Оборотные штрафы за утечку персональных данных: сколько теперь платят

Утечка персональных данных перестала быть «репутационной неприятностью» и стала одним из самых дорогих нарушений. Государство ввело отдельный режим ответственности, в котором за повторную утечку платят процентом от выручки. Разберём, что это значит для владельца сайта.

Что изменилось

Раньше за утечку штрафовали в общем порядке, суммы были умеренными. Теперь действует отдельный, гораздо более жёсткий режим:

• за первую утечку — крупные фиксированные штрафы, которые растут вместе с числом пострадавших субъектов;
• за повторную утечку — оборотный штраф, то есть процент от годовой выручки компании.

Логика законодателя проста: сделать так, чтобы вкладываться в защиту данных было выгоднее, чем платить за последствия. Общий вектор ужесточения описан в статье «Изменения в 152-ФЗ».

Конкретные пороги и суммы регулярно пересматриваются. Ниже — принцип; перед решениями сверяйтесь с действующей редакцией КоАП РФ.

Почему это касается даже небольшого сайта

Утечь могут данные из любой базы: заявки с сайта, клиентская CRM, выгрузка в таблице. Достаточно, чтобы база оказалась в открытом доступе или попала не в те руки — и это уже утечка. Для малого бизнеса даже фиксированный штраф способен перекрыть месячную выручку, а «оборотный» при повторе — стать критическим.

Что считается утечкой

• база данных клиентов оказалась в открытом доступе (незакрытая папка, публичная ссылка);
• данные украдены через уязвимость сайта или взлом;
• сотрудник слил или потерял выгрузку;
• сторонний сервис-подрядчик допустил утечку ваших данных.

Как снизить риск и смягчить последствия

• Собирайте меньше. Чем меньше данных вы храните, тем меньше утечёт — принцип минимизации из статьи «Обработка ПД: цели и сроки».
• Обезличивайте. Данные, по которым нельзя определить человека, малоценны при утечке — см. «Обезличивание ПД».
• Закройте технические дыры. Открытые админки, дырявые формы, устаревшая CMS — типичные точки утечки.
• Проверьте, где лежат данные. Если единственная копия — за границей, это ещё и нарушение локализации (см. «Штраф за хранение данных за границей»).

С чего начать

Первый шаг — понять, через что ваш сайт может «протечь». Проверьте сайт: сканер найдёт открытые служебные страницы, уязвимые формы и устаревшее ПО. Полная таблица штрафов по всем нарушениям — в статье «Штрафы по 152-ФЗ на 2026 год».