Штраф за утечку персональных данных — до 500 млн рублей: как не попасть под каток закона

В 2025 году штрафы за утечку персональных данных значительно вырастут — сумма может достигать 500 миллионов рублей. Важно знать, какие ошибки допускают бизнесы при работе с персональными данными и как защитить компанию от крупных штрафов, судебных исков и репутационных потерь.

Многие предприниматели уверены, что их небольшой бизнес не привлечет внимания контролирующих органов. Однако практика показывает, что проверки Роскомнадзора проводятся на любом уровне — от интернет-магазина до крупной корпорации.

В этой статье от команды проекта 42Clouds мы подробно расскажем, какие нововведения ждут компании в 2025 году, типичные ошибки, которые приводят к утечкам данных, и меры, которые помогут избежать серьезных последствий.

Ужесточение ответственности за утечку персональных данных с 30 мая 2025 года

С 30 мая 2025 года в России ужесточается контроль за обработкой персональных данных. Максимальный штраф за утечку, который раньше не превышал 300 тысяч рублей, теперь может составлять до 500 миллионов рублей.

Размер штрафа зависит от масштаба утечки и вида данных — обычных, специальных (например, медицинских) или биометрических. При повторных нарушениях компании могут получить штрафы в размере от 1% до 3% годовой выручки.

Кроме того, вводится новый состав правонарушения — отсутствие уведомления Роскомнадзора о факте утечки. Значимая новация — назначать размер штрафа теперь будут арбитражные суды, а не мировые судьи.

Помимо штрафов, пострадавшие граждане могут подавать иски о возмещении морального вреда. Пример — случай в 2023 году, когда москвич получил компенсацию от «Яндекс.Еда» за утечку личных данных. Подобные ситуации с массовыми утечками способны привести к серьезным финансовым потерям и подорвать доверие клиентов.

Типичные ошибки при работе с персональными данными: выявляем риски и защищаем бизнес

Нередко компании даже не подозревают, что нарушают требования закона о персональных данных. Рассмотрим самые распространенные ошибки, которые грозят большими штрафами.

1. Не уведомлен Роскомнадзор Любая организация, которая обрабатывает персональные данные, должна зарегистрироваться как оператор данных и подать уведомление в Роскомнадзор. Исключения есть — если данные собираются только о сотрудниках, или если данные не обрабатываются с помощью автоматизированных систем.

Важно остерегаться мошенников, которые выдают себя за чиновников, требующих деньги или данные под угрозой штрафов. О таких схемах и способах защиты можно прочитать отдельно.

2. Отсутствие политики конфиденциальности на сайте Закон обязывает публиковать актуальную политику конфиденциальности, в которой указано, как и зачем обрабатываются персональные данные, как долго они хранятся и кто имеет к ним доступ.

3. Нет согласия на обработку данных Сбор данных через формы на сайте возможен только при наличии явного согласия пользователя, оформленного по закону. Не допускается просто разместить ссылку на политику конфиденциальности вместо получения согласия.

Например, предприниматель из Оренбурга был оштрафован на 50 тысяч рублей за повторное нарушение, когда согласия не содержали необходимых сведений — ФИО, адрес, перечень данных и срок действия.

Отдельно стоит отметить, что телефон и email без сопутствующих идентификаторов не считаются персональными данными, и согласие для их обработки не требуется.

4. Отсутствие cookie-баннеров Файлы cookie считаются персональными данными, поэтому сайты обязаны информировать пользователей о сборе и получать согласие. Несоблюдение ведет к штрафам и блокировкам сайтов — примером служит санкция против LinkedIn.

5. Публикация отзывов без согласия Если отзывы с именами, фото или другой информацией публикуются без отдельного согласия, это нарушение. Компании должны получить специальное согласие и указать условия обработки в политике конфиденциальности.

6. Использование сервисов аналитики с серверами за границей Данные граждан РФ должны храниться на российских серверах. Нарушения этого требования уже приводили к крупным штрафам, как в случае с Twitter и другими организациями.

7. Отсутствие ответственного за обработку данных Компания обязана назначить сотрудника, который контролирует соблюдение законодательства, информирует персонал, обрабатывает запросы субъектов данных и обеспечивает защиту информации.

8. Нет приказа о доступе к персональным данным Должен быть официальный документ, который определяет, кто и в каком объеме может работать с персональными данными.

9. Неправильное хранение данных на бумаге Документы с персональными данными должны храниться в четко определенных местах — шкафах, сейфах, с ограниченным доступом. Разные данные хранятся отдельно, чтобы снизить риски утечки.

Переход на электронный документооборот — современное и надежное решение для организации хранения и защиты данных.

10. Работники не ознакомлены с законом о персональных данных Сотрудники, которые работают с персональными данными, должны быть ознакомлены с законодательством и внутренними правилами. Это оформляется либо отдельным листом ознакомления, либо включается в трудовой договор.

Современное решение этих проблем — переход на электронный документооборот. Система «1С:Документооборот» позволяет не только упорядочить хранение документов, но и обеспечить надежную защиту персональных данных благодаря функциям электронной подписи, разграничения доступа и контроля за движением информации. При этом для внедрения не требуется покупка дорогостоящих лицензий — решение можно арендовать.

11. Нарушения при передаче данных сотрудникам третьих лиц Для каждой цели передачи данных должно быть отдельное согласие. Нельзя использовать один документ для всех целей.

Как избежать штрафов за утечку персональных данных: базовые рекомендации

• Обрабатывайте данные только при наличии законных оснований.
• Собирайте только необходимую информацию.
• Обеспечьте надежную защиту данных и контроль доступа.
• Быстро реагируйте на обращения субъектов данных.
• Регулярно обновляйте внутреннюю документацию с учетом новых требований.

Инвестиции в кибербезопасность и системный подход к защите персональных данных помогут избежать многомиллионных штрафов и защитят репутацию вашей компании.