Ответственность за утечку персональных данных: административная, уголовная, гражданская

После утечки персональных данных бизнес обычно узнает не про один штраф, а про целую цепочку взысканий. Административная ответственность за утечку персональных данных - только первое звено: следом может встать вопрос об уголовном деле по статье 272.1 УК РФ, о гражданском иске от пострадавших клиентов и о дисциплинарном взыскании для сотрудника, который допустил утечку. Наказание за утечку ПДн в 2026 году зависит от того, сколько человек попало в базу, какие именно данные утекли и была ли это первая ошибка компании или повторная. Разбираем, кто отвечает за что и сколько это стоит в деньгах, а где счет идет на годы лишения свободы. Ниже - точные статьи, диапазоны штрафов и порядок действий на случай, если утечка уже произошла: что нужно успеть сделать в первые часы и как распределяется вина между компанией, директором и конкретным сотрудником.

Кто отвечает за утечку персональных данных: четыре вида ответственности

Закон не ограничивается одним видом наказания. За одну и ту же утечку могут наступить сразу несколько видов ответственности, и это не задвоение: КоАП штрафует компанию за то, что не защитила данные, Уголовный кодекс наказывает конкретного человека за то, что использовал украденное, суд по гражданскому иску компенсирует ущерб пострадавшему, а работодатель наказывает сотрудника, из-за чьей ошибки все произошло. Ниже - сводная таблица по всем четырем видам.

Вид ответственности	Основание	Кто отвечает	Санкция
Административная	Статья 13.11 КоАП РФ, части 12-17	Юридическое лицо, ИП, должностное лицо	От фиксированного штрафа в миллионы рублей до оборотного штрафа в процентах от выручки
Уголовная	Статья 272.1 УК РФ	Конкретный человек - сотрудник, подрядчик, посторонний	Штраф, принудительные работы, лишение свободы
Гражданско-правовая	Статьи 151 и 1101 ГК РФ	Оператор как ответчик по иску субъекта ПДн	Компенсация морального вреда, возмещение убытков
Дисциплинарная и материальная	Статьи 192, 238-243 ТК РФ	Сотрудник, допустивший утечку	Замечание, выговор, увольнение, возмещение ущерба в пределах среднего заработка

Административная ответственность: штрафы по статье 13.11 КоАП РФ

После поправок 420-ФЗ от 30.11.2024, которые заработали с 30 мая 2025 года, утечка персональных данных подпадает под отдельные части статьи 13.11 КоАП РФ - с 12 по 17. До этого штраф за утечку почти не отличался от штрафа за любое другое нарушение обработки ПДн и редко превышал сто тысяч рублей. Теперь сумма привязана к масштабу утечки и к тому, нарушила ли компания закон впервые или повторно.

Первое нарушение наказывается фиксированным штрафом, диапазон которого растет вместе с количеством пострадавших субъектов: чем больше людей в утекшей базе, тем выше планка. Отдельно, вне зависимости от числа субъектов, штраф ужесточается, если утекли специальные категории данных - о здоровье, судимости, национальности - или биометрия.

Масштаб утечки	Штраф для юридического лица
До 1000 субъектов	Общие нормы статьи 13.11 КоАП, без оборотной составляющей
От 1000 до 10 000 субъектов	От 3 до 5 млн рублей
От 10 000 до 100 000 субъектов	От 5 до 10 млн рублей
Свыше 100 000 субъектов, либо биометрия и спецкатегории от 1000 субъектов	От 10 до 15 млн рублей
Повторное нарушение, любой объем	Оборотный штраф - от 1 до 3 процентов выручки за прошлый год, не менее 25 и не более 500 млн рублей

Должностные лица и ИП отвечают по тем же частям статьи, но суммы для них в разы меньше, чем для юридического лица. Точную сумму по конкретному делу считает РКН, и она фиксируется в протоколе об административном правонарушении - обжаловать можно квалификацию, но не произвольно снизить ставку.

Уголовная ответственность по статье 272.1 УК РФ

Статья 272.1 УК РФ - тоже результат поправок 420-ФЗ, действует с 30 мая 2025 года. Она наказывает не компанию, а человека: Уголовный кодекс не знает такого субъекта ответственности, как юридическое лицо, поэтому оштрафовать директора за то, что база лежала на незащищенном сервере, по этой статье напрямую нельзя - если только его конкретные действия или бездействие не образуют состав преступления.

Статья охватывает незаконный сбор, хранение, использование и передачу персональных данных, полученных путем неправомерного доступа. Формально под нее подпадает и хакер, взломавший базу, и инсайдер, который вынес клиентскую базу на флешке и продал ее, и тот, кто такую базу купил и использовал для рассылок или скоринга. Санкции построены по нарастающей: в базовом составе - штраф или ограничение свободы, а в частях с отягчающими признаками - если преступление совершено группой лиц по предварительному сговору, с использованием служебного положения, либо утечка повлекла тяжкие последствия - закон допускает реальное лишение свободы, и верхняя граница по самой тяжелой части исчисляется годами.

На практике уголовное дело возбуждают не по факту любой утечки, а когда есть доказанный умысел и конкретный человек, который данные использовал или передал. Если хакер взломал интернет-магазин и выложил базу в открытый доступ, а сама компания хранила данные без явных нарушений технических требований, уголовная ответственность ляжет на хакера, а на компанию - административная, за то, что защита оказалась недостаточной. Подробный разбор того, кого и за что реально привлекают к уголовной ответственности за утечку персональных данных, - в отдельном материале с разбором дел.

Возбуждение дела по статье 272.1 УК РФ редко начинается само по себе. Обычно повод - заявление пострадавшей компании в полицию после того, как она обнаружила слитую базу в открытой продаже, либо материалы проверки РКН, переданные дальше, если в действиях конкретного человека усматривают признаки преступления. Для самой компании как оператора это отдельный процесс, идущий параллельно с административным штрафом, а не вместо него.

Гражданско-правовая ответственность перед субъектами персональных данных

Помимо штрафов государству, у пострадавшего человека есть отдельное право - подать иск к оператору напрямую, в суд общей юрисдикции по месту своего жительства. Основание - статьи 151 и 1101 Гражданского кодекса о компенсации морального вреда, а если есть доказанные прямые убытки, например деньги списали с карты после того, как реквизиты попали в открытый доступ, - еще и возмещение материального ущерба по общим правилам ГК РФ.

На практике суды по искам о моральном вреде из-за утечки ПДн присуждают скромные суммы - от нескольких тысяч до нескольких десятков тысяч рублей на одного истца. Штраф в пользу государства с этим не связан: решение РКН и решение суда существуют параллельно, и оплата оборотного штрафа не освобождает оператора от исков.

Отдельная тема - групповые иски. Гражданский процесс допускает объединение нескольких пострадавших в один иск, если требования однородны. Для утечки, где пострадали тысячи клиентов интернет-магазина или пациентов клиники, это реалистичный сценарий: скромная сумма компенсации, умноженная на число истцов, превращается в заметную статью расходов, даже если ни один штраф от РКН при этом не выписан.

Дополнительная сложность для истца - доказать сам факт утечки и связь между ней и наступившими последствиями. Суд не примет голословное заявление о том, что данные оказались в открытом доступе: нужны скриншоты, публикации в базах утечек или официальное признание оператора в ответе на запрос. Поэтому переписка с оператором и обращение в РКН - не формальность, а основа будущего иска, если субъект решит идти дальше.

Дисциплинарная и материальная ответственность сотрудника

Если утечка произошла из-за конкретного сотрудника - отправил базу клиентов не туда, оставил ноутбук с открытым доступом в такси, вынес данные на личную почту - работодатель вправе применить дисциплинарное взыскание по статье 192 Трудового кодекса: замечание, выговор или увольнение, в зависимости от тяжести проступка и от того, было ли это грубым нарушением обязанностей.

Материальная ответственность - отдельный вопрос. По общему правилу статьи 241 ТК РФ сотрудник отвечает в пределах своего среднего месячного заработка, даже если ущерб компании - штраф, судебные издержки, репутационные потери - оказался в разы больше. Полная материальная ответственность, когда взыскать можно весь ущерб, наступает только в случаях из статьи 243 ТК РФ: например, если ущерб причинен умышленно, в результате преступления, или сотрудник заранее подписал отдельный договор о полной материальной ответственности и занимает должность, для которой такой договор вообще применим.

Курьер, который сфотографировал паспорт клиента и отправил фото в личный чат вместо защищенной CRM, - обычная ситуация для служб доставки, она разобрана отдельно в материале про персональные данные в службе доставки. Дисциплинарная ответственность здесь ложится на курьера, а административная - на компанию: закон спрашивает с оператора за то, как выстроен процесс, а не с сотрудника лично.

Как считают оборотный штраф за утечку на практике

Оборотный штраф пугает суммой, но формула вокруг него простая: берется выручка компании за календарный год, предшествующий нарушению, и от нее считается процент - от 1 до 3, в зависимости от обстоятельств. Дальше сумму сверяют с нижней и верхней границей, зафиксированной в законе, и применяют то значение, которое подходит под конкретный случай.

Пример. Региональная сеть клиник с выручкой 400 млн рублей в год допустила повторную утечку данных пациентов - до этого компанию уже штрафовали за похожий эпизод год назад. Три процента от 400 млн - это 12 млн рублей, сумма укладывается в границы шкалы и станет реальным штрафом к оплате. Для компании с выручкой 2 млрд рублей тот же процент дал бы больше 500 млн - но здесь сработает верхняя граница, и штраф зафиксируют на потолке шкалы.

Важная деталь: за оборотный штраф отвечает выручка всей компании, а не подразделения, где произошла утечка, и не выручка от конкретного продукта, где хранились данные. Небольшой интернет-магазин с большим оборотом рискует не меньше крупной компании - масштаб бизнеса, а не размер IT-отдела, определяет сумму штрафа.

Отдельный вопрос - как быть новой компании, у которой еще не закончился первый календарный год работы, и точного показателя выручки за предыдущий период у нее нет. На практике в таких случаях применяют фиксированный диапазон штрафа, а не оборотный: оборотная часть закона рассчитана на компании с историей, а не на бизнес, который открылся несколько месяцев назад.

Кто отвечает лично: директор, ответственный за ПДн, IT-подрядчик

Ответственность за утечку редко ложится ровно на одного человека, и в компании стоит заранее понимать, кто и за что отвечает, а не разбираться в этом после звонка из РКН.

Директор отвечает как должностное лицо по статье 13.11 КоАП - отдельно от штрафа для самого юридического лица, и суммы для должностных лиц заметно ниже, чем для компании, но это не освобождает от личной строки в протоколе. Если директор лично принимал решение, которое привело к утечке - например, сознательно сэкономил на защите данных вопреки прямому предупреждению технического специалиста, - в теории его действия могут получить и уголовную оценку, хотя на практике такие дела редки и требуют доказанного умысла.

Ответственный за обработку персональных данных - должность, которую обязана назначить любая компания, обрабатывающая ПДн, - отвечает перед своим руководством за то, что документы и процессы в порядке, но закон не возлагает на него личную административную ответственность за сам факт утечки, если только он не является одновременно директором или другим должностным лицом компании.

IT-подрядчик, который обслуживает сайт или CRM по договору, отвечает перед оператором по условиям договора, а не напрямую перед РКН - в глазах закона оператором остается заказчик. Поэтому в договоре с подрядчиком стоит прописывать обязанность использовать сертифицированные средства защиты информации там, где это требуется по уровню защищенности, и ответственность подрядчика за то, что эти средства действительно установлены и работают. Иначе, если РКН выявит нарушение, спрашивать формально будут с оператора, а не с исполнителя.

Отдельно стоит фрилансер или подрядчик, который настраивал сайт разово и не имеет постоянного доступа к базе после сдачи проекта. Формально он не оператор и не обрабатывает данные на постоянной основе, поэтому прямая ответственность по закону о персональных данных на него не ложится - но если утечка произошла из-за ошибки именно в его коде, это основание для претензии в рамках договора подряда, а не по ФЗ-152.

Как это работает на примерах: интернет-магазин, клиника, школа, кадровик

Интернет-магазин. Утечка чаще всего происходит через незащищенную форму заказа или слитую базу CRM: имя, телефон, адрес доставки, иногда - последние цифры карты. Если субъектов больше 10 000, магазин попадает в диапазон штрафа от 5 до 10 млн рублей, даже если реальный оборот у него скромный. Владелец магазина, зарегистрированный как ИП, рискует вдвойне: административный штраф выписывают и на ИП как оператора, и лично на него как на должностное лицо, потому что для ИП это часто одно и то же лицо.

Клиника. Данные о здоровье относятся к специальной категории, поэтому даже утечка карт нескольких сотен пациентов сразу попадает в верхний диапазон штрафа - от 10 до 15 млн рублей за первое нарушение. Дополнительно у пациентов появляется отдельное основание для иска о моральном вреде: раскрытие диагноза третьим лицам суды обычно оценивают серьезнее, чем утечку одного лишь номера телефона.

Школа. Персональные данные детей - тоже чувствительная категория, а типичный источник утечки - электронный дневник или список класса, случайно выложенный в общий доступ. Ответственность здесь несет юридическое лицо, то есть школа, а не конкретный учитель - если только учитель не переслал данные умышленно за пределы служебной необходимости. Родители вправе требовать компенсацию через суд, а не только жаловаться в РКН.

Кадровик. Утечка кадровых данных - сканы паспортов, СНИЛС, трудовые книжки - обычно происходит из-за архива, пересланного не туда, или доступа бывшего сотрудника, который вовремя не закрыли. Здесь чаще всего срабатывает именно дисциплинарная и материальная ответственность конкретного кадровика, а не только штраф компании: если он забыл закрыть доступ уволенному коллеге, это прямое основание для взыскания по статье 192 ТК РФ.

Порядок взыскания материального ущерба с сотрудника тоже регламентирован: если сумма не превышает средний месячный заработок, работодатель вправе удержать ее из зарплаты своим приказом в течение месяца с момента, когда установлен размер ущерба, - без обращения в суд. Если сумма больше или месяц уже прошел, взыскать можно только через суд, и тогда придется доказывать вину сотрудника и точный размер ущерба документально, а не примерно.

Самозанятый. Формально самозанятый тоже оператор персональных данных, если ведет базу клиентов для записи или рассылки. Масштаб утечек у самозанятых обычно небольшой, до 1000 субъектов, поэтому оборотная часть штрафа не применяется - но общие нормы статьи 13.11 КоАП действуют так же, как для компании: незнание закона не освобождает от протокола.

Что снижает риск ответственности, а что не спасет от штрафа

РКН и суд учитывают поведение компании до и после утечки, и это влияет на квалификацию нарушения и иногда на размер штрафа, хотя полностью от ответственности не освобождает почти ничего.

Снижает риск:

• Уведомление РКН об утечке в установленный срок через личный кабинет оператора, а не молчание в надежде, что нарушение не заметят
• Задокументированные меры защиты, которые действовали на момент утечки: политика обработки, приказ о назначении ответственного, журнал доступа к базе
• Быстрая коммуникация с пострадавшими субъектами вместо попытки скрыть инцидент
• Отсутствие предыдущих нарушений - это единственное, что напрямую переводит компанию из повторного состава в первичный, с фиксированным, а не оборотным штрафом

Не спасает от штрафа:

• Ссылка на то, что данные украл внешний хакер, а не сотрудник, - вина оператора состоит в недостаточной защите, а не в личном участии в утечке
• Оперативное устранение уязвимости после утечки - это обязанность, а не смягчающее обстоятельство
• Небольшой размер компании - штраф считают исходя из числа субъектов и выручки, а не из штата сотрудников
• Отсутствие жалоб от субъектов - РКН возбуждает дело и по собственной инициативе, и по данным из СМИ

На практике большинство компаний, которых оштрафовали по оборотной части статьи 13.11 КоАП, объединяет одно: об утечке они узнали не от собственной системы мониторинга, а из жалобы клиента, публикации в СМИ или запроса от РКН. Регулярная проверка того, кто имеет доступ к базе и как она защищена, снижает не только риск самой утечки, но и риск того, что о ней узнают раньше, чем компания успеет среагировать сама.

Что делать в первые часы после обнаружения утечки

Порядок действий один и тот же для интернет-магазина, клиники, школы или ИП - разница только в масштабе и в том, кому персонально придется объясняться: директору, кадровику или подрядчику, обслуживающему сайт.

1. Зафиксировать факт утечки и точное время обнаружения - эта дата станет точкой отсчета для срока уведомления РКН
2. Оценить масштаб: сколько субъектов затронуто и какие категории данных утекли - обычные или специальные
3. Уведомить РКН через личный кабинет оператора - на сайте Роскомнадзора есть отдельные сервисы для таких обращений
4. Устранить техническую причину утечки, если она еще действует: закрытую уязвимость, скомпрометированный доступ, ошибку в настройках
5. Составить внутренний акт о причинах утечки - он пригодится и как основание для дисциплинарного взыскания, и как аргумент в суде или перед РКН
6. Подготовить обращение к пострадавшим субъектам, если утечка значимая, - это снижает риск массовых исков и жалоб
7. Проверить документы: правильно ли оформлено согласие на обработку, актуальна ли политика обработки персональных данных, назначен ли ответственный за ПДн

Ответственность за утечку персональных данных в 2026 году редко ограничивается одним штрафом - обычно это сочетание из нескольких видов сразу, и разобраться в них проще заранее, чем после звонка из РКН. Доработка сайта и документов под эти требования - как раз то, с чего обычно начинается работа 152fzpro.ru: приведение в порядок политики обработки, формы согласия и технической части, из-за которой чаще всего и случаются утечки.