Статья разбирает устройство ответственности оператора за утечку персональных данных: от чего зависит размер штрафа, как его смягчить и какие обстоятельства учитываются при разборе инцидента. Узнаете, что делать в первые часы и какие документы помогут защитить позицию компании.
Штраф за утечку персональных данных предусмотрен статьёй 13.11 КоАП РФ (в том числе за утечки). Размер зависит от трёх вещей: сколько субъектов или записей затронуто, какие это данные (обычные, специальные, биометрические) и была ли утечка у оператора раньше. При повторном нарушении может предусматриваться повышенный штраф, в ряде случаев рассчитываемый от выручки компании. Отдельно наказывают за то, что оператор не уведомил Роскомнадзор об инциденте.
Пугаться заранее смысла нет, но и откладывать подготовку тоже. Ниже разбираем, как устроена ответственность, а также утечка персональных данных: что делать оператору в первые часы после инцидента и какие документы влияют на итоговую сумму. Если утечка уже случилась, начните с юридического сопровождения при утечке персональных данных. Сроки на уведомление короткие, а ошибки в первом сообщении потом трудно исправить.
Штраф за утечку персональных данных — это административная санкция для оператора, который допустил неправомерную передачу (предоставление, распространение, доступ) персональных данных. Её назначают по отдельным частям статьи 13.11 КоАП РФ. Общие нарушения 152-ФЗ, вроде отсутствия политики или согласия, наказываются по другим частям той же статьи. Шкала многоступенчатая: чем больше субъектов персональных данных или их идентификаторов затронуто, тем выше санкция. Утечка специальных категорий данных (здоровье, убеждения, судимость и другие) и биометрии вынесена в самостоятельные составы, и там санкции жёстче, чем за «обычные» ФИО, телефоны и адреса. Повторная утечка уже не укладывается в фиксированную шкалу: для юрлиц может предусматриваться повышенный штраф, в ряде случаев рассчитываемый от выручки, а не берущийся из таблицы. Главная мысль простая: исход определяют масштаб, состав данных и история нарушений. Тип компании и то, кто «виноват» технически, на это почти не влияют.
Цифры по каждой части здесь сознательно не приводятся. Санкции в КоАП менялись, поэтому перед любым расчётом сверяйтесь с действующей редакцией статьи 13.11 в справочно-правовой системе. Актуальная разбивка по частям собрана в нашем материале об ответственности за нарушение 152-ФЗ.
Удобнее всего смотреть на структуру через признаки. Этого хватает, чтобы понять, в какую «вилку» вы попадаете.
| Ситуация | Что учитывают при квалификации | Чем рискует оператор |
|---|---|---|
| Не подано уведомление об утечке | Сам факт неуведомления Роскомнадзора, независимо от масштаба утечки | Отдельный состав, штраф по которому может назначаться вместе со штрафом за саму утечку |
| Утечка обычных персональных данных | Количество субъектов или идентификаторов | Фиксированный штраф, растущий по ступеням масштаба |
| Утечка специальных категорий | Сам факт утечки, даже небольшой по объёму | Более строгая санкция, чем за обычные данные |
| Утечка биометрических данных | Сам факт утечки биометрии | Одна из самых жёстких фиксированных санкций |
| Повторная утечка | Наличие ранее допущенного нарушения | Повышенный штраф для юрлица, в ряде случаев считается от выручки |
И ещё деталь, которую часто упускают. Ответственность оператора персональных данных несут не только юрлица. КоАП РФ допускает привлечение к ответственности и должностных лиц, поэтому вопрос «кто у нас отвечает за персональные данные» стоит закрыть приказом до инцидента, а не после.
За одну утечку оператору могут грозить штрафы по разным составам — за саму утечку персональных данных и за неуведомление Роскомнадзора об инциденте; точные составы и суммы нужно проверить по действующей редакции ст. 13.11 КоАП РФ. Логика законодателя понятна. Утечка может случиться и у добросовестного оператора, а вот молчание об инциденте считается отдельным, осознанным нарушением. Бизнес обычно рассуждает так: «если не сообщить, никто не узнает». Это заблуждение. О крупных утечках регулятор узнаёт из публикаций баз, жалоб граждан и мониторинга, и тогда к штрафу за утечку добавляется штраф за сокрытие. Вдобавок у оператора пропадает почва для смягчающих обстоятельств. Своевременное уведомление штраф за утечку не отменяет, но может улучшить позицию оператора: он показывает, что инцидент выявлен, локализован и расследуется.
Короче говоря, молчание почти никогда не выгодно. Да, уведомление запускает внимание регулятора. Но альтернатива — то же внимание, только позже и с худшими вводными.
Отдельно про подрядчиков. Если данные «утекли» через CRM, сервис рассылок или колл-центр, который работает по поручению оператора, отвечать перед регулятором будет оператор. Претензии к подрядчику — это уже гражданско-правовой вопрос между вами и им, и решается он по договору поручения. Именно поэтому формулировки этого договора (меры защиты, порядок сообщения об инцидентах, ответственность) стоит проверять до того, как что-то произошло.
Если случилась утечка персональных данных, оператору нужно сделать четыре вещи: зафиксировать инцидент, ограничить дальнейшее распространение, собрать первичные сведения для уведомления и направить его в Роскомнадзор. Обязанность уведомлять Роскомнадзор об утечке предусмотрена статьёй 21 Федерального закона № 152-ФЗ «О персональных данных» (ч. 3.1). Порядок двухэтапный. Первичное уведомление подают в установленный законом срок, который отсчитывается с момента выявления инцидента, дополнительное, с результатами внутреннего расследования, — в установленный срок после выявления. Отсчёт идёт с момента выявления инцидента оператором (согласно применимой норме закона). Первые сутки целиком уходят на сбор фактов, и времени на долгие согласования внутри компании нет. Поэтому порядок реагирования лучше утвердить локальным актом заранее: кто принимает решение, кто готовит текст, кто подписывает и отправляет.
На практике последовательность выглядит так:
Но не всё так просто. Пункт 3 почти никогда не удаётся закрыть полностью к моменту первичного уведомления. Это нормально: в первичном уведомлении указывают предполагаемые сведения, а уточнения дают во втором. Хуже, когда компания ждёт «полной картины» и пропускает срок.
А вот где порядок не сработает: если у оператора нет даже базовой карты процессов, то есть непонятно, где лежат данные и у кого есть доступ. Тогда оценить масштаб невозможно, и уведомление превращается в набор догадок. Это лечится только заранее, через аудит.
Утечка уже произошла? Поможем юридически выстроить реагирование: подготовить уведомления в Роскомнадзор, оформить внутреннее расследование и привести документы в соответствие с фактическими процессами. Техническое расследование инцидента в эту услугу не входит. Сопровождение при утечке персональных данных
Подготовим уведомления в РКН, проведём расследование, убедимся в соответствии документов реальным процессам. Техническое расследование не включено.
Уведомление Роскомнадзора об утечке персональных данных — это официальное сообщение оператора о неправомерной или случайной передаче персональных данных, которая повлекла нарушение прав субъектов. Его содержание определяет статья 21 152-ФЗ (ч. 3.1). Первичное уведомление должно описать произошедший инцидент, его предполагаемые причины, вред, который мог быть причинён правам субъектов, принятые меры по устранению последствий, а также сведения о лице, уполномоченном оператором на взаимодействие с Роскомнадзором. Дополнительное уведомление содержит результаты внутреннего расследования и сведения о лицах, чьи действия стали причиной инцидента, если их удалось установить. Подают уведомление через портал персональных данных Роскомнадзора. Формулировки здесь имеют значение: регулятор будет сопоставлять текст с тем, что видно в реестре операторов, в политике и на сайте. Если документы описывают одни процессы, а уведомление — другие, это само по себе становится поводом для вопросов.
Вот тут и начинается самое интересное. Вы замечали, что многие операторы в первом уведомлении либо преуменьшают инцидент («единичный сбой»), либо, наоборот, признают всё и сразу, не проверив факты? Обе крайности вредят. Преуменьшение потом опровергается масштабом публикации. Поспешное признание фиксирует цифры и причины, которые расследование может не подтвердить.
Рабочий подход другой. Описывайте установленное как установленное, предполагаемое как предполагаемое, и опирайтесь на зафиксированные факты: логи, акты, служебные записки.
Ещё один момент. Сведения в реестре операторов должны быть актуальными на момент инцидента. Если компания так и не подала уведомление об обработке персональных данных или давно не обновляла сведения, разговор с регулятором начнётся с этого, а не с утечки. Проверить, кто обязан регистрироваться, можно в материале о регистрации в Роскомнадзоре.
Используйте чек-лист для самостоятельной проверки: сопоставьте сайт, сведения в реестре Роскомнадзора, документы и фактические процессы работы с персональными данными.
Ответственность за утечку не ограничивается административным штрафом. Если персональные данные получены, переданы или распространены незаконно, возможна уголовная ответственность по статье 272.1 УК РФ (введена в 2024 году). Она предусмотрена за незаконные использование, передачу, сбор и хранение компьютерной информации, содержащей персональные данные. Обычно это не сама компания-оператор, а конкретные люди: недобросовестный сотрудник, выгрузивший клиентскую базу, или покупатель и продавец такой базы. Для оператора здесь есть практический вывод. Внутреннее расследование и аккуратно собранные доказательства (журналы доступа, акты, приказы о допуске) нужны не только для отчёта перед Роскомнадзором. Они могут понадобиться при обращении в правоохранительные органы. Кроме того, субъекты, чьи данные утекли, вправе требовать компенсации морального вреда и возмещения убытков в гражданском порядке, и административный штраф этого права не отменяет.
Кстати, давность привлечения к административной ответственности устанавливается статьёй 4.5 КоАП РФ, а сроки зависят от вида нарушения. На неё не стоит рассчитывать как на «способ переждать»: при неподанном уведомлении нарушение может рассматриваться как длящееся, если это следует из применимой нормы или практики, а тогда сроки исчисляются иначе. Конкретный расчёт зависит от квалификации, и делать его нужно по действующей редакции закона.
Снизить штраф за утечку персональных данных можно, но только если оператор подготовился до инцидента. КоАП предусматривает возможность смягчения оборотного штрафа за утечки персональных данных (ст. 13.11 и примечания к ней), однако точные условия следует сверить с действующей редакцией закона. При назначении такого штрафа могут учитываться смягчающие обстоятельства, в том числе принятые организацией меры по защите информации и выполнение требований к безопасности персональных данных. Вывод неприятный, но честный. Все эти доказательства (бюджеты на ИБ, приказы, модель защиты, договоры с подрядчиками) создаются годами и задним числом не появляются. Компания, у которой после утечки нашлись только шаблонная политика с сайта и согласие «на всё», доказывать добросовестность будет нечем.
Что реально работает на оператора, если до разбирательства дошло? Ниже — набор мер, которые могут учитываться как смягчающие обстоятельства (своевременное уведомление Роскомнадзора — обязанность оператора по ч. 3.1 ст. 21 152-ФЗ, и его исполнение может учитываться при назначении наказания):
Каждый пункт по отдельности штраф не отменит. Вместе они показывают, что утечка стала инцидентом, а не следствием безразличия к закону. И да, разница между этими двумя картинками может оказаться очень заметной в деньгах.
Это не сработает, если документы противоречат реальности. Политика говорит, что данные хранятся в России, а форма на сайте отправляет их в зарубежный сервис. Подобные расхождения регулятор находит быстро, и вместо смягчения оператор получает дополнительные эпизоды. Принцип простой: сайт, реестр Роскомнадзора, документы и процессы должны совпадать.
Проверьте, выдержит ли компания разбор после инцидента. Посмотрим процессы, реестр, документы, системы, доступы и подрядчиков, найдём расхождения и дадим рекомендации, пока это ещё профилактика. Аудит бизнеса по 152-ФЗ
Если инцидент уже произошёл, считайте часы: зафиксируйте момент выявления, локализуйте утечку и готовьте первичное уведомление. С юридической частью реагирования поможет сопровождение при утечке персональных данных. Если утечки не было, это лучшее время проверить, совпадают ли ваш сайт, запись в реестре, документы и реальные процессы. После инцидента исправлять это придётся в режиме цейтнота и под вопросами регулятора.
Подробнее по теме: Разработка документов по персональным данным | Роском 24.
Размер зависит от части статьи 13.11 КоАП, под которую попадает инцидент: важны количество затронутых субъектов или записей, категория данных и повторность. За первую утечку обычных данных предусмотрены фиксированные суммы, растущие по ступеням масштаба. За повторную может предусматриваться повышенный штраф, в ряде случаев рассчитываемый от выручки. Отдельно может назначаться штраф за неуведомление Роскомнадзора. Точные суммы проверяйте по действующей редакции КоАП.
Да. По ч. 3.1 ст. 21 152-ФЗ оператор обязан уведомить Роскомнадзор о неправомерной или случайной передаче данных, повлёкшей нарушение прав субъектов, независимо от числа затронутых субъектов; формулировку стоит сверить с текстом закона. Небольшой масштаб повлияет на квалификацию и размер санкции за саму утечку, но от обязанности сообщить об инциденте он не освобождает. Неподанное уведомление наказывается отдельно.
Перед регулятором и субъектами отвечает оператор, то есть компания, которая поручила обработку данных подрядчику. Подрядчик отвечает перед оператором по договору поручения. Поэтому договор с CRM, сервисом рассылок или колл-центром должен описывать меры защиты, порядок сообщения об инцидентах и распределение ответственности. Без этого регрессные требования к подрядчику предъявить сложно.
Срок отсчитывается с момента выявления инцидента оператором (согласно применимой норме закона). Ожидание полной картины не продлевает срок. Если к нужному моменту не всё известно, в первичном уведомлении указывают предполагаемые причины и масштаб, а уточнённые сведения дают в дополнительном уведомлении по итогам расследования.
Решение принимает Роспатент на основе законодательства и материалов заявки. Сам факт утечки образует состав правонарушения, а решение принимает суд с учётом обстоятельств. Оператор может повлиять на квалификацию и размер санкции: вовремя уведомить регулятора, провести и задокументировать расследование, подтвердить меры защиты. Для оборотных штрафов КоАП предусматривает возможность смягчения; точные условия сверяйте с действующей редакцией статьи 13.11 и примечаний к ней.
Сама по себе почти не помогает. Политика — лишь один документ, и её ценность зависит от того, совпадает ли она с реальными процессами, сведениями в реестре и тем, как работают формы и сервисы на сайте. Шаблонный текст, противоречащий фактической обработке, создаёт дополнительные риски. Для защиты позиции нужен комплект: приказы, локальные акты, договоры поручения, меры безопасности.
Если утечки не было — сейчас лучшее время проверить соответствие сайта, реестра, документов и процессов обработки данных. После инцидента исправлять придётся под вопросами регулятора. Проведём комплексный аудит.
