С 30 мая 2025 года вступили в силу поправки к Федеральному закону «О персональных данных» (ФЗ‑152), которые существенно ужесточили ответственность за нарушения в сфере обработки персональных данных. Ниже представлен обзор изменённых штрафных санкций, их применения в соответствии со статьёй 13.11 КоАП РФ и особенностей практики наложения штрафов в Луганской Народной Республике (ЛНР).

Что изменилось с 30 мая 2025 года?

• Введён новый состав нарушения – неуведомление Роскомнадзора о факте неправомерной передачи (предоставления, распространения, доступа) персональных данных (ч. 3.1 ст. 21 ФЗ‑152).
• Увеличены размеры административных штрафов по статье 13.11 КоАП РФ – в среднем в 10‑20 раз по сравнению с предыдущими нормами.
• Появились оборотные штрафы за повторные утечки персональных данных (от 1 % до 3 % годового оборота организации).
• Уголовная ответственность за особенно тяжкие нарушения (ст. 272‑1 УК РФ) введена с 11 декабря 2024 года.

Штрафы по статье 13.11 КоАП РФ (с 30 мая 2025 года)

Ниже приведены основные виды нарушений и соответствующие диапазоны штрафов. Все суммы указаны в рублях.

• Нарушение обязанности по уведомлению Роскомнадзора о факте неправомерной передачи ПДн (ч. 3.1 ст. 21 ФЗ‑152):
  • Граждане: от 200 000 до 400 000;
  • Должностные лица: от 300 000 до 500 000;
  • Юридические лица: от 500 000 до 700 000.
• Отсутствие уведомления о начале обработки персональных данных (ст. 22 ФЗ‑152):
  • Юридические лица: от 100 000 до 300 000;
  • Должностные лица: от 50 000 до 150 000;
  • Граждане: от 20 000 до 50 000.
• Утечка персональных данных, содержащих сведения от 1 000 до 10 000 человек (по вине оператора):
  • Юридические лица: от 300 000 до 1 000 000 (в зависимости от тяжести последствий и наличия повторных нарушений);
  • Должностные лица: от 150 000 до 500 000;
  • Граждане: от 50 000 до 200 000.
• Повторная утечка данных в течение 12 месяцев:
  • Оборотный штраф: от 1 % до 3 % годового оборота организации (минимальная сумма – 500 000 руб).

Практика наложения штрафов в ЛНР (2024‑2025 гг.)

С учётом специфики региона, где многие организации продолжают адаптироваться к новым требованиям законодательства, судебные органы ЛНР уже вынесли несколько прецедентных решений:

1. Кейс № 1 – Медицинская клиника (г. Луганск)
   • Нарушение: отсутствие уведомления о начале обработки данных пациентов при внедрении новой электронной картотеки.
   • Штраф: юридическое лицо – 250 000 руб; должностное лицо (главный врач) – 80 000 руб.
   • Дополнительно: обязательное проведение внутреннего аудита и обучение персонала в течение 3 мес.
2. Кейс № 2 – Интернет‑магазин товаров для дома (г. Алчевск)
   • Нарушение: передача персональных данных покупателей сторонней маркетинговой агентстве без получения согласия.
   • Штраф: юридическое лицо – 420 000 руб; должностное лицо (директор по маркетингу) – 210 000 руб.
   • Дополнительно: предписание прекратить передачу данных и удалить уже переданные сведения из баз агентства.
3. Кейс № 3 – Региональный оператор связи (г. Свердловск)
   • Нарушение: утечка данных о 3 500 абонентах из‑за недостаточной защиты серверов.
   • Штраф: юридическое лицо – 750 000 руб (с учётом оборотного коэффициента 1,5 % от годового оборота); должностное лицо (главный инженер) – 300 000 руб.
   • Дополнительно: обязательное внедрение системы DLP и проведение внешнего пентеста.

Из приведённых примеров видно, что суды ЛНР ориентируются на:

• степень вины (умысел vs неосторожность);
• количество пострадавших субъектов данных;
• наличие повторных нарушений;
• меры, уже принятые нарушителем для минимизации ущерба (например, оперативное уведомление пострадавших).

Рекомендации для бизнеса, работающего в ЛНР

• Своевременно подавать уведомления в Роскомнадзор о начале обработки персональных данных (формат – электронный документ через портал госуслуг).
• Получать явное согласие субъектов данных на каждую конкретную цель обработки (маркетинг, аналитика, передача третьим лицам).
• Внедрять технические и организационные меры защиты (шифрование, контроль доступа, регулярные аудиты, DLP‑системы).
• Вести журнал учёта инцидентов и иметь план реагирования на утечки (уведомление пострадавших в течение 72 часов, уведомление Роскомнадзора).
• Проводить периодическое обучение сотрудников по основам ФЗ‑152 и внутренним политикам конфиденциальности.
• При планировании обработки больших объёмов данных (более 1 000 записей) заранее оценивать необходимость проведения оценки влияния на защита персональных данных (ОИПД).

Изменения в ФЗ‑152, вступившие в силу с 30 мая 2025 года, существенно повысили финансовые риски для организаций, допускающих нарушения в сфере обработки персональных данных. В ЛНР практика применения штрафов уже демонстрирует готовность судов к строгому наказанию, особенно при наличии утечки данных, отсутствия уведомлений и повторных правонарушений.

Соблюдение требований закона не только защищает от крупных штрафов, но и повышает доверие клиентов и партнёров, что в условиях конкурентной среды становится важным конкурентным преимуществом. Рекомендуеться уже сейчас провести внутренний аудит соответствия ФЗ‑152 и при необходимости скорректировать внутренние регламенты и технические средства защиты.