Утечка персональных данных: штрафы и действия оператора в 2026 году

Утечка персональных данных — это ситуация, когда чужие люди получили доступ к информации о ваших клиентах, пациентах или сотрудниках. Это может быть взлом, открытая папка в облаке, выгрузка из CRM или письмо с базой не тому адресату.

За утечку отвечает оператор — компания или предприниматель, которые решили, зачем и как обрабатывать эти данные. Присутствие хакера не освобождает от ответственности. Нужно показать, что защита была организована заранее и работала на практике.

Эта инструкция посвящена инциденту: данные уже раскрыты, нужно остановить доступ, уведомить регулятора и разобраться в ответственности. Общий порядок сбора данных, документы и плановое соответствие закону — в гайде по 152-ФЗ для малого бизнеса.

Что было в деле клиники

По пересказу «Петербургского правового портала», 20 августа 2026 года мировой судья в Москве рассмотрел утечку медицинских данных из клиники после кибератаки. Роскомнадзор подтвердил совпадения по 27 пациентам; это проверенная выборка, а не установленный полный масштаб утечки.

Клиника ссылалась на меры защиты, собственное выявление инцидента и обращения в Роскомнадзор и полицию. По изложению источника, суд не увидел достаточных доказательств всех зависящих от организации мер и применил часть 16 статьи 13.11 КоАП РФ. Точная сумма штрафа не раскрыта.

Полного судебного акта и номера дела в доступном разборе нет. Поэтому это пример из вторичного источника, а не независимо проверенный судебный прецедент. Общие обязанности и санкции ниже проверены по тексту закона.

Дело показывает три правила:

• диагнозы и другие сведения о здоровье меняют квалификацию и повышают штраф;
• уведомление Роскомнадзора и полиции не отменяет ответственность за слабую защиту;
• сказать «мы всё сделали» недостаточно. Нужны документы, настройки и результаты проверок.

Почему хакеры не отменяют ответственность

Оператор персональных данных — это тот, кто определяет цели и способы обработки. Проще говоря, ваша компания решила собирать имена, телефоны, адреса, диагнозы или фотографии и выбрала, где их хранить.

Оператором может быть клиника, интернет-магазин, онлайн-школа, салон, бухгалтерия или ИП. Название CRM и место хранения не меняют эту роль. Если база лежит у подрядчика, отвечать перед субъектами всё равно придётся оператору. Отдельные обязанности подрядчика устанавливают договор и закон.

Организационные обязанности установлены статьёй 18.1 закона № 152-ФЗ, а требования к безопасности — статьёй 19. Состав обязательных мер зависит от системы, данных и угроз; не каждый пункт практического чек-листа ниже дословно установлен законом для любого ИП. Поэтому суд разбирает не только сам факт взлома, но и то, что компания сделала до него.

Если пароль от базы был один у всех сотрудников, выгрузки никто не контролировал, а политика существовала только для галочки, ссылка на хакеров выглядит слабо. Если доступы разграничены, действия журналируются, настройки проверяются, а сотрудники обучены, у компании есть доказательства защиты.

Штраф за утечку персональных данных: сумма

Сумма зависит от числа людей, идентификаторов и категории данных. Для этой статьи КоАП идентификатор — уникальное обозначение сведений о физическом лице в информационной системе оператора. Это определение из примечания 4 к статье 13.11: нельзя автоматически считать каждое поле с телефоном или ФИО отдельным идентификатором. Размеры ниже приведены по частям 12–18 статьи 13.11 КоАП РФ.

Для ИП по этим составам действуют суммы как для юридических лиц. Диапазоны в первых двух строках воспроизводят формулировки закона; пограничные значения и наличие нескольких признаков требуют отдельной квалификации. Если обычных данных утекло меньше порогов частей 12–14, это не означает отсутствия ответственности: могут применяться другие части статьи 13.11. За неуведомление Роскомнадзора об инциденте предусмотрен отдельный состав по части 11 — 1–3 млн ₽ для организации или ИП.

Отдельные и более строгие правила установлены для специальных категорий и биометрии:

• здоровье, национальность и другие специальные категории — 10–15 млн ₽;
• биометрические данные — 15–20 млн ₽;
• повторная утечка таких данных — 1–3% выручки, минимум 25 млн, максимум 500 млн ₽.

Поэтому одна база с диагнозами опаснее таблицы с именами и телефонами. Суд может изменить квалификацию, если расследование покажет, что среди обычных данных были медицинские сведения.

Какие данные влияют на квалификацию

Обычные персональные данные — это, например, имя, телефон, почта и адрес. По ним человека можно прямо или косвенно узнать. Для штрафа важно и количество таких записей, и число людей, которых они касаются.

Специальные категории — сведения о здоровье, расовой или национальной принадлежности, политических взглядах, религиозных или философских убеждениях, интимной жизни. В клинике именно диагнозы и назначения стали основанием для части 16 статьи 13.11.

Биометрия — физиологические или биологические характеристики, по которым устанавливают личность: изображение лица, отпечаток пальца, радужка. Обычное фото клиента само по себе биометрией не становится. Это важное различие я отдельно объяснил в статье почему фото «до/после» — не биометрия.

Если база содержит разные данные, не выбирайте квалификацию только по самой большой группе. Проверьте состав полностью: наличие специальной категории может изменить весь подход к делу.

Полную таблицу составов и обязанностей оператора собрал в гайде по 152-ФЗ для малого бизнеса.

Какие доказательства защиты нужны

Политика конфиденциальности — только один из документов. Она описывает правила, но не доказывает, что доступы реально ограничены и проверяются. Нужен пакет фактов о работе компании.

Организация

• для юридического лица — назначение ответственного за организацию обработки по статье 22.1; ИП организует выполнение своих обязанностей с учётом фактической работы;
• локальные акты о данных, доступах, хранении и уничтожении;
• перечень систем и категорий данных;
• договоры с CRM, хостингом и другими обработчиками;
• приказы и инструкции, которые сотрудники получили на деле.

Доступы и техника

• личные учётные записи вместо одной общей;
• двухфакторная аутентификация;
• ограничение прав по роли и задаче;
• отключение доступов при увольнении;
• журналы входов, просмотров и выгрузок;
• резервные копии и проверка их восстановления.

Проверки и обучение

• результаты внутреннего аудита;
• оценка вреда от возможной утечки;
• список уязвимостей и сроки их устранения;
• материалы обучения сотрудников;
• тест порядка реагирования на инцидент.

По статье 18.1 оператор обязан представить подтверждения по запросу Роскомнадзора. Поэтому папку «Защита ПДн» лучше собирать заранее, а не после письма. Если письмо уже пришло, отдельно пригодится наш разбор требований Роскомнадзора и порядка ответа.

Что делать в первые 24 часа и за 72 часа

Первичное уведомление направляется в Роскомнадзор в течение 24 часов с момента выявления инцидента. Результаты внутреннего расследования нужно направить в течение 72 часов с того же момента выявления — это не дополнительные 72 часа после первого уведомления. Эти сроки установлены частью 3.1 статьи 21 закона № 152-ФЗ.

Первые действия

1. Запишите время, когда и как узнали об утечке. С этого момента считаются сроки.
2. Закройте доступ: публичную ссылку, скомпрометированную учётную запись, ключи и токены.
3. Сохраните журналы, письма и скриншоты. Не удаляйте следы и не переустанавливайте систему до сохранения доказательств.
4. Назначьте группу: руководитель, ответственный за ПДн, администратор и юрист.
5. Определите, какие данные затронуты, сколько людей и какие категории: обычные, специальные или биометрические.
6. Подайте первичное уведомление через портал персональных данных Роскомнадзора.

В первичном уведомлении указывают то, что уже известно: описание и время выявления, предполагаемые причины, данные и примерный масштаб, возможный вред и принятые меры. Не ждите, пока расследование закончится.

За 72 часа

Направьте в Роскомнадзор результаты внутреннего расследования. Внутренний акт полезен как способ их оформить, но не заменяет отправку сведений регулятору. Зафиксируйте хронологию, затронутые системы и данные, причину, меры по устранению и действия, которые исключат повторение. Если установлены люди, чьи действия привели к инциденту, укажите их.

Что написать во внутреннем акте

Начните с хронологии: когда началась утечка, когда её обнаружили, кто сообщил, какие действия и в какое время сделали. Приложите журналы и скриншоты, которые подтверждают эту последовательность.

Затем перечислите затронутые системы и данные. Укажите название CRM или папки, виды записей, категории и примерное число субъектов. Если точное число пока неизвестно, напишите диапазон и как его получили.

Отдельно запишите причину и доказательства: фишинговое письмо, общий пароль, открытая ссылка, старый модуль или выгрузка сотрудником. Зафиксируйте, какой доступ закрыли и что сделали, чтобы утечка не повторилась.

В конце укажите направленные уведомления с датами: Роскомнадзор, ГосСОПКА при применимости, полиция и клиенты. Добавьте ответственных и сроки новых мер: смена паролей, проверка прав, обновление, обучение.

Такой акт помогает не только при проверке. По нему видно, что компания разобралась в причинах и изменила процессы, а не ограничилась удалением ссылки.

Если взлом или кража содержат признаки преступления, обратитесь в полицию. Это отдельное действие, оно не заменяет уведомление Роскомнадзора и не отменяет административную ответственность.

Сообщение клиентам тоже может быть полезным. Общей обязанности уведомить каждого нет, но предупреждение помогает людям не попасться мошенникам. Напишите, что произошло, какие данные затронуты и что клиенту делать: не передавать коды, не открывать подозрительные ссылки, звонить по официальному номеру.

Как снизить риск заранее

Начните с карты данных. Запишите, какие сведения собираете, где они лежат, кто имеет доступ и зачем они нужны. Старые выгрузки и лишние поля увеличивают масштаб возможной утечки.

Затем проверьте доступы. У каждого сотрудника должна быть своя учётная запись и только нужные права. Администратору сайта редко нужна выгрузка всей базы. Бывшему сотруднику она вообще не нужна.

Проверьте подрядчиков. В договоре поручения на обработку указывают данные, операции, цели и обязанности по защите. Если разработчик или CRM получает данные без такого документа, это риск. Оферта и договорные отношения разобраны в статье как микробизнесу работать с офертой.

Для сайта нужен отдельный комплект: политика, согласия, cookie-документы и правила хранения. Его состав описан в нашем разборе требований к легальному сайту.

И подготовьте порядок реагирования: контакты группы, шаблон уведомления, доступ к порталу Роскомнадзора и список действий в первые часы. Раз в год проведите учения и проверьте, укладываетесь ли в 24 часа.

Если нужна подготовка к инцидентам, закажите аудит защиты персональных данных: проверим доступы, подрядчиков, уведомления и доказательства принятых мер.

Ошибки и FAQ

Если данные украли хакеры, компания всё равно отвечает?

Сам по себе взлом не освобождает от ответственности, но и штраф не возникает автоматически. Для юридического лица устанавливают вину по части 2 статьи 2.1 КоАП РФ: была ли возможность соблюдать требования и приняты ли все зависящие меры. Для ИП применяют правила ответственности с учётом статей 2.2 и 2.4 КоАП РФ. Документы о защите помогают подтвердить фактические меры.

А если мы сразу сообщили в Роскомнадзор и полицию?

Это правильные действия, но они не отменяют возможный штраф за слабую защиту. Суд будет смотреть и на них, и на состояние защиты до инцидента.

Маленькая компания тоже может получить штраф в миллионы?

Да, размер зависит от данных и их количества. Отдельные составы для ИП предусматривают суммы как для юридических лиц.

Чем медицинские данные отличаются от имени и телефона?

Это специальная категория персональных данных. За её утечку предусмотрен штраф 10–15 млн ₽, а не обычная шкала по объёму.

Можно сначала разобраться в причинах, а потом уведомить?

Нет. Первичное уведомление направляется за 24 часа с известными на тот момент сведениями. На результаты расследования отводится 72 часа.

Поможет ли одна политика конфиденциальности?

Нет. Нужны локальные акты, настройки доступов, журналы, договоры, оценка рисков и доказательства проверок. Документы должны подтверждать реальную работу.