Блог · 152-ФЗ

Оборотные штрафы за утечки персональных данных: 420⁠-⁠ФЗ и что делать оператору

С 30 мая 2025 года утечка персональных данных — это не репутационная история, а штраф до 20 млн ₽ за разовый инцидент и до 3% годовой выручки за повторный. Разбираем реальные суммы, за что штрафуют чаще всего и как оператору проверить себя до проверки Роскомнадзора.

Проверить соответствие — экспресс-аудит 20 минут

Опубликовано 6 сентября 2026 · суммы и сроки проверены по первоисточникам

01 · 420-ФЗ

Какие штрафы теперь реальные

Федеральный закон от 30.11.2024 № 420-ФЗ действует с 30 мая 2025 года и касается всех операторов персональных данных: юрлиц, ИП, государственных и муниципальных организаций, медучреждений, научных институтов и предприятий ОПК. Он применяется к утечкам, произошедшим после 30.05.2025.

Ст. 13.11 КоАП РФ · для юрлиц и ИП

Нарушение (утечки после 30.05.2025)	Штраф
Неуведомление Роскомнадзора об инциденте (утечке)	1–3 млн ₽
Утечка ≥ 1 000 субъектов или ≥ 10 000 идентификаторов	3–5 млн ₽
Утечка ≥ 10 000 субъектов или ≥ 100 000 идентификаторов	5–10 млн ₽
Утечка > 100 000 субъектов или > 1 000 000 идентификаторов	10–15 млн ₽
Утечка биометрических персональных данных	15–20 млн ₽
Повторная утечка тех же данных или причина не устранена	оборотный: 1–3% выручки за предшествующий год, не менее 25 млн ₽ и не более 500 млн ₽

Отдельные составы: отказ заключить договор из-за отказа клиента от биометрической идентификации — 200–500 тыс. ₽ для юрлиц и 50–100 тыс. ₽ для должностных лиц. А за непредставление в РКН уведомления об обработке персональных данных с 30.05.2025 штраф для юрлиц — до 100–300 тыс. ₽.

Ключевое: раньше максимум по 152-ФЗ измерялся сотнями тысяч рублей и штраф часто был дешевле реальной защиты. Теперь штраф за одну утечку сопоставим с бюджетом ИБ на несколько лет, а повторная утечка бьёт по выручке.

Полный трекер нормативной базы 2025–2026

02 · Практика

За что операторов штрафуют чаще всего

Три типовые ситуации, в которых суммы из таблицы становятся реальностью.

Сама утечка

Сумма зависит от масштаба: количество субъектов и идентификаторов.
Биометрия — самая дорогая категория: 15–20 млн ₽ независимо от «небольшого» объёма.
Повторная утечка тех же данных или неустранённая причина — переход на оборотный штраф.

Молчание об инциденте: 24 и 72 часа

По 233-ФЗ (с 01.09.2025) о выявленном инциденте нужно сообщить в Роскомнадзор в течение 24 часов — через Портал ПДн.
В течение 72 часов — результаты внутреннего расследования: причины, лица, оценка вреда субъектам.
Утёкшие данные необходимо заблокировать или уничтожить.

Штраф за молчание (1–3 млн ₽) приходит раньше и гарантированнее, чем штраф за саму утечку — его не нужно доказывать через масштаб.

Согласия на обработку

С 01.09.2025 согласие оформляется отдельным документом или отдельным действием — «спрятать» его в оферте или договоре нельзя.
Обязательный состав: действия с данными, цели, срок, способ отзыва, перечень третьих лиц.
Оператор обязан хранить согласия и фиксировать действия с ними.

Привести ПДн в соответствие

03 · Самопроверка

Чек-лист самопроверки оператора

Семь вопросов, на которые стоит ответить «да» до любой проверки или жалобы субъекта.

1. Уведомление в РКН подано и актуально. Уведомление об обработке ПДн обязательно для большинства операторов с 01.09.2022; статус можно проверить в реестре операторов РКН. Непредставление — до 100–300 тыс. ₽.
2. Модель угроз актуализирована под приказ ФСТЭК № 0001. С 01.09.2025 он заменил приказ № 21 от 2013 года; старая документация формально не соответствует новым требованиям.
3. Меры защиты включают мониторинг и реагирование. Приказ № 0001 добавил требования к мониторингу событий безопасности и реагированию на инциденты — их нужно закрыть не только на бумаге.
4. Согласия на сайте и в документах пересмотрены. Отдельная форма, полный состав, способ отзыва, третьи лица; согласия хранятся, действия с ними фиксируются.
5. Назначены ответственные за инциденты. Конкретные люди, смены и полномочия — не «отдел ИТ в целом».
6. Инцидент-процесс отработан до реального инцидента. Доступ к Порталу ПДн, шаблоны уведомлений 24ч/72ч, методика оценки вреда субъектам, порядок блокировки и уничтожения утёкших данных.
7. Подрядчики, обрабатывающие ваши ПДн, включены в процесс. Требования к взаимодействию с подрядными организациями закреплены приказом № 0001.

Расширенный чек-лист «Соответствие ПДн — 2026» (12 пунктов)

04 · План

Что сделать в первую очередь

Если начинать с нуля, порядок такой — от самого дешёвого к самому дорогому.

Инвентаризация

Где и какие персональные данные обрабатываются, кто доступ имеет, подано ли уведомление в РКН и актуален ли статус в реестре.

Документация под 0001

Актуализация модели угроз и состава мер по приказу ФСТЭК № 0001 — с реальным мониторингом и реагированием, а не «для полки».

Согласия

Ревизия форм согласий на сайте и в бумагах: отдельность, состав, отзыв, хранение.

Репетиция инцидента

Прогнать сценарий «утечка»: кто, куда и что пишет в первые 24 часа и что докладывает в 72 часа. До реального инцидента — бесплатно; после — от 1 млн ₽ за молчание.

Пройти бесплатный экспресс-аудит — 20 минут

05 · ОБОРОН-ИТ

Чем поможет ОБОРОН⁠-⁠ИТ

Мы работаем с защитой персональных данных в госсекторе, медицине и науке — там, где требования жёстче, а цена ошибки выше.

Приведение в соответствие

Модель угроз и комплект мер по приказу ФСТЭК № 0001 — под ваши ИСПДн.
Уведомление в РКН и документы оператора в актуальном состоянии.
Ревизия согласий: формы на сайте, тексты, порядок хранения и отзыва.

См. услугу «Персональные данные 152-ФЗ».

Инцидент-процесс и мониторинг

Регламент реагирования: роли, шаблоны уведомлений 24ч/72ч, оценка вреда.
Настройка мониторинга событий ИБ (SIEM) как технической основы процесса.
Работа по 44-ФЗ и 223-ФЗ: документы для ЕИС, понятные заказчику формулировки.

Честно о границах: ни один исполнитель не может «гарантировать отсутствие утечек». Можно другое — снизить риск, сократить время реакции и убрать основания для самых дорогих штрафов: за молчание и за устаревшую документацию.

Обсудить задачу

FAQ

Частые вопросы

За какую утечку дают оборотный штраф?

За повторную утечку тех же персональных данных или если причина предыдущей утечки не устранена. Размер — 1–3% выручки за предшествующий год, но не менее 25 млн ₽ и не более 500 млн ₽. Норма действует для утечек, произошедших после 30.05.2025.

Куда и в какой срок сообщать об инциденте?

Через Портал персональных данных Роскомнадзора (pd.rkn.gov.ru/incidents/): в течение 24 часов с момента выявления — сам факт инцидента и предполагаемые причины, в течение 72 часов — результаты внутреннего расследования с оценкой вреда субъектам. Далее — заблокировать или уничтожить утёкшие данные.

Модель угроз сделана по приказу ФСТЭК № 21 — это ещё работает?

Нет. С 01.09.2025 действует приказ ФСТЭК России от 04.07.2024 № 0001, который заменил приказ № 21 от 2013 года. Документы оператора — модель угроз и состав мер — с этой даты приводятся в соответствие с новым приказом, включая требования к мониторингу событий безопасности и работе с подрядчиками.

Процесса нет совсем. С чего начать, чтобы не потратить год?

С экспресс-аудита: за 20 минут мы покажем, какие из пунктов чек-листа у вас закрыты, какие требуют документов, а какие — настройки систем, и в каком порядке двигаться. Дальше — план работ по приоритету: сначала то, что закрывает самые дорогие риски (уведомления РКН, инцидент-процесс, актуальная модель угроз).

Проверьте оператора на прочность до проверки

Бесплатный экспресс-аудит соответствия за 20 минут: что уже в порядке, что доработать и что закрывает самые дорогие штрафы по 420-ФЗ.

Обсудить задачу Нормативная база 2025–2026

Заявка

Обсудить вашу задачу

Опишите, какие системы и данные обрабатываются, — вернёмся с оценкой объёма и планом работ в течение одного рабочего дня.

Материал носит информационный характер и не является юридической консультацией. Размеры штрафов приведены по ст. 13.11 КоАП РФ (данные Гаранта); по вилкам для должностных лиц и ИП сверяйтесь с текстом статьи. Актуальность редакций проверяйте в первоисточниках.

Проверено по источникам: 6 сентября 2026. Ключевые источники: КонсультантПлюс — 420-ФЗ, Гарант — штрафы и пороги, Портал ПДн РКН — инциденты, ФСТЭК России