С начала 2025 года — в цифрах
30 мая 2025 года в России вступили в силу повышенные штрафы за утечки персональных данных. Для компаний они зависят от числа пострадавших и типа данных, а за повторную утечку предусмотрен оборотный штраф. Кроме того, Роскомнадзор получил право проводить административные расследования.
14 августа 2026 года ведомство подвело итоги с начала 2025 года на Дне открытых дверей, посвященном персональным данным. Цифры приводит «Интерфакс» по презентации РКН.
- 52 административных расследования по информации об утечках.
- Пять внеплановых проверок — там, где база данных была скомпрометирована, но оператор утечку не подтверждал.
- 40 протоколов по пяти составам.
- 2,6 млн руб. назначенных штрафов в сумме.
- 19 предписаний.
Ни одной повторной утечки за это время ведомство не зафиксировало. Протоколов по части 15 статьи 13.11 КоАП, которая предусматривает оборотные штрафы, не составляли. Эта часть применяется к компании, уже наказанной за утечку по частям 12–14 или 16–18. Наказанной она считается до истечения года после исполнения постановления.
Что сказал Роскомнадзор
Итоги представил заместитель руководителя ведомства Милош Вагнер. По его словам, РКН почти ушел от проверок к административным расследованиям и действует решительно «лишь в исключительных случаях».
«Все два года рассмотрения законопроекта о повышенной ответственности за нарушение в области персональных данных его сопровождала целая информационная кампания. Бизнес пугали разорительными оборотными штрафами за утечки данных. И единственный состав, который предусматривает оборотные штрафы, — это часть 15 — не применялся», — сказал Вагнер.
Он добавил, что у Роскомнадзора нет плановых показателей, привязанных к числу протоколов или взысканных штрафов. По оценке Вагнера, закон мотивировал компании заняться защитой данных и не откладывать ее.
Что известно из других источников
Сопоставимые цифры РКН давал и раньше. В апреле ведомство сообщило «Коммерсанту» о 31 протоколе по фактам утечек за период с 30 мая по 31 декабря 2025 года. За тот же период 2024 года их было 33. Протоколов по частям 15 и 18 статьи 13.11 на 1 апреля не выносилось. В сентябре ведомство сообщило «Известиям», что повторных утечек у ранее наказанных операторов нет. За первое полугодие 2026 года РКН официально зафиксировал 12 утечек.
Отсутствие крупных штрафов не значит, что утечек нет. В июле «Коммерсантъ» привел данные аналитиков Smart Business Alert. За первое полугодие 2026 года они нашли в открытом доступе 54 базы с актуальностью 2026 года. В сумме в них 24,3 млн строк. Компания F6 за тот же период насчитала 88 новых публикаций утечек баз российских компаний.
Суды при этом склонны снижать штрафы ниже минимума или ограничиваться предупреждением. Так «Коммерсантъ» описал практику февраля и марта.
Клиенты узнают об утечке раньше, чем регулятор выпишет штраф
- Административная цена утечки пока невелика: 2,6 млн руб. штрафов на всех с начала 2025 года. Но это общая сумма по всем делам, а не гарантия для конкретной компании.
- Мягкость регулятора — его заявленная позиция, а не гарантия. Вагнер говорит о решительных действиях «лишь в исключительных случаях», и что считать таким случаем, решает сам Роскомнадзор.
- Утечка становится публичной раньше, чем появляется протокол: базы выкладывают в телеграм-каналы, их находят аналитики и журналисты. Клиенты узнают о ней не из решения суда, а из новостей и рассылок мошенников.
- Поэтому план на случай утечки — это не только уведомление регулятора, но и подготовленная коммуникация с клиентами. Отслеживать упоминания бренда рядом со словом «утечка» стоит постоянно, это часть мониторинга репутации.