30 мая 2025 года в КоАП 13.11 вступили в силу новые санкции за утечку персональных данных. Раньше: разовый штраф 60–100 К ₽ независимо от масштаба. Сейчас: прогрессивная шкала + оборотные штрафы при повторе.
Новая шкала штрафов за утечку
| Объём утечки | Штраф юрлицу |
|---|---|
| от 1 000 до 10 000 субъектов | 3–5 млн ₽ |
| от 10 000 до 100 000 | 5–10 млн ₽ |
| от 100 000 | 10–15 млн ₽ |
| Спецкатегория (медицина, биометрия) | 10–15 млн ₽ |
Оборотные штрафы при повторной утечке
Если в течение года произошла повторная утечка — штраф не фиксированный, а в проценте от годовой выручки:
- Минимум: 1% годовой выручки, не менее 20 млн ₽
- Максимум: 3% годовой выручки, не более 500 млн ₽
Это означает, что компания с оборотом 1 млрд ₽ за повторную утечку получит 10–30 млн ₽, а компания с оборотом 100 млрд — 1–3 млрд ₽.
Что считается «утечкой»
- Слив базы клиентов в открытый доступ (наиболее очевидное)
- Получение неавторизованным лицом доступа к ПД (например, из-за дыры в коде сайта)
- Случайная отправка письма с данными «не туда»
- Утеря флешки/ноутбука с базой
- Хакерская атака с эксфильтрацией
- Передача ПД подрядчику без надлежащего договора и без согласия субъектов
Неуведомление об утечке — отдельный штраф
С 2024 года при обнаружении утечки оператор обязан:
- Уведомить РКН в течение 24 часов
- Уведомить пострадавших субъектов в течение 72 часов
- Принять меры по локализации в течение 72 часов
За неуведомление РКН — отдельный штраф 1–3 млн ₽. Этот штраф добавляется к штрафу за саму утечку.
Кому грозит больше всего
Парадокс новой шкалы: крупный бизнес может «откупиться» 15 млн (что для оборота 100 млрд — мелочь), но средний бизнес с оборотом 200–500 млн ₽ за повторную утечку получит 20+ млн ₽ — это удар, который может уничтожить компанию.
Минимальная защита
- Шифрование баз данных (TDE/at-rest encryption)
- Двухфакторная аутентификация для всех админских доступов
- Ограничение прав: каждый сотрудник видит только нужные ему данные
- Регулярные бэкапы — но тоже зашифрованные (украденный незашифрованный бэкап = утечка)
- SIEM-мониторинг или хотя бы логирование всех обращений к базе ПД
- Договор о неразглашении (NDA) с каждым подрядчиком, обрабатывающим ПД
- Регулярный пентест (раз в год минимум)
- Страхование киберрисков — рынок появился в 2024–2025, премии 100–500 К ₽ в год покрывают штрафы до 10 млн
Если утечка уже случилась
- Локализовать (отключить уязвимый сервис) — 24 часа
- Уведомить РКН через https://rkn.gov.ru/ — 24 часа
- Провести внутреннее расследование, зафиксировать факт
- Уведомить пострадавших субъектов любым доступным способом — 72 часа
- Подготовить комплект документов для проверки РКН
- Связаться с юристами по 152-ФЗ для минимизации штрафа (своевременное уведомление + добровольные меры — смягчающее обстоятельство)