Утечка персональных данных и оборотные штрафы

Происхождение и история термина

В этой теме соединились техническая задача — понять, что произошло с данными, — и правовая задача — определить обязанности и ответственность. Историю рассматриваемых российских правил можно проследить по изменяющим законам: обязанность уведомлять об инциденте появилась в части 3.1 статьи 21 благодаря закону № 266-ФЗ от 14 июля 2022 года и действует с 1 сентября 2022 года. Части 10–18 статьи 13.11 КоАП добавил закон № 420-ФЗ от 30 ноября 2024 года; они действуют с 30 мая 2025 года. ^{[6, 7]}

Международные документы решают сходную задачу в других правовых системах. Европейский совет по защите данных, EDPB, 28 марта 2023 года принял версию 2.0 руководства 9/2022 об уведомлениях по GDPR — Общему регламенту ЕС о защите данных. Американский Национальный институт стандартов и технологий, NIST, в апреле 2025 года выпустил SP 800-61 Rev. 3 о реагировании на инциденты, заменившую редакцию 2012 года. Эти документы помогают понять предмет, но российские сроки и штрафы устанавливают российские нормы. ^{[3, 5]}

Суть и механизм

Персональные данные — сведения, позволяющие прямо или через дополнительные связи определить человека. Субъект данных — сам этот человек. Оператор определяет, зачем обрабатывать данные, какие сведения нужны и какие действия с ними выполнять; им может быть организация, орган власти или физическое лицо. Поэтому разговор об утечке начинается с двух вопросов: чьи сведения затронуты и кто отвечает за соответствующую обработку. ^[1]

Утечка не обязательно выглядит как опубликованная база. В учебном примере менеджер отправил выгрузку клиентских контактов одному постороннему адресату. Открытого сайта с этой выгрузкой нет, но раскрытие уже произошло. Другой пример — ссылка, которую ошибочно сделали доступной всем вместо нескольких сотрудников. Оба случая показывают, почему проверяют фактический круг получателей, а не только наличие публикации в интернете. Ошибочная отправка и доступ третьего лица также приведены среди примеров в руководстве британского регулятора ICO. ^[4]

При этом английское personal data breach шире русского слова «утечка» в узком значении раскрытия. ICO включает уничтожение, изменение, утрату и существенную потерю доступности данных. Если файл безвозвратно удалён, это может быть нарушением безопасности данных без раскрытия посторонним. Для российского уведомления важна собственная формулировка закона: установленный факт неправомерной либо случайной передачи или доступа, который нарушил права людей. Иностранное определение не заменяет эту проверку. ^{[1, 4]}

Сигнал и установленный факт тоже различаются. Письмо «у вас украли базу» ещё требует проверки происхождения и содержания образца. Однако проверка не должна превращаться в ожидание полной картины: российское первичное уведомление прямо допускает сведения о предполагаемых причинах и предполагаемом вреде. Закон разделяет раннее сообщение и результаты расследования, поскольку это разные объёмы информации. ^[1]

Виды и классификации

Для технического разбора можно использовать рабочее деление по способу раскрытия: ошибочная отправка, открытая ссылка, доступ через чужую учётную запись. Это удобные названия ситуаций, а не номера составов КоАП. Юридическая классификация устроена иначе: она учитывает количество затронутых людей и идентификаторов, вид данных и наличие предыдущего наказания. ^[2]

Идентификатор в статье 13.11 — уникальное обозначение относящихся к человеку сведений в системе оператора. Он не равен человеку или строке файла. Учебная выгрузка может содержать 1 200 строк о 800 клиентах: некоторые клиенты обращались несколько раз. Число людей здесь — 800, если сопоставление выполнено верно. Сколько в массиве юридически значимых идентификаторов, из количества строк узнать нельзя. ^[2]

Специальные категории включают, например, сведения о здоровье, политических взглядах и религиозных убеждениях. Биометрические данные характеризуют физиологические или биологические особенности и используются оператором для установления личности. Поэтому название поля «фото» само по себе ещё не объясняет, выполняет ли изображение биометрическую функцию в конкретной обработке. ^[1]

Ниже приведены основные составы утечек и санкции для операторов, относящихся к юридическим лицам по примечанию 3 статьи 13.11. Это не таблица всех нарушений законодательства о данных. Диапазоны относятся к самим санкциям; правила назначения штрафа рассмотрены далее. ^[2]

Для частей 12–14 закон отдельно указывает отсутствие признаков уголовно наказуемого деяния. В частях 16 и 17 перечисленные количественные пороги не установлены. Союз «и/или» означает, что нельзя оценить ситуацию только по людям, проигнорировав идентификаторы. Интервалы таблицы сохраняют формулировку нормы: на общей границе диапазонов, например ровно 10 тыс. людей, она не служит автоматическим правилом выбора части. Для такого случая требуется правовая квалификация, а не округление числа в удобную сторону. ^[2]

Как применяется на практике

Учебный пример: редакция обнаружила открытую выгрузку заявок рекламодателей. В ней есть имена и контактные данные представителей компаний. Команда ограничивает доступ, фиксирует время и сохраняет сведения, необходимые для разбора. Затем уточняет, какие данные раскрылись, с какого момента и кому они могли быть доступны. Закрытая ссылка означает прекращение одного способа доступа; вопрос о ранее полученных копиях остаётся отдельным.

Такое распределение задач соответствует общему подходу NIST: технические специалисты устанавливают обстоятельства и ограничивают ущерб, руководство обеспечивает полномочия и ресурсы, а участники с разными обязанностями координируют решения. Практический вывод для примера — заранее назначить тех, кто проверяет систему, оценивает правовые обязанности и согласует сообщения. Один сотрудник может выполнять несколько функций, но отсутствие ответственного не должно обнаруживаться только после происшествия. ^[3]

По части 3.1 статьи 21 оператор сообщает уполномоченному органу об инциденте в течение 24 часов. В сообщение входят предполагаемые причины и вред, принятые меры и сведения об уполномоченном контактном лице. В течение 72 часов сообщают результаты внутреннего расследования и, если они известны, сведения о лицах, чьи действия стали причиной инцидента. Начало обоих сроков связано с выявлением; норма называет выявление оператором, уполномоченным органом либо другим заинтересованным лицом. ^[1]

Если в учебной задаче юридически значимое выявление произошло в понедельник в 10:00, суточный ориентир приходится на вторник в 10:00, а 72-часовой — на четверг в 10:00. Это одни сутки и трое суток от общей точки, а не четыре суток суммарно. Время в примере ведётся в одном часовом поясе. Для реального события саму исходную точку устанавливают по фактам; дата, когда руководитель прочитал внутреннее письмо, не может просто подменить всю хронологию.

В ЕС руководство EDPB объясняет другой порядок: уведомление надзорного органа без неоправданной задержки и, когда это осуществимо, в пределах 72 часов после осведомлённости о нарушении; исключение связано с маловероятным риском для прав и свобод людей. При неполных сведениях предусмотрена поэтапная передача информации. В Великобритании ICO описывает соответствующий порядок UK GDPR и отдельное информирование людей при вероятном высоком риске. Российскую пару сроков 24/72 эти правила не заменяют. ^{[4, 5]}

Как измерить или проверить

Что означает повторность

Оборотный штраф по части 15 связан с новым нарушением из частей 12–14, а по части 18 — с новым нарушением из части 16 или 17. В обоих случаях требуется, чтобы лицо было подвергнуто наказанию за нарушение из частей 12–18. Предыдущий и новый составы поэтому не обязаны совпадать: после наказания за биометрические данные новое нарушение с обычными данными может оцениваться по части 15, если выполнены остальные условия. ^[2]

«Подвергнуто наказанию» — правовой статус, а не наличие когда-либо случившейся утечки. По общему правилу статьи 4.6 он длится от вступления постановления в законную силу до окончания года после исполнения постановления. Для штрафа, уплаченного до вступления постановления в силу, часть 2 устанавливает специальный отсчёт окончания этого срока; в статье есть и отдельное исключение части 3. Поэтому проверяют постановление и его исполнение, а не просто количество инцидентов в журнале. ^[2]

От какой суммы считают процент

Для обычной организации база — совокупная выручка от реализации всех товаров, работ и услуг за календарный год перед годом выявления нарушения. Это не прибыль после расходов и не доход только затронутого сайта. Если организация не осуществляла реализацию в предыдущем году, берётся часть года выявления, предшествующая дате выявления. Для кредитной организации норма вместо выручки предусматривает собственные средства, то есть капитал, на дату совершения нарушения. Дата выявления и дата совершения здесь выполняют разные функции. ^[2]

Учебный пример: нарушение выявлено в 2026 году, а организация вела реализацию в 2025 году. Тогда для основной модели берётся выручка 2025 года. Пусть она равна 4 млрд рублей. Один процент — это одна сотая базы, поэтому 1% равен 40 млн, а 3% — 120 млн рублей. Оба результата находятся между установленными пределами; для частей 15 и 18 основной диапазон в этом примере одинаков — 40–120 млн. ^[2]

Для меньшей базы различие минимумов становится заметным. При выручке 600 млн рублей 1% составляет 6 млн, а 3% — 18 млн. Оба числа ниже даже минимума части 15. С учётом нижней границы сама санкция части 15 даёт 20 млн, части 18 — 25 млн рублей. При базе 30 млрд арифметические границы равны 300 и 900 млн; верхний предел основной санкции ограничивает результат 500 млн, то есть получается 300–500 млн. ^[2]

Все эти суммы — учебное чтение процентных границ, а не расчёт наказания конкретному оператору. Часть 3.4-2 статьи 4.1 предусматривает для нарушений по частям 15 и 18 особый порядок: штраф равен одной десятой его минимального размера, но ограничен снизу 15 млн, а сверху 50 млн рублей. До вынесения постановления должны быть выполнены одновременно три условия. ^[2]

Первое касается затрат на информационную безопасность. В каждом из трёх календарных лет перед годом выявления нарушения они должны составлять не менее 0,1% годовой выручки от всей реализации или капитала кредитной организации. Мероприятия проводит организация с лицензией, указанной в пункте 1 или 5 части 1 статьи 12 закона № 99-ФЗ, либо сам оператор с такой лицензией. Если нарушение выявлено в 2026 году, в учебном примере проверяются расходы за 2023, 2024 и 2025 годы, каждый отдельно. ^[2]

Второе условие — соблюдение требований защиты данных в информационных системах. Его документальное подтверждение должно быть проведено в течение 12 месяцев до момента выявления нарушения. Третье — отсутствие отягчающих обстоятельств, перечисленных в примечании 5 к статье 13.11. Следовательно, одна покупка защитной программы не подтверждает выполнения всей совокупности условий. ^[2]

Кроме финансовых чисел, в карточке инцидента полезно сохранять время первого сигнала, выявления, ограничения доступа и отправки каждого сообщения. Это редакционная рекомендация для проверяемой хронологии. Если написать только «реагировали за час», останется непонятно, какой час измеряли: после появления открытой ссылки, её обнаружения или передачи задачи специалисту.

Ошибки, ограничения и спорные вопросы

Первая ошибка — считать уведомление признанием конкретного состава КоАП. Уведомление сообщает об установленном инциденте, тогда как для ответственности оценивают признаки соответствующего нарушения. Обратная ошибка — ждать, пока станет известен будущий штраф, прежде чем разбирать обязанность сообщить об инциденте. Сроки статьи 21 не поставлены в зависимость от завершения такого расчёта. ^{[1, 2]}

Вторая ошибка — считать малую выгрузку безопасной юридически. Недостижение порога части 12 не отменяет обязанности уведомления при её законных основаниях и не исключает иных составов. Особенно существенен вид данных: части 16 и 17 не используют порог в тысячу людей. Поэтому сначала выясняют содержание массива, затем его масштаб, а не наоборот. ^{[1, 2]}

Третья ошибка — складывать все обнаруженные числа. Если человек присутствует в двух выгрузках, сумма строк может дважды учитывать его. В учебном разборе полезно отдельно записать проверенное число людей, число идентификаторов и оставшуюся неопределённость. Такой отчёт объясняет, откуда взялась оценка, и позволяет исправить её после новых сведений без переписывания первоначальной истории.

Наконец, техническое исправление не доказывает устранения всех последствий. В примере с открытой ссылкой проверка после исправления должна показать, что посторонний больше не получает файл, а нужный сотрудник сохраняет рабочий доступ. Это конкретная проверка выбранной меры, а не обещание полной защищённости организации.

Правовой аспект

Справка отражает нормы на 23 октября 2026 года: закон № 152-ФЗ в редакции от 26 июля 2026 года и КоАП в редакции от 4 августа 2026 года, действующей с 1 октября 2026 года. Для частей 10–18 статьи 13.11 есть специальные определения участников: в группу юридических лиц не входят государственные и муниципальные органы, а также некоммерческие организации; должностные лица для этих частей определены применительно к таким органам и организациям. Индивидуальные предприниматели по частям 8–18 отвечают как юридические лица. Переносить колонку штрафов для бизнеса на любую организацию нельзя. ^{[1, 2]}

За нарушение обязанности уведомления об инциденте часть 11 предусматривает для соответствующего юридического лица 1–3 млн рублей. Это отличается от части 10 — неуведомления о намерении обрабатывать данные, где диапазон составляет 100–300 тыс. рублей. Уведомление об обработке не заменяет уведомление о произошедшем инциденте. ^[2]

Отложенная поправка закона № 200-ФЗ начнёт действовать 1 марта 2027 года: в пункте 7 части 2 статьи 10 закона № 152-ФЗ появится дополнительное основание обработки специальных категорий в связи с безопасностью дорожного движения. Она меняет допустимые основания обработки, а не перечень категорий, сроки сообщения об утечке или оборотные санкции. На дату справки это будущая норма. ^[8]

Материал объясняет устройство норм и учебную арифметику. Определение состава, срока повторности, финансовой базы и применимых правил назначения наказания в конкретном деле требует изучения документов и юридической оценки.

Частые вопросы

Связанные термины

• Персональные данные
• Оператор персональных данных
• 152-ФЗ «О персональных данных»
• Локализация персональных данных
• Уведомление РКН об обработке ПД
• Согласие на обработку персональных данных