Начиная с 30 мая 2025 года, организации, индивидуальные предприниматели и должностные лица должны будут готовиться к значительно возросшим штрафам за нарушение требований законодательства о персональных данных, закрепленного в Федеральном законе от 27 июля 2006 года № 152-ФЗ ( Федеральный закон от 30.11.2024 № 420-ФЗ).
Крупные штрафы грозят не только компаниям с масштабным бизнесом и большими базами данных. Любой оператор персональных данных, допустивший утечку информации, может столкнуться со значительными финансовыми санкциями.
Штраф за «молчание»
В фокусе внимания – ситуация, связанная с невыполнением требования, предъявляемого Роскомнадзором, а именно, об обязанности уведомлять ведомство о начале обработки персональных данных.
Каждая организация или индивидуальный предприниматель, намеревающаяся осуществлять обработку личной информации, обязаны предоставить соответствующий документ о сообщении в уполномоченный орган (пункт первый статьи двадцать второй федерального закона номер сто пятьдесят два-ФЗ).
В прошлом компанию, осуществлявшую сбор данных без уведомления Роскомнадзора, могли привлечь к административной ответственности по статье 19.7 КоАП РФ. В этом случае штраф для должностных лиц и индивидуальных предпринимателей составлял бы от 300 до 500 рублей, а для организаций – от 3000 до 5000 рублей.
В случае несвоевременной подачи или отсутствия уведомления, руководители предприятий и индивидуальные предприниматели могут быть подвергнуты штрафу в размере от 30 000 до 50 000 рублей, а юридические лица – от 100 000 до 300 000 рублей.
Предусмотрена санкция за непредставление в контролирующий орган сведений об инциденте, связанном с потерей конфиденциальной информации. Субъекты предпринимательской деятельности и компании, допустившие подобное правонарушение, обязаны уплатить денежное наказание от 1 до 3 миллионов рублей согласно измененной части одиннадцатой статьи тринадцать первой одиннадцати Кодекса об административных правонарушениях.
Штраф за «болтливость»
Законодательство предусматривает более строгие меры наказания, в том числе за раскрытие персональных данных. Сумма штрафа определяется в зависимости от числа затронутых людей. Пределом, определяющим “первоначальный объем утечки”, является отметка в 1000 пострадавших.
Установлены различные меры ответственности в зависимости от объемов произошедшей потери данных:
Штраф за разглашение данных
- Для физических лиц от 1000 до 10 000 рублей.
- Для директора или ИП составит от 200 000 до 400 000 рублей.
- Для малых предприятий – от 1,5 млн. до 2,5 млн. рублей.
- В зависимости от размера организации – от 3 до 5 миллионов рублей, согласно статье 13.11 Кодекса Российской Федерации об административных правонарушениях.
Наказание за обработку персональных данных без получения согласия субъекта
- Для директора или ИП от 50 000 до 100 000 рублей.
- Для малых компаний от 150 000 до 250 000 рублей.
- Для средних и крупных организаций от 300 000 до 500 000 рублей.
При масштабном просочении персональных сведений размер штрафа может составить пятнадцать миллионов рублей.
В случае повторного нарушения размер штрафов составит от 1% до 3% от годовой выручки компании или индивидуального предпринимателя.
За несанкционированное раскрытие персональных данных, относящихся к специальной категории, индивидуальным предпринимателям и организациям грозит штраф в размере от 10 до 15 миллионов рублей.
Новый вид уголовной ответственности
В Уголовный кодекс Российской Федерации внесена новая статья (272.1), предусматривающая уголовную ответственность за неправомерные действия с персональными данными, такие как их незаконное получение, хранение и распространение.
За незаконный экспорт или продажу персональных данных гражданину, признанному виновным, предусмотрено наказание в виде лишения свободы на срок до восьми лет. В случае, если разглашение информации повлекло за собой вред здоровью или жизни людей, срок заключения может достигать десяти лет (Федеральный закон от 30.11.2024 № 421-ФЗ).
Начиная с первого сентября 2025 года, предприятия обязаны передавать персональные сведения по запросу Министерства цифрового развития. При этом данные должны быть предварительно обезличены в соответствии с Федеральным законом от 8 августа 2024 года № 233-ФЗ. Способы деидентификации пока не определены и будут регламентированы Правительством Российской Федерации.
На основе анонимизированных данных в государственной информационной системе будут созданы информационные массивы. Компании, получившие доступ к этой системе и право на обработку данных, должны:
- Внесены в реестр операторов персональных данных.
- В Едином государственном реестре юридических лиц отсутствует информация о недостоверности представленных данных.
- В работе задействованы только граждане Российской Федерации.
- Не связаны с экстремистской деятельностью.
Размер штрафов за несоблюдение требований при обработке персональных данных в 2025 году: обобщенные таблицы.
Санкции за некорректную обработку персональных данных, противоречащую заявленным целям
Размеры штрафов по ч.1 ст. 13.11 КоАП.
|
Для кого
|
|
|
|
Для граждан |
от 10 000 до 15 000 рублей |
30 000 рублей |
|
Для должностных лиц |
от 50 000 до 100 000 рублей |
200 000 рублей |
|
Для юрлиц |
от 150 000 до 300 000 рублей |
500 000 рублей |
За несанкционированную обработку персональных данных, то есть без получения письменного согласия субъекта, предусмотрены штрафы
Размеры штрафов по ч.2 ст. 13.11 КоАП.
|
Для кого
|
|
|
|
Для граждан |
от 10 000 до 15 000 рублей |
|
|
Для должностных лиц |
от 100 000 до 300 000 рублей |
|
|
Для юрлиц |
от 300 000 до 700 000 рублей |
1 5 000 000 рублей. |
Штраф за неуведомление Роскомнадзора
Размеры штрафов по ч. 10 и ч. 11 ст. 13.11 КоАП.
|
Не отправили уведомление в РКН
|
|
|
|
от 100 000 до 300 000 рублей |
|
об утечке персональных данных |
От 1 000 000 до 3 000 000 рублей |
Штрафы за утечку персональных данных
Сумма штрафа определяется в зависимости от масштаба произошедшей утечки данных. Первоначальный порог утечки, при котором применяются санкции, составляет 1000 затронутых лиц. Конкретные размеры штрафов установлены в части 12-15 статьи 13.11 Кодекса об административных правонарушениях.
Сумма наложения штрафа будет меняться, исходя из масштаба утечки информации (согласно ч. 12 – 15 ст. 13.11 КоАП). Минимальный порог для определения объема утечки составляет тысячу затронутых лиц.
|
Количество людей, данные которых были сделаны публично доступными.
|
|
|
1000–10 000 / 10 000–100 000 |
От 3 000 000 до 5 000 000 рублей |
|
10 000–100 000 / 100 000–1 000 000 |
От 5 000 000 до 10 000 000 рублей |
|
Более 100 000 / более 1 000 000 |
От 10 000000 до 15 000 000 рублей |
В случае повторного нарушения, налагаемые санкции будут колебаться в пределах от одного процента до трех процентов от годовой выручки предприятия или индивидуального предпринимателя.
Незаконная передача сведений о людях, относящихся к особо охраняемым категориям, повлечет за собой финансовое наказание для частных лиц и организаций в размере от десяти до пятнадцати миллионов рублей.