Оборотный штраф за утечку персональных данных кто и сколько платит

До реформы крупная утечка обходилась компании в сумму, которую годовой бюджет на безопасность покрывал без напряжения. Постановление на сто тысяч рублей за потерю базы из миллиона записей выглядело как насмешка над масштабом ущерба. Редакция статьи 13.11 КоАП РФ, введённая Федеральным законом от 30 ноября 2024 года и действующая в Кодексе по состоянию на 2026 год, поменяла саму логику наказания. Появился штраф, который считается не от твёрдой суммы, а от процента выручки за год, с нижним порогом в двадцать миллионов рублей и потолком в полмиллиарда. Этот текст разбирает, кто попадает под оборотный штраф, как он считается и чем повторная утечка отличается от первой.

Сначала твёрдые штрафы по объёму утечки

Чтобы понять оборотный штраф, нужно увидеть лестницу, к вершине которой он пристроен. Части 12, 13 и 14 статьи 13.11 наказывают первую утечку фиксированными суммами в зависимости от масштаба. Часть 12 охватывает неправомерную передачу данных от одной тысячи до десяти тысяч субъектов и от десяти тысяч до ста тысяч идентификаторов. Для организации это штраф от трёх до пяти миллионов рублей. Часть 13 берёт следующий диапазон, от десяти тысяч до ста тысяч субъектов и от ста тысяч до одного миллиона идентификаторов, и поднимает санкцию до пяти десяти миллионов. Часть 14 закрывает верх, более ста тысяч субъектов или более одного миллиона идентификаторов, со штрафом для юридического лица от десяти до пятнадцати миллионов рублей.

Эти суммы крупные, но они конечны и предсказуемы. Они применяются к первому случаю. Оборотный механизм включается, когда утечка повторяется.

Где появляется процент от выручки

Часть 15 статьи 13.11 наказывает совершение правонарушения по частям 12, 13 или 14 лицом, которое уже было подвергнуто наказанию за правонарушения по частям 12 14, 16 18 этой же статьи и по самой части 15. Это и есть рецидив утечки. Для гражданина здесь штраф от четырёхсот до шестисот тысяч рублей, для должностного лица от восьмисот тысяч до одного миллиона двухсот тысяч. А для юридического лица санкция формулируется иначе. Это от одного до трёх процентов совокупного размера суммы выручки от реализации всех товаров, работ и услуг за календарный год, предшествующий году выявления нарушения, либо за часть года, если в предшествующем году деятельность не велась. Для кредитной организации база считается от размера собственных средств. При этом штраф не может быть меньше двадцати миллионов и больше пятисот миллионов рублей.

Отдельная ветка касается чувствительных данных. Часть 16 наказывает утечку специальной категории персональных данных, для организации это от десяти до пятнадцати миллионов рублей. Часть 17 карает утечку биометрии, для юридического лица от пятнадцати до двадцати миллионов. А часть 18 вводит оборотный штраф уже для повтора по частям 16 или 17. Здесь для юридического лица тоже от одного до трёх процентов годовой выручки, но нижний порог поднят до двадцати пяти миллионов рублей, при том же потолке в пятьсот миллионов.

Как считается база

Ключевое слово в формуле это совокупный размер суммы выручки от реализации всех товаров, работ и услуг. Считается не прибыль и не выручка по одному направлению, а весь оборот за календарный год, предшествующий году выявления нарушения. Если компания в предшествующем году не вела деятельность по реализации, берётся часть текущего года до даты выявления. Для кредитных организаций предусмотрена своя база, собственные средства капитала на дату совершения правонарушения. Эта конструкция означает, что для крупного бизнеса один процент оборота легко перекрывает нижний порог в двадцать миллионов, и реальная цифра штрафа уходит вверх по шкале от одного к трём процентам.

Конкретный пример

Торговая сеть с годовой выручкой десять миллиардов рублей допустила первую утечку базы на сто пятьдесят тысяч клиентов. Это часть 14, штраф в диапазоне от десяти до пятнадцати миллионов рублей. Допустим, орган назначил двенадцать миллионов. Через год у той же сети происходит вторая утечка сопоставимого масштаба. Теперь это часть 15, потому что компания уже подвергнута наказанию по части 14. База для расчёта десять миллиардов. Один процент это сто миллионов рублей, три процента это триста миллионов. Даже по нижней границе процента штраф многократно превышает первый случай и упирается уже не в порог двадцать миллионов, а в реальный процент оборота. Так реформа делает вторую утечку для крупного игрока несопоставимо дороже первой.

На что смотрит орган при назначении

Примечание 5 к статье 13.11 прямо предписывает учитывать при назначении наказания по частям 15 и 18 отягчающее обстоятельство из пункта 1 части 1 статьи 4.3 Кодекса, а также то, считалось ли лицо подвергнутым наказанию за правонарушения по частям 1 11 этой статьи и по статьям 13.6 и 13.12. Накопленная история санкций, даже по мелким составам вроде отсутствия политики обработки, влияет на тяжесть наказания за крупную утечку. По примечаниям 2 и 3 в частях 10 18 под юридическим лицом понимается оператор, не являющийся государственным органом или некоммерческой организацией, а под должностным лицом понимается лицо госоргана либо НКО. Это разграничение определяет, по какой строке санкции пойдёт конкретный нарушитель.

Частые ошибки

Первая ошибка это уверенность, что оборотный штраф грозит за любую утечку. Он применяется только к повтору, к рецидиву по частям 12 14, 16 или 17. Первая утечка наказывается твёрдыми суммами. Вторая ошибка это расчёт от прибыли. База это выручка от реализации всех товаров, работ и услуг, а не финансовый результат. Третья ошибка это недооценка нижнего порога. Даже у компании со скромным оборотом штраф по части 15 не может быть меньше двадцати миллионов, а по части 18 меньше двадцати пяти миллионов рублей, и процент тут не спасает.

Частые вопросы

Вопрос. Может ли оборотный штраф превысить пятьсот миллионов рублей. Ответ. Нет. И часть 15, и часть 18 устанавливают верхний предел в пятьсот миллионов рублей, даже если три процента выручки дают большую цифру.

Вопрос. Считается ли база от мировой выручки группы или только от российского юрлица. Ответ. Норма говорит о выручке лица, привлекаемого к ответственности, от реализации всех товаров, работ и услуг за календарный год. Привлекается конкретный оператор, и его выручка и есть база расчёта.

Вопрос. Как снизить риск перехода в оборотный режим. Ответ. Главное это не допустить второй утечки и закрыть историю мелких нарушений, которые по примечанию 5 отягчают наказание. Аудит процессов обработки и реакции на инциденты можно заказать через юридическую помощь по персональным данным, а связаться с командой удобно через контакты.