборе были сведения о здоровье — смотрите ч. 16 (спецкатегория), не «просто ч. 12 по штукам».
- Уведомили Роскомнадзор с опозданием при установленной утечке — отдельно ч. 11 (для юрлица 1–3 млн), даже если спор о ч. 12–14 ещё идёт.
- На сайте нет политики обработки ПДн — ч. 3, для юрлица 30–60 тыс. Это не «штраф за утечку».
Повтор после наказания и оборотный процент — ч. 15 и 18; формулу выручки не упрощайте. Госорган и НКО часто считают по другим примечаниям — не подставляйте миллионы из колонки «юридические лица» автоматически.
Другие частые составы ст. 13.11
Кратко, не полный кодекс. Суммы — ориентир, не основание для претензии контрагенту.
- ч. 1 — обработка не по закону или несовместимая с целью сбора: для юрлица 150–300 тыс.; повтор (ч. 1.1) — 300–500 тыс.
- ч. 2 — нет письменного согласия там, где оно обязательно, или сломано содержание согласия: для юрлица 300–700 тыс.; повтор (ч. 2.1) — 1–1,5 млн, для ИП 500 тыс.–1 млн.
- ч. 3 — нет политики обработки ПДн в открытом доступе: для юрлица 30–60 тыс.
- ч. 8 — не локализовали запись и хранение ПДн граждан РФ: для юрлица 1–6 млн; повтор (ч. 9) — 6–18 млн.
Если ваш контур — госорган или НКО, смотрите примечания к статье: для части составов адресат штрафа другой.
Как делают в международной практике
152-ФЗ и КоАП — российское право. NIST CSF и SP 800-53 — добровольные рамки: инвентаризация данных, контроль доступа, реакция на инцидент. Они не заменяют уведомление Роскомнадзора и не задают рублевые штрафы.
Источники
- Федеральный закон от 30.11.2024 № 420-ФЗ «О внесении изменений в Кодекс Российской Федерации об административных правонарушениях». Официальное опубликование: http://publication.pravo.gov.ru/document/0001202411300011. Дата обращения: 11.10.2026.
- Федеральный закон от 30.11.2024 № 421-ФЗ «О внесении изменений в Уголовный кодекс Российской Федерации». Официальное опубликование: http://publication.pravo.gov.ru/document/0001202411300012. Дата обращения: 11.10.2026. Состав и санкцию читайте в тексте закона, здесь не пересказываю.
- КоАП РФ, ст. 13.11. Текст частей 1–18 сверялся 11.10.2026 по справочной публикации, указавшей редакцию с изменениями, в силу с 01.09.2026. Официальную консолидированную редакцию смотрите на pravo.gov.ru / в вашей правовой системе перед применением суммы.
- Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных». URL: http://pravo.gov.ru/.
