Штраф за утечку персональных данных 2026

Утечка персональных данных — это доступ неограниченного круга лиц к информации, позволяющей идентифицировать субъекта ПДн, без согласия последнего. По состоянию на 2026 год ответственность наступает по ряду федеральных законов и КоАП РФ; размер штрафа зависит от характера нарушения, типа обрабатываемых данных и последствий для граждан.

Регулирование персональных данных строится на сочетании ФЗ «О персональных данных» (152-ФЗ) и ФЗ «Об информации, информационных технологиях и о защите информации» (149-ФЗ), а также подзаконных актов Роскомнадзора. Санкции дифференцируются по категориям нарушителей: оператор ПДн, должностное лицо, государственный орган или иная организация.

Штрафы для операторов персональных данных

Если нарушение не относится к категории особо тяжких (не повлекло создание угрозы жизни/здоровью), штраф рассчитывается исходя из выручки за год либо фиксированной суммы. Согласно ч. 2 ст. 13.11 КоАП РФ, в 2026 году минимальный размер штрафа для юридических лиц составляет 500 тысяч рублей; при повторном нарушении или крупном обороте — до 1 миллиона рублей, а выручка может стать базой: «штраф в размере от 1% до 6% годовой выручки».3

Санкции по ст. 13.11 КоАП РФ применяются, если оператор нарушил порядок обработки, хранения или передачи персональных данных без создания угрозы. В случае же причинения существенного вреда правам субъектов ПДн наступает ответственность по ч. 2–4 той же статьи: для юрлиц — штраф от 600 тысяч до 1 миллиона рублей, либо приостановление деятельности на срок до 90 суток.

Ответственность за утечку персональных данных в госсфере

При обработке государственных информационных систем (ГИС) или базах ПДн, находящихся в ведении органов власти и МСУ, действует специальный порядок. По ст. 13.14 КоАП РФ штраф для должностных лиц составляет от 20 до 30 тысяч рублей, для юрлиц — от 50 до 100 тысяч рублей. При этом если утечка повлекла неправомерный доступ к персональным данным, предусмотрен штраф по ч. 7–8 ст. 13.11 КоАП РФ: до 4 миллионов рублей (для госорганов и МСУ).

Кибербезопасность и Роскомнадзор

В рамках ФЗ-152 оператор обязан обеспечить защиту ПДн от неправомерного доступа, в том числе при хранении на электронных носителях. Неисполнение требований по технической защите — основание для штрафа по ст. 13.11 (ч. 6): от 60 до 100 тысяч рублей; по ч. 8 — до 2 миллионов рублей. В случае, если оператор нарушил требования по уведомлению Роскомнадзора об утечке в течение 72 часов после происшествия, штраф увеличивается: для юрлиц — до 500 тысяч рублей, для должностных лиц — до 30 тысяч.

Киберстатья и ст. 137 УК РФ

При неправомерном доступе к ПДн с целью их распространения наступает уголовная ответственность по ст. 137 УК РФ: штраф в размере до 300 тыс. руб., принудительные работы или лишение свободы на срок до 4 лет; при отягчающих обстоятельствах (группой лиц, с использованием служебного положения) — до 5 лет лишения свободы. Санкции применяются независимо от наличия гражданско-правовых последствий.

Процедура выявления и реагирования

В 2026 году Роскомнадзор проводит плановые и внеплановые проверки операторов ПДн; для субъектов малого и среднего предпринимательства действует упрощённая форма проверки при наличии предписания ФСТЭК/ФСБ. После фиксации утечки оператор обязан: прекратить обработку, устранить уязвимости, направить уведомление в Роскомнадзор не позднее 72 часов с момента инцидента (ч. 3 ст. 21 ФЗ-152). Нарушение порядка уведомления — самостоятельное основание для штрафа по ч. 8 ст. 13.11 КоАП РФ.

Что важно запомнить

Санкции за утечку ПДн зависят от категории нарушителя (оператор, госорган), вида данных и тяжести последствий; минимальный штраф для юрлиц — 500 тыс. руб., при значительном обороте — до 6% выручки или до 4 млн руб.
Нарушение режима информационной безопасности (отсутствие технической защиты) влечёт отдельные штрафы до 2 млн руб.; за несвоевременное уведомление Роскомнадзора о факте утечки штраф составит до 500 тыс. руб.
При угрозе жизни и здоровью граждан наступает ответственность по ст. 137 УК РФ, вплоть до лишения свободы на срок до 4 лет.
Обязанности оператора — обеспечить защиту ПДн, уведомить регулятора в течение 72 часов и устранить причины утечки; невыполнение этих требований ведёт к повторным штрафам и риску приостановки деятельности.

Соблюдение процедур уведомления и технической защиты минимизирует финансовые риски и позволяет избежать уголовной ответственности.2