Персональные данные в 2026 году: какие ошибки компаний теперь стоят миллионов

Штрафы, блокировки и остановка бизнеса: реальная цена формального подхода к защите данных

В 2025 году оборотные штрафы за утечки персональных данных перестали быть угрозой на бумаге. С 30 мая 2025 года, когда вступил в силу Федеральный закон № 420-ФЗ, они стали действующей нормой — и 2026-й год стал первым полным годом их реального применения.

Компания со среднегодовой выручкой 2 млрд рублей при повторной утечке получает оборотный штраф от 20 до 60 млн рублей — только по КоАП. Добавьте к этому отток клиентов, затраты на юридическую защиту, PR-восстановление и возможную блокировку деятельности — и итоговая цифра уходит за 100–150 млн. При этом многие компании по-прежнему живут в логике «у нас всё оформлено, нам нечего бояться».

Вопрос в другом: оформлено — или реально работает?

Почему штрафы 2026 года бьют не по карману, а по бизнесу

Новая система санкций за нарушения 152-ФЗ строится не по принципу «нарушил — заплатил»: она устроена так, что каждое следующее нарушение обходится на порядок дороже предыдущего.

До 2025 года санкции были фиксированными и предсказуемыми. Штраф для организации за общее нарушение правил обработки — до 100 тыс. рублей. Неприятно, но терпимо. С 30 мая 2025 года картина изменилась принципиально.

Три уровня новой ответственности

Уровень 1 — базовые нарушения. Штраф для организации за неправомерную обработку персональных данных вырос до 150–300 тыс. рублей (ч. 1 ст. 13.11 КоАП РФ). За повторное нарушение — до 500 тыс. рублей. Это не катастрофа, но это уже сигнал.

Уровень 2 — утечки данных. Размер штрафа зависит от масштаба инцидента. При утечке данных от 1 000 до 10 000 человек организация платит от 3 до 5 млн рублей. При утечке данных более 100 000 человек — от 10 до 15 млн рублей. За утечку биометрических данных — до 20 млн рублей.

Уровень 3 — повторные утечки (оборотные штрафы). Здесь начинается другой порядок чисел. Штраф составляет от 1 до 3% совокупной годовой выручки организации за предшествующий год, но не менее 20 млн рублей и не более 500 млн рублей (Федеральный закон № 420-ФЗ от 30.11.2024).

Важная деталь: снизить оборотный штраф можно — но только если выполнены два условия одновременно. Первое: компания на протяжении трёх предшествующих лет инвестировала в информационную безопасность не менее 0,1% от выручки. Второе: отсутствуют отягчающие обстоятельства. Попытка скрыть инцидент — это и есть отягчающее обстоятельство.

Принципиальный сдвиг в подходе регулятора: Роскомнадзор в 2026 году оценивает не наличие пакета документов, а способность оператора доказать, что обработка управляется и контролируется в реальном времени. Плановых проверок в 2025–2026 годах нет, зато действует автоматизированный мониторинг сайтов с использованием ИИ-технологий — без предупреждения и без визита инспектора.

На чём горят компании: типичные нарушения, ведущие к миллионным потерям

Большинство инцидентов 2025–2026 годов объединяет одна общая черта: проблема не в незнании закона, а в разрыве между тем, что написано в документах, и тем, что происходит на практике.

Ошибка 1. Ответственный «для галочки»

Компания назначает сотрудника ответственным за обработку персональных данных — и на этом всё заканчивается. Без полномочий, без бюджета, без доступа к ИТ-системам.

Когда происходит инцидент, выясняется: ответственный не мог физически ни отследить утечку, ни уведомить регулятора в срок. Юридически ответственность лежит на организации как операторе. Штраф в этом сценарии выписывается юридическому лицу — до 15 млн рублей за нарушения, повлекшие утечку.

Решение здесь не документальное, а операционное: реальное распределение полномочий, доступ ответственного к системам, бюджет на инструменты защиты и аудит компетенций.

Ошибка 2. «Слепота» к инцидентам — нарушение окна в 24 часа

Это, пожалуй, самая дорогая организационная ошибка 2026 года.

Согласно ч. 3.1 ст. 21 Федерального закона № 152-ФЗ, оператор обязан уведомить Роскомнадзор об утечке в течение 24 часов с момента её обнаружения. Через 72 часа — отправить результаты внутреннего расследования.

Проблема в том, что большинство компаний узнаёт о случившемся не из собственных систем мониторинга, а из публикации в Telegram-каналах или СМИ. Это значит: к моменту обнаружения окно в 24 часа уже закрыто.

Штраф за неуведомление об утечке — от 1 до 3 млн рублей. Но это только административная часть. Репутационный удар от публичного разоблачения, по данным отраслевых исследований, в 3–5 раз дороже.

Ошибка 3. Инсайдер под прикрытием документов

Все политики подписаны. Сотрудник ознакомлен с регламентами. Согласие на неразглашение получено. И при этом технически ничто не мешает ему скопировать базу клиентов на флешку или переслать её в личную почту.

Документы фиксируют намерения. Только технические меры контролируют действия.

Инсайдерские угрозы — отягчающее обстоятельство при рассмотрении дела: если компания не может доказать, что принимала реальные технические меры по ограничению доступа и контролю за действиями с данными, регулятор и суд расценивают это как бездействие. Внедрение DLP-систем (Data Loss Prevention) и настройка логирования действий с файлами — это уже не рекомендация, а базовая гигиена.

Ошибка 4. Биометрия, которой «нет»

Многие компании искренне уверены: мы не работаем с биометрическими данными. При этом в личных делах сотрудников хранятся копии заграничных паспортов. Звонки в колл-центр записываются и архивируются. Видеозаписи и отпечатки пальцев с пропускной системы не удаляются годами и обрабатываются без согласий.

По 152-ФЗ, биометрические персональные данные — это любые сведения, которые позволяют установить личность человека по его физиологическим или биологическим характеристикам. Фото для идентификации личности, голос, отпечатки пальцев — всё это биометрия.

Штраф за утечку биометрических данных с 30 мая 2025 года — до 20 млн рублей. Это отдельный состав нарушения, прямо выделенный в обновлённой редакции ст. 13.11 КоАП РФ.

Решение: инвентаризация всех хранилищ данных с классификацией по типам. Проводить её нужно не по памяти руководителя, а с реальной проверкой файловых систем, баз данных, записей АТС и систем видеонаблюдения.

Ошибка 5. Попытка скрыть инцидент

Это самый дорогой сценарий из всех возможных.

Роскомнадзор в 2026 году ведёт мониторинг утечек в том числе в закрытых источниках — на Telegram-каналах, торговых площадках данных, форумах. Утечка, которую компания решила не раскрывать, с высокой вероятностью будет обнаружена регулятором самостоятельно.

Последствия такого решения:

• Штраф удваивается — попытка скрыть инцидент квалифицируется как отягчающее обстоятельство.
• Право на снижение оборотного штрафа утрачивается.
• Возможна блокировка сайта до устранения нарушений.
• Руководитель организации может быть привлечён к уголовной ответственности по ст. 272 УК РФ («Неправомерный доступ к компьютерной информации»), если факт намеренного сокрытия будет доказан.

Прозрачный регламент взаимодействия с регулятором в случае инцидента — это не просто вопрос законопослушности, это страховка от уголовного дела.

Цена вопроса: во сколько обходится каждая ошибка

Ниже — расчёт минимальных потерь по каждому типу нарушения. Цифры штрафов основаны на действующей редакции ст. 13.11 КоАП РФ (в редакции ФЗ № 420-ФЗ от 30.11.2024, вступившего в силу 30.05.2025). Сопутствующие потери — оценочные, на основании типовой структуры потерь при инцидентах в сфере ИБ.

Отдельно стоит учитывать: с 30 мая 2025 года исключена возможность уплатить штраф с 50-процентной скидкой. Дела о нарушениях юридических лиц и ИП передаются в арбитражный суд.

Что изменилось в требованиях с середины 2025 года: три новых обязательства

Помимо штрафов, в 2025 году появились требования, которые ещё не вошли в бизнес-практику большинства компаний.

Локализация при сборе данных (с 1 июля 2025). По ч. 5 ст. 18 152-ФЗ, запись и хранение персональных данных граждан РФ при их сборе — в том числе через сайт, CRM, форму заявки — должна производиться в базах данных, расположенных на территории России. Формальное «дублирование» базы в РФ Роскомнадзор в 2026 году не принимает как достаточное.

Новые требования к обезличиванию (с 1 сентября 2025). Приказ Роскомнадзора № 140 от 19.06.2025 утвердил четыре допустимых метода обезличивания: введение идентификаторов, изменение состава или семантики, декомпозиция, перемешивание. Убрать имя и номер телефона — этого больше недостаточно.

Смена логики проверок. Роскомнадзор теперь сопоставляет три источника: сайт компании, данные в реестре операторов и фактический документооборот. Если они не совпадают — это основание для внепланового мероприятия. 

Как не допустить, а не платить: аудит как инструмент управления рисками

Аудит соответствия 152-ФЗ — это не инспекция папки с документами. Это проверка того, что реально происходит с данными внутри компании: где хранятся, кто имеет доступ, что случится, если завтра произойдёт утечка.

Что включает полноценный аудит:

1. Инвентаризация данных— выявление всех мест хранения персональных данных, включая те, о которых не знает юридический отдел: архивы звонков, файлы HR, резервные копии, облачные сервисы.
2. Моделирование инцидентов— проверка того, как компания реально отреагирует на утечку: уложится ли в 24 часа, у кого есть доступ к уведомлению РКН, кто принимает решения.
3. Технический анализ— оценка возможности для инсайдера или внешнего злоумышленника получить данные обходными путями, несмотря на наличие политик.
4. Финансовая оценка рисков— расчёт потенциального штрафа и сопутствующих потерь для каждого выявленного нарушения в конкретных рублях.
5. Дорожная карта приоритетов— перечень мер, упорядоченных по соотношению стоимости устранения и величины закрываемого риска.

Такой подход позволяет собственнику или финансовому директору принять взвешенное решение: не «нам нужна безопасность», а «вот конкретные риски на конкретные суммы, и вот что нужно сделать в первую очередь».

Если вам близка тема подготовки к проверкам Роскомнадзора — подробнее о том, как проходят контрольные мероприятия в 2026 году и что проверяют инспекторы, мы писали в статье «Проверка Роскомнадзора в 2026 году: 152-ФЗ о персональных данных, новые требования и подготовка бизнеса».

Что проверить прямо сейчас: чек-лист для руководителя

Это не исчерпывающий список, но именно эти пункты чаще всего вскрываются при первичном аудите.

• Компания включена в реестр операторов персональных данных на портале Роскомнадзора;
• Уведомление в РКН актуально и соответствует фактическим процессам обработки;
• Назначен ответственный с реальными полномочиями и доступом к ИТ-системам;
• Есть регламент действий при инциденте с чёткими сроками (24 ч / 72 ч);
• Все формы на сайте, CRM и системы хранения настроены на российскую инфраструктуру;
• Проведена инвентаризация биометрических данных (фото, голосовые записи, видео);
• Технически ограничен и логируется доступ сотрудников к базам данных клиентов;
• Методы обезличивания данных соответствуют Приказу РКН № 140 от 19.06.2025.

Закон о персональных данных в 2026 году — это история про деньги. Конкретные деньги, с конкретными суммами по конкретным статьям КоАП. Каждая системная ошибка в организации процессов обработки данных имеет измеримую цену — и она, как правило, многократно превышает стоимость её устранения до инцидента.