Защита персональных данных (ПДн) граждан — одно из приоритетных направлений государственного регулирования в Российской Федерации. Основным нормативным актом в этой сфере является Федеральный закон от № 152-ФЗ «О персональных данных», а ответственность за нарушение установленных правил предусмотрена статьёй 13.11 Кодекса РФ об административных правонарушениях (КоАП РФ). Контроль и надзор за соблюдением законодательства осуществляет Роскомнадзор.
Важно: с 30 мая 2025 года вступили в силу изменения, внесённые Федеральным законом от № 420-ФЗ, которые существенно увеличили размеры штрафов за нарушения в области персональных данных.
Кто несёт ответственность
Субъектами ответственности по статье 13.11 КоАП РФ могут выступать:
- граждане — физические лица, допустившие нарушение;
- должностные лица — руководители и сотрудники организаций, ответственные за обработку ПДн;
- юридические лица — организации-операторы персональных данных.
Основные виды нарушений и размеры штрафов
Незаконная обработка персональных данных (ч. 1 ст. 13.11 КоАП РФ)
Обработка ПДн в случаях, не предусмотренных законодательством, либо обработка, несовместимая с целями сбора данных (например, использование базы клиентов для целей, не связанных с первоначальным согласием), влечёт наложение административного штрафа. Размеры санкций зависят от статуса нарушителя: для граждан, должностных лиц и юридических лиц установлены дифференцированные суммы, причём для организаций они наиболее существенны и после изменений 2025 года могут достигать значительных величин.
Обработка данных без согласия субъекта (ч. 2 ст. 13.11 КоАП РФ)
Обработка персональных данных без письменного согласия субъекта в случаях, когда такое согласие обязательно, либо нарушение требований к составу сведений, включаемых в согласие, — одно из самых распространённых нарушений. Типичный пример, сбор данных через формы на сайте без корректно оформленного согласия пользователя.
Отсутствие политики обработки ПДн (ч. 3 ст. 13.11 КоАП РФ)
Невыполнение оператором обязанности по опубликованию или обеспечению неограниченного доступа к документу, определяющему политику в отношении обработки персональных данных, или сведениям о реализуемых требованиях к их защите влечёт предупреждение или административный штраф. На практике это означает, что на сайте любой организации, собирающей данные пользователей, должна быть размещена актуальная политика конфиденциальности.
Непредоставление информации субъекту ПДн (ч. 4 ст. 13.11 КоАП РФ)
Невыполнение оператором обязанности по предоставлению субъекту персональных данных информации, касающейся обработки его данных, влечёт наложение административного штрафа:
- на граждан — от 2 000 до 4 000 рублей;
- на должностных лиц — в повышенном размере;
- на юридических лиц, в наиболее крупном размере (суммы увеличены с учётом изменений 2025 года).
Нарушение сроков рассмотрения запросов и требований
Оператор обязан своевременно отвечать на запросы субъектов ПДн и уполномоченного органа, а также выполнять требования об уточнении, блокировании или уничтожении данных. Просрочка или отказ также квалифицируются по статье 13.11 КоАП РФ.
Нарушение требований к защите данных
Невыполнение обязанностей по обеспечению конфиденциальности и безопасности ПДн (отсутствие технических и организационных мер защиты) влечёт отдельную ответственность, а в случае утечки данных возможно привлечение и по другим составам, включая оборотные штрафы за утечки персональных данных.
Дополнительные риски для операторов
Помимо штрафов по статье 13.11 КоАП РФ, нарушителей могут ожидать:
- Предписания Роскомнадзора об устранении нарушений, неисполнение которых влечёт новую ответственность;
- Ограничение доступа к информационным ресурсам, нарушающим законодательство;
- Гражданские иски субъектов данных о компенсации морального вреда;
- Уголовная ответственность по статье 137 УК РФ при нарушении неприкосновенности частной жизни;
- Оборотные штрафы за утечки персональных данных, размер которых привязан к выручке компании.
Как избежать штрафов: рекомендации операторам
- Разработать и опубликовать на сайте политику обработки персональных данных;
- Получать корректно оформленное согласие субъектов на обработку данных;
- Назначить ответственного за организацию обработки ПДн;
- Подать или актуализировать уведомление в Роскомнадзор об обработке данных;
- Внедрить организационные и технические меры защиты информации;
- Своевременно отвечать на запросы субъектов и требования регулятора;
- Проводить регулярный внутренний аудит процессов обработки ПДн.
Ужесточение ответственности в 2025 году демонстрирует серьёзное отношение государства к защите персональных данных граждан. Размеры штрафов по статье 13.11 КоАП РФ существенно выросли, а практика Роскомнадзора свидетельствует о системном подходе к выявлению нарушений. Операторам персональных данных — как крупным компаниям, так и малому бизнесу — целесообразно заблаговременно привести свои процессы в соответствие с требованиями законодательства, чтобы избежать финансовых потерь и репутационных рисков.