ФЗ №420-ФЗ от 30.11.2024
Оборотные штрафы за утечку персональных данных
С 30 мая 2025 года за повторную утечку ПДн — оборотный штраф: 1–3% от годовой выручки. Минимум 20 млн ₽, максимум 500 млн ₽.
Формула расчёта
Оборотный штраф (ч. 15, 18 ст. 13.11 КоАП)
Штраф = 1–3% × Годовая выручка
Мин. 20 млн ₽ (25 млн для спецкатегорий) · Макс. 500 млн ₽
Когда применяется оборотный штраф
Ч. 15 ст. 13.11 КоАП — повторная утечка обычных ПДн
Повторное нарушение по ч. 12–14 (утечка от 1 000 субъектов). Мин. 20 млн ₽.
Ч. 18 ст. 13.11 КоАП — повторная утечка спец./биометрических ПДн
Повторное нарушение по ч. 16–17 (специальные категории или биометрия). Мин. 25 млн ₽.
Для банков: % от размера собственных средств (капитала) на дату нарушения
Шкала штрафов по масштабу утечки
Первичная утечка наказывается фиксированным штрафом. Оборотный — только при повторной.
- 1–10 тыс. ПДн3–5 млн ₽
- 10–100 тыс. ПДн5–10 млн ₽
- 100 тыс.+ ПДн10–15 млн ₽
- ОборотныйПовторная утечкадо 500 млн ₽
Примеры расчёта по выручке
| Выручка | 1% | 3% | Штраф факт. |
|---|---|---|---|
| 100 млн ₽ | 1 млн ₽ | 3 млн ₽ | 20 млн ₽ (минимум) |
| 500 млн ₽ | 5 млн ₽ | 15 млн ₽ | 20 млн ₽ (минимум) |
| 2 млрд ₽ | 20 млн ₽ | 60 млн ₽ | 20–60 млн ₽ |
| 10 млрд ₽ | 100 млн ₽ | 300 млн ₽ | 100–300 млн ₽ |
| 50 млрд ₽ | 500 млн ₽ | 1,5 млрд ₽ | 500 млн ₽ (максимум) |
Как смягчить оборотный штраф
Все три условия должны соблюдаться одновременно, до вынесения постановления. Норма — ч. 3.4-2 ст. 4.1 КоАП РФ (420-ФЗ от 30.11.2024), только для ч. 15 и ч. 18 ст. 13.11. Штраф равен одной десятой минимального размера, но не меньше 15 млн ₽ и не больше 50 млн ₽.
Расходы на обеспечение ИБ
Ежегодные расходы на мероприятия по обеспечению информационной безопасности за три календарных года до года выявления — не менее 0,1% годовой выручки. Мероприятия выполняли организации с лицензией по п. 1 или п. 5 ч. 1 ст. 12 99-ФЗ (ФСТЭК — ТЗКИ, ФСБ — шифрование) либо сам оператор с такой лицензией.
- ✓ Не менее 0,1% годовой выручки ежегодно
- ✓ Три календарных года до года выявления
- ✓ Лицензия по п. 1 или п. 5 ч. 1 ст. 12 99-ФЗ (ФСТЭК — ТЗКИ, ФСБ — шифрование) либо сам оператор с такой лицензией
Документальное подтверждение защиты ПДн
Соблюдение требований к защите персональных данных в ИСПДн подтверждено документально. Проверка проведена в течение 12 месяцев до выявления нарушения.
- ✓ Соблюдение требований к защите ПДн в ИСПДн подтверждено документально
- ✓ Проверка проведена в течение 12 месяцев до выявления
- ✓ До вынесения постановления, одновременно с двумя другими условиями
Нет отягчающих обстоятельств
Нет отягчающих обстоятельств по примечанию 5 к ст. 13.11 КоАП.
- ✓ Нет отягчающих обстоятельств по примечанию 5 к ст. 13.11 КоАП
- ✓ До вынесения постановления, одновременно с двумя другими условиями
Пример: выручка 1 млрд ₽
Штраф по ч. 15 ст. 13.11 КоАП (1–3% выручки, не менее 20 млн ₽) — от 20 до 30 млн ₽. При выполнении всех условий штраф равен одной десятой минимума, но не меньше 15 млн ₽и не больше 50 млн ₽ (ч. 3.4-2 ст. 4.1 КоАП).
По ч. 3.4-2 ст. 4.1 КоАП штраф равен одной десятой минимального размера, но не меньше 15 млн ₽ и не больше 50 млн ₽. Только ч. 15 и ч. 18 ст. 13.11.
Если утечку допустил сотрудник
Если сотрудник скопировал или передал базу, компания отвечает по ст. 13.11 КоАП: за первую утечку — фиксированный штраф, за повторную — оборотный, до 3 % выручки. Сотрудника могут привлечь по ст. 272.1 УК РФ (введена 421-ФЗ): по ч. 1 — до 4 лет лишения свободы, в квалифицированных составах — до 10 лет. Подробнее — Уголовная ответственность.
Как защитить компанию от оборотных штрафов
Полностью исключить риск утечки невозможно, но можно снизить и вероятность инцидента, и размер штрафа. Пять шагов:
1. Приведите документы в порядок
- Актуальная политика обработки персональных данных
- Согласия — там, где обработка идёт на основании согласия
- Приказ о назначении ответственного за обработку ПДн
- Модель угроз безопасности персональных данных
- Уведомление в Роскомнадзор, если нет исключения по ч. 2 ст. 22
Конструктор документов по 152-ФЗ — ранний доступ. Готовый комплект под ключ — пакет документов по 152-ФЗ.
2. Внедрите технические меры защиты
Меры должны соответствовать уровню защищённости, определённому для вашей информационной системы:
- Шифрование данных при хранении и передаче
- Разграничение прав доступа (принцип минимальных привилегий)
- Системы обнаружения и предотвращения вторжений
- Регулярное обновление программного обеспечения
- Резервное копирование с проверкой восстановления
3. Обеспечьте расходы на ИБ не менее 0,1 % от выручки
Это одно из трёх условий, при которых оборотный штраф снижают до 1/10 минимума, но не менее 15 и не более 50 млн ₽ (ч. 3.4-2 ст. 4.1 КоАП). Расходы на ИБ — не менее 0,1 % выручки в каждый из трёх предыдущих лет, работы — через лицензиата по п. 1 или 5 ч. 1 ст. 12 99-ФЗ. Фиксируйте все расходы на информационную безопасность: лицензии на средства защиты, оплату услуг специалистов, обучение сотрудников, проведение аудитов.
4. Разработайте план реагирования на инциденты
- Обнаружение и фиксация инцидента
- Локализация — остановка утечки
- Уведомление Роскомнадзора в течение 24 часов
- Расследование причин и устранение уязвимости
- Уведомление Роскомнадзора о результатах внутреннего расследования — в течение 72 часов
5. Проводите регулярные аудиты
Условие снижения штрафа — документально подтвердить, что требования к защите ПДн соблюдались 12 месяцев до выявления нарушения (п. 2 ч. 3.4-2 ст. 4.1 КоАП). Ежегодный аудит может стать таким подтверждением.
Важно знать
⚠️ Скидка 50% НЕ применяется к штрафам по всем составам ст. 13.11 КоАП РФ
⏰ 24 часа — срок первичного уведомления РКН об утечке. 72 часа — срок представления результатов расследования в РКН
📅 Срок давности — 1 год. Дела рассматривают мировые судьи (с 28.12.2025 — ФЗ №508-ФЗ).
Не ждите повторной утечки
Оформите документы по 152-ФЗ и подготовьте регламент реагирования на инциденты.