Штрафы за персональные данные в 2025 году: новые суммы и за что

С 30 мая 2025 года вступил в силу Федеральный закон №420-ФЗ, резко ужесточивший ответственность за нарушения с персональными данными. Появились отдельные составы за утечки, оборотные штрафы за повторные нарушения и уголовная ответственность. Ниже — актуальные размеры и что реально снижает риск.

Неуведомление Роскомнадзора об обработке

За неисполнение обязанности подать уведомление об обработке ПДнПерсональные данные — Любая информация, относящаяся к прямо или косвенно определённому физическому лицу (субъекту ПДн). для юридических лиц предусмотрен штраф до 300 000 рублей. Само уведомление при этом бесплатно — экономически нарушать бессмысленно.

Утечка персональных данных

Введена отдельная ответственность за неправомерную передачу (распространение, доступ) ПДн, повлёкшую утечку. Размер зависит от числа затронутых субъектов (для юридических лиц):

• от 1 000 до 10 000 субъектов — 3–5 млн рублей;
• от 10 000 до 100 000 субъектов — 5–10 млн рублей;
• более 100 000 субъектов — 10–15 млн рублей;
• утечка специальных категорий ПДн — 10–15 млн рублей, биометрических ПДн — 15–20 млн рублей.

Оборотные штрафы за повтор

За повторную утечку штраф становится оборотным — от 1 до 3 процентов годовой выручки, с нижней границей 20 млн рублей (25 млн при повторной утечке специальных категорий или биометрических данных) и верхней до 500 млн рублей. Для среднего и крупного бизнеса это уже экзистенциальные суммы.

Неуведомление об инциденте

Об утечке нужно уведомить Роскомнадзор в сжатые сроки (предварительно в течение 24 часов, о результатах расследования — 72 часов, статья 21 152-ФЗ). За несвоевременное или непереданное уведомление об инциденте для юридических лиц штраф 1–3 млн рублей — то есть молчание про утечку наказывается отдельно. Пошаговый порядок — в статье «Утечка ПДн: алгоритм действий».

Скидку 50% отменили

Для нарушений по статье 13.11 КоАП больше не действует скидка 50% за быструю оплату штрафа. Платить придётся полную сумму.

Уголовная ответственность

Отдельным законом того же дня (421-ФЗ от 30.11.2024) введена уголовная статья 272.1 УК РФ за незаконные использование, передачу, сбор и хранение компьютерной информации, содержащей персональные данные, полученные неправомерным путём, — вплоть до лишения свободы. Это удар прежде всего по рынку торговли «сливами» баз.

Что снижает риск

• подать уведомление в Роскомнадзор и поддерживать сведения актуальными;
• иметь законные основания и согласия на обработку, политику и локальные акты;
• принять реальные меры защиты (разграничение доступа, шифрование, журналирование) — а не «бумажные»;
• оформить поручения со всеми обработчиками (подрядчиками);
• заранее отработать реагирование на инцидент (сроки 24/72 часа), чтобы не получить отдельный штраф за молчание.

Главное

Стоимость соответствия теперь несопоставимо ниже стоимости нарушения: один штраф за утечку перекрывает годы расходов на защиту.