Дисклеймер: Статья носит информационный характер и не является юридической консультацией. Актуальность: ноябрь 2026 года. Учтены изменения ФЗ № 420-ФЗ от 30.11.2024 (действуют с 30.05.2025).
Интернет-магазин с выручкой 80 млн ₽ в год теряет базу клиентов: подрядчик выгрузил её в открытый бакет и забыл закрыть. Роскомнадзор находит утечку, оператор получает первое постановление и платит. Через восемь месяцев похожая история с другим подрядчиком. Теперь штраф считается иначе: оборотный штраф за утечку персональных данных — не фиксированная сумма из таблицы, а процент от выручки с жёстким нижним порогом в 20 млн ₽. Для магазина с оборотом 80 млн это сумма, сопоставимая с четвертью годовой выручки.
Ниже — как устроен этот механизм, что считается «повторной» утечкой, как определяется база расчёта и что реально снижает наказание.
Откуда взялся оборотный штраф
До 30 мая 2025 года наказание за утечку упиралось в потолок, который крупные компании могли заложить в бюджет как обычную статью расходов. Закон № 420-ФЗ от 30.11.2024 поменял логику: за утечки введены многоуровневые штрафы, а за повторную утечку — оборотные, привязанные к выручке нарушителя. Все изменения вошли в ст. 13.11 КоАП РФ.
Схема в два шага. Первая утечка: штраф фиксированный, для юридических лиц — до 20 млн ₽, размер зависит от того, сколько человек затронуто и какие данные утекли. Спецкатегории (здоровье, ст. 10) и биометрия (ст. 11) наказываются тяжелее обычных данных. Повторная утечка: от 1 до 3% выручки, но не менее 20 млн и не более 500 млн ₽.
Обо всей лестнице санкций мы писали в полном гайде по штрафам 152-ФЗ. Здесь — только про оборотную часть.
Как считается 1–3% выручки
Формула простая, а вот детали часто упускают.
Минимум — 20 млн ₽, максимум — 500 млн ₽. Внутри этого коридора штраф равен 1–3% выручки. Из этого следуют три практических вывода.
Первый. Если ваша годовая выручка меньше примерно 2 млрд ₽, процент вообще не имеет значения: даже 1% от неё меньше 20 млн, и применяется нижняя граница. Компания с оборотом 50 млн и компания с оборотом 1,5 млрд при повторной утечке получат одну и ту же минимальную сумму. Для малого бизнеса оборотный штраф — это по сути фиксированные 20 млн, только выше, чем при первичной утечке.
Второй. Процент «включается» с выручки от 2 млрд ₽ при ставке 1% и от 667 млн ₽ при ставке 3%. Например, при выручке 5 млрд ₽ диапазон составит 50–150 млн ₽. Выручка 10 млрд даёт 100–300 млн.
Третий. Потолок в 500 млн достигается при выручке около 16,7 млрд ₽ (ставка 3%) или 50 млрд ₽ (ставка 1%). Выше этих значений крупный оператор платит максимум.
Какая именно выручка берётся за базу — вопрос к тексту статьи и к практике: речь идёт о выручке за год, предшествующий выявлению нарушения. Точное определение базы (все виды деятельности или только связанная с обработкой данных, как учитывать неполный год у новых компаний) сверяйте с актуальной редакцией ст. 13.11 и позицией суда по вашему региону. Практики пока немного, и обещать здесь однозначный ответ было бы нечестно.
Что такое «повторная» утечка
Это ключевой вопрос, потому что граница между 20 млн «разово» и оборотным штрафом проходит именно здесь.
По общим правилам КоАП (ст. 4.6) лицо считается подвергнутым наказанию в течение года со дня окончания исполнения постановления. Повторным признаётся однородное правонарушение, совершённое в этот период. То есть первое постановление по утечке «висит» на вас примерно год после уплаты штрафа.
Что из этого следует на практике:
- Вторая утечка через полгода после уплаты первого штрафа — повторная, считается от выручки.
- Вторая утечка через полтора года — уже, как правило, новая «первая».
- Неоплаченный штраф период не закрывает: отсчёт начинается с исполнения, а не с даты постановления.
Ловушка в слове «однородное». Если сначала вас наказали за отсутствие политики конфиденциальности на сайте, а потом случилась утечка, это не обязательно повторность. Но сама утечка, расследование которой выявит ещё и дыры в процессах, превращается в набор нарушений, и каждое из них считается отдельно.
Ещё одна деталь, которую руководители недооценивают. Утечку нередко находят не вы, а Роскомнадзор, журналисты или исследователи на форумах. Срок на уведомление при этом уже идёт: 24 часа на первичное уведомление РКН и 72 часа на результаты внутреннего расследования с момента, когда вы узнали или должны были узнать об инциденте. Если опоздали, это отдельное нарушение. Как уложиться — в материале про реагирование на утечку.
Один инцидент — несколько штрафов
Распространённое заблуждение: «одна утечка — один штраф». На деле из одного события выстраивается цепочка.
Допустим, интернет-магазин не уведомил РКН вовремя, а в ходе проверки выяснилось, что база хранилась на серверах за рубежом, а согласия на обработку собраны с предзаполненным чекбоксом. Получается:
- Штраф за саму утечку.
- Штраф за нарушение срока уведомления.
- Штраф за нарушение локализации по ст. 18 ч. 5.
- Штраф за обработку без надлежащего согласия: по ч. 1 ст. 13.11 для юридических лиц от 150 000 до 300 000 ₽.
Первая строка перекрывает остальные по весу, но суммы по отдельным составам, как правило, складываются. И отдельная история — уголовная ответственность. Если данные выгружал и продавал сотрудник, ему грозит ст. 272.1 УК РФ, а для компании это дополнительные вопросы по ст. 18.1 о мерах защиты.
Что смягчает ответственность
Оборотный штраф не автоматический. Суд и орган, рассматривающий дело, учитывают обстоятельства. Что можно использовать — но только если оно было сделано заранее и подтверждено документами.
Смягчающие обстоятельства (ст. 4.2 КоАП): добровольное сообщение о нарушении, помощь в установлении обстоятельств, самостоятельное устранение последствий, возмещение ущерба пострадавшим. Для утечки это означает: вы сами уведомили РКН в срок, сразу закрыли уязвимость, сообщили затронутым людям, предложили им меры защиты.
Доказательства «разумных мер». Если у вас есть приказ об ответственном, реестр обработки, журнал доступа, акты оценки вреда, договоры с подрядчиками, то при утечке вы показываете систему, которая дала сбой, а не её отсутствие. Для проверяющего это разные истории, и это единственное, что на практике отличает «наказали по минимуму» от «наказали по полной». Перечень документов — в материале про внутренние документы по 152-ФЗ.
Возможность снизить штраф ниже минимального порога для отдельных категорий бизнеса и условия освобождения при выполнении определённых требований закон предусматривает, но формулировки примечаний к ст. 13.11 и ст. 4.1 КоАП менялись и трактуются неоднородно. Прежде чем строить на них защитную позицию, проверьте актуальный текст и привлеките юриста, который ведёт дела по КоАП.
Срок давности по нарушениям в сфере персональных данных — один год (ст. 4.5 КоАП): отсчёт идёт со дня совершения, а для длящегося нарушения — со дня обнаружения. Но к моменту, когда дело дойдёт до постановления, часть смягчающих обстоятельств уже не получится доказать, если вы не фиксировали действия сразу.
Как оценить свой риск до проверки
Простой расчёт на салфетке занимает пять минут. Возьмите выручку за прошлый год и посчитайте 1% и 3%. Если оба числа меньше 20 млн, ваш реальный ориентир — 20 млн за повторную утечку, независимо от размера бизнеса. Если выше — считайте по проценту.
Затем сравните эту сумму с вашей прибылью. Для большинства малых компаний ответ очевиден: повторный инцидент означает остановку бизнеса. А значит, экономить на защите от первого инцидента — самая рискованная экономия.
Три вопроса, которые помогают оценить, насколько вероятна утечка именно у вас:
- Кто из сотрудников и подрядчиков может выгрузить всю клиентскую базу одним кликом?
- Где физически лежат резервные копии и кто имеет к ним доступ?
- Есть ли у вас инструкция на случай утечки с распределёнными ролями на 24 часа, а не «разберёмся по ходу»?
Если хотя бы на один вопрос нет внятного ответа, это ваше слабое место. Подробнее о том, как выглядят реальные дела, смотрите в разборе штрафов РКН за 2025–2026 годы.
Что делать прямо сейчас
Выделите один час и посчитайте два числа: годовую выручку за прошлый календарный год и 1–3% от неё. Сравните с 20 млн. Затем откройте список людей и сервисов с доступом к клиентской базе и убедите себя, что у каждого есть причина этот доступ иметь. Те, у кого причины нет, лишаются доступа в тот же день. Это занимает меньше времени, чем один звонок юристу, и снижает вероятность первой утечки, после которой начинается отсчёт повторности.
Знаете ли вы, какие документы и меры защиты у вас на сегодня подтверждаются бумагами, а какие существуют только на словах? Запустите бесплатный аудит на соответствие 152-ФЗ → Аудит покажет, каких документов и технических мер не хватает вашему сайту, и подскажет, с чего начать, чтобы при проверке у вас было что предъявить.
Нормативные акты: Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» (ст. 6, 9, 10, 11, 18, 18.1, 21); Федеральный закон от 30.11.2024 № 420-ФЗ; ст. 4.2, 4.5, 4.6, 13.11 КоАП РФ; ст. 272.1 УК РФ.