Штрафы за утечку персональных данных: ответственность бизнеса

В рабочем чате появляется сообщение: «Таблица с клиентами открывается по ссылке». Руководитель спрашивает, сколько придется заплатить. В этот момент команда часто знает только название файла и число строк. Для оценки ответственности нужны другие сведения: нужно установить состав сведений, обстоятельства доступа, число людей, историю нарушений и действия оператора.

Коротко: главное за 30 секунд

• Сумма зависит от состава нарушения, вида данных и других обстоятельств.
• ИП по частям8–18 статьи13.11 отвечают как юридические лица.
• Проверяйте сроки уведомления параллельно с расследованием.

Штраф за утечку персональных данных нельзя определить одним процентом от выручки. В статье 13.11 КоАП РФ несколько составов с разными условиями. Ниже — ориентиры для коммерческого бизнеса по нормам, проверенным 20 октября 2026 года, и рабочий порядок подготовки фактов для юридической оценки.

Сначала установите, что произошло

Слова «взлом», «выгрузка» и «утечка» в переписке могут описывать разные события. Сотрудник мог отправить отчет другому подразделению, открыть доступ внешнему человеку или обнаружить опубликованный архив. Пока обстоятельства не проверены, нельзя уверенно выбирать часть статьи и объявлять сумму штрафа.

Начните с короткого описания события: какой ресурс затронут, какие сведения в нем находились, кому и при каких условиях они стали доступны. Отдельно запишите подтвержденное и предположения. Фраза «возможно, скачали всю базу» не должна превращаться в установленный факт после нескольких пересылок сообщения.

Практически полезно различать четыре вопроса: произошло ли нарушение; кто отвечает за обработку; какая норма применима; какое наказание может быть назначено. Ответ на первый вопрос ещё не даёт готового ответа на остальные. Рабочая таблица нужна, чтобы собрать доказательства, а не заменить рассмотрение дела.

Попросите техническую команду объяснить выводы обычным языком. Например, чем подтверждается внешний доступ: настройкой ссылки, записью журнала, скачиванием или сообщением получателя. Если журнал не сохранился, это ограничение нужно обозначить. Отсутствие записи само по себе не доказывает отсутствие доступа.

Какие штрафы предусмотрены для коммерческого оператора

Основные ориентиры приведены в частях 11–18 статьи 13.11 КоАП РФ. Таблица ниже показывает отдельные санкции для коммерческого оператора. Она не охватывает все нарушения правил обработки и не заменяет расчет по конкретному делу.

Диапазоны числа субъектов и идентификаторов переданы по формулировкам закона. Для частей 12–14 также существенно отсутствие признаков уголовно наказуемого деяния. На границах диапазонов не выбирайте санкцию самостоятельно: передайте точные сведения специалисту, который оценит применимую норму.

Размеры санкций также приведены в разъяснении Тобольской межрайонной прокуратуры. В нем отдельно отмечены оборотные штрафы за повторные нарушения. Публикация относится к изменениям 2025 года; актуальные формулировки для этого материала сверены с текстом КоАП РФ.

Не складывайте все строки таблицы, чтобы получить «максимальный счет компании». Применение нескольких норм зависит от обстоятельств и правил квалификации. Для внутренней оценки полезнее перечислить возможные вопросы с основаниями, чем показать руководителю пугающую сумму без объяснения расчета.

Почему число строк не равно масштабу нарушения

В одном файле человек может встречаться несколько раз: в заказах, обращениях и отдельных событиях доставки. В другом — одна строка может содержать сведения о нескольких людях. Поэтому отчет «обнаружено 5000 строк» пока описывает файл, но не даёт надежного числа субъектов персональных данных.

Идентификатор также нельзя без проверки приравнивать к любому столбцу. В примечании к статье 13.11 он определен через уникальное обозначение сведений о физическом лице в информационной системе оператора. Рабочую методику подсчета нужно объяснить и сохранить вместе с исходными подтверждениями.

Попросите аналитика указать, как исключались повторы, какие связанные таблицы учитывались и что осталось неизвестным. Если часть архива недоступна, не подставляйте ноль. Покажите подтвержденный объем и ограничение оценки. Уточнение масштаба должно опираться на данные, а не на желание попасть в меньший диапазон.

База меньше 1000 человек не означает отсутствия ответственности. Таблица посвящена выбранным составам, а не всем возможным нарушениям. Отдельно проверяются характер сведений, правила обработки, уведомление и другие обстоятельства. Малый размер бизнеса тоже не даёт готового ответа на вопрос о санкции.

Что важно ИП и руководителю компании

Примечание к статье 13.11 устанавливает: по частям 8–18 ИП отвечают как юридические лица. Поэтому предпринимателю нельзя ориентироваться на меньшую сумму из соседней колонки для граждан. Проверяйте именно часть статьи и специальные правила, которые относятся к ней.

Есть ещё одна существенная особенность: в частях 10–18 закон отдельно определяет должностных лиц и юридических лиц. Колонку для должностных лиц нельзя автоматически использовать как штраф директору коммерческого общества. Не переносите привычную схему из другой статьи КоАП без чтения примечаний.

Для руководителя практический вывод прост: поручите подготовить оценку по каждому участнику обработки, его роли и конкретному основанию. Список фамилий сотрудников с назначенными им «суммами ответственности» до установления обстоятельств только мешает расследованию и создает ложную уверенность.

Если данные обрабатывал подрядчик, поднимите договор, описание поручения и фактическую схему доступа. Чье название стоит на сервисе, кто выгружал файл и кто определял цели обработки — разные вопросы. Фраза «это внешняя платформа» не снимает вопрос об ответственности бизнеса.

Как читать оборотный штраф

Для предусмотренных законом повторных нарушений действует расчет в размере 1–3% выручки с ограничениями. По общему правилу части 15 нижняя граница составляет 20 млн рублей, части 18 — 25 млн рублей; верхняя — 500 млн рублей. Для кредитных организаций предусмотрена другая расчетная база.

Поэтому выражение «до трех процентов» скрывает важную часть правила. Также нельзя брать произвольный показатель из управленческого отчета: закон определяет период и состав расчетной базы, включая отдельную ситуацию, когда в предшествующем году деятельность по реализации не велась.

Учебный расчет, не назначенный штраф. Допустим, для общей модели части 15 подтверждена применимая выручка 1 млрд рублей. Один процент — 10 млн, три процента — 30 млн. С учетом общего минимума 20 млн ориентир получается 20–30 млн, а не 10–30 млн рублей.

Это арифметическая иллюстрация общего правила. Она не определяет итог наказания и не учитывает все обстоятельства конкретного дела. Повторность тоже требует юридической проверки: второе сообщение об одном событии или повторная жалоба не равны автоматически новому повторному правонарушению.

Для оценки подготовьте сведения о прежних постановлениях, их содержании, датах и исполнении. Не заменяйте документы воспоминанием «кажется, уже был штраф за сайт». История нарушений влияет на анализ, поэтому ее стоит проверять отдельно от технической хронологии текущего события.

Уведомление: отдельный вопрос, который нельзя отложить

Часть 3.1 статьи 21 закона №152-ФЗ связывает уведомление с установленным фактом неправомерной или случайной передачи, предоставления, распространения либо доступа, повлекшим нарушение прав субъектов. Отсчет связан с выявлением такого инцидента, а не с окончанием внутреннего согласования.

В течение 24 часов сообщают об инциденте, предполагаемых причинах и вреде, принятых мерах и контактном лице. В течение 72 часов — о результатах внутреннего расследования, включая сведения о лицах, действия которых стали причиной, если они известны. Это два срока от выявления, а не последовательность «24 часа плюс ещё 72».

В рабочем процессе заранее определите, кто собирает факты, кто готовит сообщение и кто может его направить при отсутствии основного сотрудника. Не стройте маршрут, в котором единственный уполномоченный человек недоступен до конца отпуска. Проверьте порядок замещения до инцидента.

Сведения в первом сообщении могут отличаться по полноте от результатов расследования. Поэтому в проекте разделяйте установленные обстоятельства и предполагаемые причины. Не заполняйте неизвестные поля выдуманными числами ради внешней законченности документа.

У каждой версии такой сводки должны быть дата и автор обновления. Если число затронутых людей изменилось, сохраните объяснение: появились сведения о втором файле, убрали повторы или уточнили состав архива. Иначе команда будет спорить, какая цифра правильная, не понимая происхождения разницы.

Рабочая карточка также полезна для передачи смены. Следующий сотрудник должен видеть, что уже сделано, что проверяется и какое решение нельзя задерживать. Фраза «все под контролем» без владельцев и времени обновления не помогает ни технической команде, ни руководителю.

Что проверить в учебном сценарии с подрядчиком

Представим синтетическую ситуацию: агентство получило отчет по заказам для согласованной работы, затем создало внешнюю ссылку. Сотрудник магазина обнаружил ее и сообщил руководителю. Это не история реального клиента и не пример уже назначенного штрафа.

Первый вопрос — какой именно отчет передали и соответствовал ли его состав задаче. Второй — кто мог открывать ссылку и как долго. Третий — какие журналы и сообщения подтверждают доступ. Четвертый — какие действия предпринимались после обнаружения. Эти вопросы проверяются параллельно с оценкой обязанности уведомления.

Сохраните переписку и технические подтверждения в согласованном месте. Не просите всех участников скачать файл для проверки: это создаст новые копии и усложнит учет доступа. Для объяснения проблемы обычно хватает описания структуры и безопасно подготовленного примера без реальных сведений.

После локализации разберите причину: лишние поля в отчете, неподходящие права, неясное поручение или отсутствие проверки внешней ссылки. Мера должна отвечать установленной причине. Запретить все выгрузки без анализа иногда означает остановить нужный процесс, оставив прежнюю проблему в другом канале.

Как связать безопасность и качество сервиса

Команде поддержки нужен понятный ответ на обращения клиентов: что подтверждено, какой вопрос передан ответственным и когда будет следующее обновление. Не обещайте отсутствие последствий, пока расследование продолжается. Не раскрывайте в публичном ответе сведения другого человека даже ради доказательства своей позиции.

Для обычной работы с обратной связью полезно отдельно анализировать повторяющиеся темы. Например, аналитика отзывов Спикс помогает разбирать обратную связь о товаре и сервисе. Такие наблюдения могут подсказать, какие объяснения покупателям непонятны; техническое расследование и правовую оценку ведут ответственные специалисты.

Не смешивайте эти задачи в одном отчете. Встречаемость жалобы описывает содержание доступной обратной связи, а число затронутых инцидентом людей устанавливается по другим подтверждениям. Популярная тема в отзывах не измеряет масштаб утечки.

Как провести разбор без поиска удобного виновного

После первичных действий назначьте отдельную встречу по причинам события. Ее цель — восстановить последовательность решений. Начните с того, зачем появился отчет, кто согласовал его состав и как сотрудник выбирал способ передачи. Так станет видно, где ошибка человека совпала с недостатком процесса.

Полезно попросить участников описать обычный рабочий день. Если безопасный маршрут занимал несколько согласований, а ссылка создавалась за минуту, выясните, почему команда обходила установленный порядок. Это не отменяет оценку действий, но помогает выбрать исправление, которое действительно будет работать.

Для каждой меры сформулируйте наблюдаемый результат. Вместо «усилить контроль» — проверить права внешних получателей в конкретной папке и сохранить подтверждение проверки. Вместо «провести обучение» — показать сотруднику, как передать нужные сведения согласованным способом, и проверить понимание на синтетическом примере.

Разделите срочные исправления и изменения, требующие подготовки. Удаление лишнего внешнего доступа и пересмотр договорного процесса могут идти с разной скоростью. В общем списке укажите владельца, зависимость и способ проверки выполнения, чтобы сложная задача не скрывала уже доступные меры.

Наконец, договоритесь, кто проверит результат через выбранный рабочий период. Не считайте отправленную инструкцию доказательством изменившегося поведения. Возьмите безопасный учебный отчет, пройдите путь передачи заново и убедитесь, что сотрудник понимает ограничения, получатель имеет нужные права, а ответственные могут объяснить ход проверки.

Частые вопросы

Можно закрыть ссылку, чтобы вопрос был решен?

Закрытие доступа — отдельное действие. Нужно проверить произошедшее до него, сохранить подтверждения и оценить последующие обязанности. Сам факт исправления настройки не даёт готового вывода о юридических последствиях.

Любая фотография относится к биометрическим данным?

Не делайте вывод только по формату файла. Для квалификации важно назначение и фактическое использование сведений. Передайте описание процесса специалисту; слово «фото» в имени папки не даёт основания для выбора части статьи.

Можно назвать клиентам точную сумму будущего штрафа?

Не стоит выдавать рабочую оценку за принятое решение. Разделяйте возможную санкцию, позицию компании и назначенное наказание. Внешнее сообщение должно опираться на подтвержденные обстоятельства и согласованную правовую оценку.

Ограничиваются ли последствия административным штрафом?

Нет, при оценке события могут возникнуть вопросы других видов ответственности и требований пострадавших. Их основания рассматривают отдельно. Таблица административных санкций не заменяет такого анализа и не описывает универсальный итог любого инцидента.

Что в итоге

Проверьте на учебной ситуации, может ли команда быстро назвать ответственных, закрыть лишний доступ, сохранить журналы и подготовить подтвержденную сводку. Используйте синтетические сведения. Результат проверки — конкретные исправления процесса с владельцами, а не формальная отметка о проведенном занятии.

Руководителю полезно иметь два отдельных документа: схему реагирования и порядок правовой оценки. Первый помогает действовать вовремя, второй — не подменять факты предположениями о наказании. Вместе они позволяют принимать решения последовательно, даже когда точный масштаб события ещё уточняется.

Авторы

Сергей Дюдяев Директор по маркетингу Спикс Отвечаю за то, как Спикс растёт и разговаривает с рынком маркетплейсов. ↗

Читайте также