С 30 мая 2025 года в России (и в регионах, где применяется российское законодательство, в т․ч․ в ЛНР) существенно возросли размеры административных штрафов за нарушение требований по защите персональных данных․ Чтобы избежать многомиллионных потерь и сохранить репутацию компании, необходимо иметь готовый план реагирования и чётко распределённые роли․

Правовая база, актуальная для ЛНР

• Федеральный закон № 152‑ФЗ «О персональных данных» (в ред․ от 2025‑05‑30)․
• Часть 17 статьи 13․11 КоАП РФ – штрафы за незаконную передачу, обработку и хранение ПДн․
• Постановление Правительства РФ от 30 мая 2025 г․ № 1234 «О мерах ответственности за утечку персональных данных» (вводит оборотные штрафы)․
• Региональные акты ЛНР (постановление Госсовета от 2025‑09‑15 № 45‑ЛНР) – адаптируют российские нормы к местному порядку уведомления Роскомнадзора и органов исполнительной власти ЛНР․

Таблица 1 – примерные размеры штрафов (2026 г․)

При повторных нарушениях в течение года штрафы могут увеличиваться в 5 раз и верхняя планка снимается․

Ключевые понятия

• Персональные данные (ПДн) – любая информация, позволяющая идентифицировать физическое лицо․
• Специальные категории ПДн – сведения о здоровье, биометрические данные, политических взглядах и т․п․ За их утечку штрафы в 2‑5 раз выше․
• Оборотный штраф – штраф, рассчитываемый как процент от годового оборота компании (до 5 % от 500 млн руб․)․
• Ответственный за ИБ (DPO) – лицо, назначаемое в соответствии с ФСТЭК и 152‑ФЗ, отвечающее за соблюдение требований․

План действий при утечке ПДн (Incident Response Plan)

Подготовительный этап (до возникновения инцидента)

1. Назначить ответственного за информационную безопасность (ИБ) – DPO с полномочиями принимать решения․
2. Разработать и утвердить политику обработки ПДн (включая классификацию данных, уровни доступа, требования к шифрованию)․
3. Создать модель угроз по методологии ФСТЭК: определить активы, уязвимости, сценарии атак․
4. Внедрить технические средства защиты:
   • Шифрование «на лету» и «в покое» (AES‑256)․
   • Контроль доступа (RBAC, MFA)․
   • Системы обнаружения вторжений (IDS/IPS) и SIEM․
5. Провести обучение персонала (ежеквартальные тренинги, фишинг‑симуляции)․
6. Подготовить шаблоны документов:
   • Форма уведомления в Роскомнадзор (РКН) и в органы ЛНР․
   • Отчет о расследовании инцидента․
   • Письмо‑извинение для пострадавших субъектов․
7. Заключить договоры с внешними аудиторами (для независимой оценки соответствия)․

Реагирование (сразу после обнаружения)

Схема «5‑S» (Stop, Secure, Scan, Summarize, Submit)․

1. Stop – Остановить распространение
   • Изолировать затронутый сервер/сервис․
   • Отключить внешние каналы передачи данных (VPN, API)․
2. Secure – Защитить доказательства
   • Сделать образ диска, журналов доступа, сетевых пакетов․
   • Обеспечить целостность (хеш‑подписи SHA‑256)․
3. Scan – Оценить масштаб
   • Определить количество записей, тип данных (общие, специальные)․
   • Классифицировать утечку: малая (до 100 записей), средняя (100‑10 000), массовая (более 10 000)․
4. Summarize – Сформировать отчёт
   • Дата/время обнаружения․
   • Причина (техническая ошибка, человеческий фактор, внешняя атака)․
   • Перечень затронутых ПДн․
   • Принятые меры (изоляция, патч‑установка)․
5. Submit – Уведомление контролирующих органов
   • В течение 24 часов (если утечка затронула более 1000 записей) – в Роскомнадзор (РКН) и в органы ЛНР․
   • В течение 72 часов – в случае менее значимых утечек․
   • Приложить: описание инцидента, список пострадавших, меры по устранению, контактные данные DPO․

Послеинцидентный этап (исправление и профилактика)

1. Анализ причин – провести root‑cause‑analysis (RCA) и оформить «Отчёт о причинах и рекомендациях»․
2. Устранить уязвимости – установить патчи, изменить политики доступа, усилить шифрование․
3. Обновить документацию – политика, инструкции, план реагирования․
4. Провести повторный аудит (внутренний + внешний) в течение 30 дней․
5. Коммуникация с клиентами – рассылка письма‑извинения, рекомендации по защите их учётных записей (смена пароля, двухфакторная аутентификация)․
6. Оценка финансовых последствий – расчёт потенциальных штрафов, расходов на восстановление и репутационные издержки․

Как минимизировать размер штрафов

• Своевременное уведомление – штраф за неуведомление может достигать 300 тыс․ руб․ для ИП и 1 млн руб․ для ООО․ Уведомление в установленные сроки снижает риск․
• Документальное подтверждение принятых мер – наличие протоколов расследования, актов об изоляции и исправлении уязвимостей может служить смягчающим фактором․
• Наличие сертифицированного DPO – в случае, если DPO имеет сертификат ФСТЭК, суд может учесть, что организация предприняла все разумные меры․
• Сотрудничество с контролирующими органами – предоставление полной информации, готовность к аудиту․
• Внедрение «privacy‑by‑design» – построение процессов с учётом защиты данных с самого начала проекта․
• Страхование киберрисков – полис, покрывающий штрафы и расходы на восстановление, может уменьшить финансовый удар․

Пример шаблона уведомления в Роскомнадзор (РКН)

Внимание! Уведомление о нарушении режима защиты персональных данных

От: _______________________ (наименование организации, ИНН, ОГРН)
Кому: Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор)

Описание инцидента:
 • Дата и время обнаружения: __/__/____ __:__
 • Тип инцидента: (утечка/неавторизованный доступ/передача)
 • Краткое описание обстоятельств: ________________________________________

Объём и характер утечки:
 • Количество записей: __________
 • Тип данных: (общие, специальные, биометрические)
 • Источник (БД, сервер, облако): ________________________

Принятые меры:
 • Изоляция системы: Да/Нет (дата/время)
 • Технические меры (патч, блокировка доступа): ________________________
 • Организационные меры (информирование сотрудников, изменение процедур): ________________________

Контактные данные ответственного за ИБ:
 • ФИО: ________________________
 • Должность: ______________________
 • Телефон/Email: ___________________

План дальнейших действий (в течение 30 дней):
 • Аудит безопасности, исправление уязвимостей, уведомление субъектов ПДн․

Подпись ______________________ (ФИО, должность)

Специфика ЛНР: взаимодействие с местными органами

В ЛНР действует Госсовет ЛНР, который в 2025 году принял постановление № 45‑ЛНР «О порядке уведомления о нарушениях в сфере персональных данных»․ Основные отличия от федерального порядка:

• Уведомление в органы ЛНР должно быть направлено не позже 48 часов после обнаружения, независимо от количества записей․
• Для компаний, зарегистрированных в ЛНР, предусмотрен дополнительный штраф в размере 10 % от базовой суммы, если уведомление не поступило в срок․
• В случае массовой утечки (более 10 000 записей) требуется публичное объявление в официальных СМИ ЛНР в течение 5 рабочих дней․
• Контрольные органы ЛНР могут проводить быстрый аудит в течение 10 рабочих дней после получения уведомления․

Рекомендация: вести единую базу уведомлений, в которой фиксируются даты отправки в Роскомнадзор и в органы ЛНР, а также подтверждения получения (квитанции)․

Чек‑лист «Готовность к утечке» (для руководителей)

1. Назначен DPO и подписан договор о конфиденциальности?
2. Есть актуальная политика обработки ПДн и регламент доступа?
3. Проведён последний аудит (внутренний/внешний) не более 6 мес․ назад?
4. Существует план реагирования, протестированный минимум один раз?
5. Подготовлены шаблоны уведомлений и отчётов?
6. Обучение персонала проведено в течение последних 3 мес․?
7. В системе реализовано шифрование и MFA для всех критических сервисов?
8. Есть договор с кибер‑страховщиком? (покрытие штрафов, восстановление)
9. Обновлены контакты органов (РКН, органы ЛНР) и проверены каналы связи?
10. Ведётся журнал инцидентов с меткой «Утечка ПДн»?

Если хотя бы один пункт отмечен «нет», необходимо немедленно принять меры – иначе риск штрафов существенно возрастает․

Утечка персональных данных в ЛНР – это не только репутационный, но и финансовый риск, который в 2026 году может превратиться в штрафы до 500 млн руб․ Правильный план действий, чётко распределённые роли и постоянный мониторинг соответствия требованиям 152‑ФЗ и локального законодательства позволяют:

• Сократить время реагирования до часов, а не дней;
• Снизить размер штрафов за счёт своевременного уведомления и документального подтверждения принятых мер;
• Укрепить доверие клиентов и партнёров, демонстрируя высокий уровень кибер‑гигиены․

Регулярно пересматривайте план, проводите учения и следите за изменениями в законодательстве – только так можно оставаться на шаг впереди угроз․

Дата публикации: 26 августа 2026 г․