Штраф за утечку персональных данных в 2026: размеры, оборотные и сроки

Q: Какие штрафы предусмотрены за утечку персональных данных с 2026 года?

Для юрлиц и ИП: 3–5 млн ₽ за утечку 1 000–10 000 субъектов, 5–10 млн — 10 000–100 000, 10–15 млн — свыше 100 000; спецкатегории 10–15 млн, биометрия 15–20 млн. Отдельно 1–3 млн за неуведомление РКН. За повторную утечку — оборотный штраф 1–3% выручки, не менее 20 млн (спец/био 25 млн), до 500 млн ₽.

Q: Чем грозит утечка паспортных данных?

Паспортные данные — обычные ПДн, штраф считается по числу пострадавших (от 3 млн ₽ для юрлиц при 1 000–10 000 человек). При утечке спецкатегорий или биометрии суммы выше. Плюс обязанность уведомить РКН в 24/72 часа и риск оборотного штрафа при повторе.

Q: Какая таблица штрафов по персональным данным?

Полная таблица по всем нарушениям 152-ФЗ — в разборе «штрафы за персональные данные». Здесь приведены только составы, связанные с утечкой.

С 30 мая 2025 года утечка персональных данных обходится бизнесу в миллионы: штраф зависит от того, данные скольких людей утекли, молчание перед Роскомнадзором наказывается отдельно, а повторная утечка — уже процентом от выручки. Три главные цифры:

3–15 млн ₽

за саму утечку — по числу пострадавших; спецкатегории и биометрия — до 20 млн

1–3 млн ₽

отдельно — за неуведомление Роскомнадзора об утечке в срок

до 500 млн ₽

оборотный штраф за повторную утечку — 1–3% годовой выручки

Всё это — ст. 13.11 КоАП в редакции с 30 мая 2025 года (ФЗ № 420-ФЗ). Ниже — таблица по составам, сроки уведомления РКН и расчёт стоимости одного инцидента.

Размеры штрафов за утечку

Состав	Юрлица / ИП	Иные лица / повтор
Неуведомление / несвоевременное уведомление РКН об утечке (ч. 11)	1–3 млн ₽	должн. 400–800 тыс · граждане 50–100 тыс ₽
Утечка: данные 1 000–10 000 субъектов (ч. 12)	3–5 млн ₽	должн. 200–400 тыс · граждане 100–200 тыс ₽
Утечка: данные 10 000–100 000 субъектов (ч. 13)	5–10 млн ₽	—
Утечка: данные свыше 100 000 субъектов (ч. 14)	10–15 млн ₽	—
Первичная утечка специальных категорий (ч. 16) / биометрии (ч. 17)	10–15 / 15–20 млн ₽	—
Повторная утечка — оборотный штраф (ч. 15; спец/био — ч. 18)	1–3% годовой выручки: не менее 20 млн ₽ (спец/био — 25 млн), не более 500 млн ₽	к НКО и госорганам оборотные не применяются

Суммы — по ст. 13.11 КоАП в редакции с 30.05.2025 (ФЗ № 420-ФЗ от 30.11.2024). Полная таблица по всем нарушениям 152-ФЗ — в разборе штрафов за персональные данные.

Сколько стоит одна утечка

🧾 «Счёт» за одну утечку средней базы

Утечка данных ~50 000 клиентовч. 13 — диапазон 10 000–100 000 субъектов5–10 млн ₽

Не сообщили в РКН в срокч. 11 — отдельный состав+ 1–3 млн ₽

Итого за один инцидент с базой среднего магазина:6–13 млн ₽

А если утечка повторится, пока действует наказание за предыдущую (обычно в течение года — ст. 4.6 КоАП), — включается оборотный штраф: 1–3% годовой выручки, не менее 20 млн ₽ (для спецкатегорий и биометрии — не менее 25 млн), до 500 млн ₽.

Сроки: когда и как уведомить Роскомнадзор

Если утечка произошла, оператор обязан сообщить в Роскомнадзор в сжатые сроки — и само молчание наказывается отдельно (ч. 11):

часа — первичное уведомление

В течение 24 часов с момента выявления инцидента подать в РКН уведомление о факте утечки (состав инцидента, предполагаемые причины, предполагаемый вред).

часа — результаты расследования

В течение 72 часов — сведения о результатах внутреннего расследования и о лицах, виновных в инциденте.

⚠️ Нарушение этих сроков — отдельный штраф по ч. 11 (для юрлиц и ИП 1–3 млн ₽), независимо от штрафа за саму утечку. То есть «замолчать» утечку дороже, чем сообщить.

Что делать, если утечка произошла

Коротко: зафиксировать инцидент, уложиться в сроки уведомления РКН (24/72 ч), оценить объём и категории данных, провести внутреннее расследование. Пошаговый разбор первых действий — в отдельном материале: утечка персональных данных: что делать в первые 72 часа.

Как снизить риск утечки заранее

Самый дешёвый сценарий — не доводить до утечки и штрафа. Мы в ScanBase сканируем сайты по 152-ФЗ и показываем, где у сайта лишняя поверхность риска: какие данные собираются, какие сторонние сервисы и трекеры их получают и куда данные уходят. Чем меньше данных собирается и чем меньше их расходится по внешним сервисам — тем меньше масштаб возможной утечки и штрафа по ней.

🔍

Проверьте, какие данные и куда уходят с вашего сайта

Сканер ScanBase покажет собираемые данные, сторонние сервисы и трекеры — поверхность риска утечки. Меньше минуты, бесплатно.

Проверить сайт →

По теме

Частые вопросы

Какие штрафы предусмотрены за утечку персональных данных с 2026 года? +

Для юрлиц и ИП: 3–5 млн ₽ за утечку данных 1 000–10 000 субъектов, 5–10 млн — 10 000–100 000, 10–15 млн — свыше 100 000; за утечку специальных категорий — 10–15 млн, биометрии — 15–20 млн. Отдельно 1–3 млн за неуведомление РКН. За повторную утечку — оборотный штраф: 1–3% годовой выручки, не менее 20 млн (спец/био — 25 млн), до 500 млн ₽.

Чем грозит утечка паспортных данных? +

Паспортные данные — обычные персональные данные, поэтому штраф считается по числу пострадавших субъектов (от 3 млн ₽ для юрлиц при утечке 1 000–10 000 человек и выше). Если в утечке есть специальные категории или биометрия — суммы выше (10–20 млн). Плюс обязанность уведомить РКН в 24/72 часа и риск оборотного штрафа при повторе.

Что делать, если произошла утечка персональных данных? +

Зафиксировать инцидент и уведомить Роскомнадзор: в течение 24 часов — о факте утечки, в течение 72 часов — о результатах внутреннего расследования. Параллельно оценить объём и категории данных и устранить причину. Пошаговый план — в материале «утечка персональных данных: что делать в первые 72 часа».

Какая таблица штрафов по персональным данным? +

Полная таблица по всем нарушениям 152-ФЗ (обработка без согласия, нет политики, локализация, уведомления, утечки, оборотные) — в разборе «штрафы за персональные данные». Здесь приведены только составы, связанные с утечкой.