Полмиллиона строк в телеграм-канале
С 30 мая 2025 года в статье 13.11 КоАП действуют новые части о крупных утечках персональных данных. Часть 14 касается утечек данных более 100 тысяч человек или более миллиона идентификаторов. Штраф для юрлица по ней — от 10 до 15 млн руб. За повторную утечку часть 15 предусматривает оборотный штраф: от 1 до 3% выручки, но не меньше 20 млн руб.
Одним из первых дел по части 14 стало дело онлайн-академии для детей ООО «Юкидс». По материалам суда, в открытом доступе оказалась база около 500 тысяч строк из CRM-системы «Битрикс 24», которой пользовалась компания. Базу разместили в телеграм-канале.
В ней были фамилии, имена, телефоны и электронная почта клиентов, пометки вроде «бесплатный курс» и «завершен», а также корпоративные адреса сотрудников. Роскомнадзор выборочно сверил 31 запись с системой оператора и подтвердил, что база принадлежит «Юкидс». Суд установил утечку данных более 300 тысяч человек.
Как 10 млн превратились в 400 тысяч
5 марта 2026 года Арбитражный суд Москвы признал «Юкидс» виновной по части 14 статьи 13.11 КоАП. Заявление подало Управление Роскомнадзора по ЦФО, номер дела — А40-351064/2025.
Заменить штраф предупреждением суд отказался. Но учел, что с 2021 года компания внесена в реестр малого и среднего предпринимательства как микропредприятие. Для таких компаний статья 4.1.2 КоАП позволяет назначать штраф в пределах от половины минимального до половины максимального размера для юрлица.
Суд применил статью 4.1.2 КоАП при определении размера штрафа. Итог, как говорится в решении, — «наказание в виде штрафа в размере 400 000 рублей».
Арифметика здесь не очевидна. Половина минимального штрафа для юрлица по части 14 — 5 млн руб. «Гарант» в разборе дела пишет, что суд «счел, что половиной минимального размера штрафа в данном случае будет сумма в 400 000 руб.». Как получена эта сумма, из текста решения не следует.
Апелляция и соседние дела
«Юкидс» обжаловала решение и просила отказать Роскомнадзору полностью. 21 мая 2026 года Девятый арбитражный апелляционный суд оставил решение без изменения, полный текст постановления изготовлен 3 июня.
Похожий подход суды применили и в других делах. 10 марта Арбитражный суд Петербурга и Ленобласти ограничился предупреждением для инвестиционной платформы, у которой утекли данные 70 тысяч человек. Нарушение компании было первым.
«Коммерсантъ» по итогам анализа практики за февраль и март не нашел оборотных или просто миллионных штрафов по новым составам. Руководитель практики защиты персональных данных АЛРУД Мария Осташенко в разговоре с изданием допустила появление больших сумм во второй половине 2026 года.
С 1 января 2026 года дела об утечках вернулись от арбитражных судов к мировым судьям. Юристы, опрошенные «Коммерсантом», затрудняются прогнозировать, будут ли мировые судьи следовать позиции арбитражей.
Штраф небольшой, а след в поиске надолго
- Маленький штраф не означает маленький ущерб. Название компании, объем утечки и описание базы теперь лежат в открытом решении суда и в отраслевых разборах. Их найдет любой, кто проверяет школу перед покупкой курса.
- Вторая утечка меняет масштаб. Она переводит компанию в часть 15, где штраф считается от выручки и начинается с 20 млн руб.
- Сторонний сервис не снимает ответственности. Оператор отвечает за данные в любой системе, которой пользуется. Роскомнадзор сверил базу с записями в CRM школы, и наказание суд назначил самой школе.
- Судебная практика по новым составам только складывается и уже дважды меняла подсудность. Рассчитывать на мягкость следующего суда рискованно.