Часть 2 ст. 13.11 КоАП РФ предусматривает штраф для юридических лиц от 300 000 до 700 000 рублей за обработку персональных данных без законного основания или нарушение требований к составу и порядку обработки. Штраф назначается за каждый установленный случай. Отсутствие согласия субъекта ПД, неверное описание целей, передача данных без правового основания — каждое из этих нарушений образует самостоятельный состав.     

С ноября 2024 года действует 420-ФЗ, который ввел оборотные штрафы. За утечку персональных данных по вине оператора штраф для юридических лиц составляет до 15 000 000 рублей при первом инциденте и до 3% годовой выручки при повторном. Утечка может произойти не только через взлом. Достаточно отправить базу клиентов на личную почту или сохранить данные в незащищенном облачном хранилище.

Поводом для внеплановой проверки РКН может стать обращение любого физического лица — уволенного сотрудника, недовольного клиента или конкурента. Регулятор обязан отреагировать. При этом контролеры проверяют всю работу с персональными данными, а не только то, что указано в жалобе.

Если сайт компании использует Google Analytics, Meta Pixel или другие зарубежные счетчики — данные посетителей уходят на иностранные серверы. С 1 июля 2025 года Роскомнадзор сканирует сайты автоматически. Штраф по ч. 8 ст. 13.11 КоАП РФ — от 1 до 6 000 000 рублей. Незнание о наличии таких скриптов не освобождает от ответственности по 242-ФЗ о локализации данных.

Роскомнадзор проверяет не факт наличия документа, а его соответствие реальной деятельности компании. Чужой шаблон описывает чужой бизнес. Если ваша компания передает данные в CRM или сервис рассылок, использует альтернативные способы связи, а в политике этого не отображено, то это также будет нарушением. С 1 сентября 2025 года согласие на обработку ПД должно быть отдельным самостоятельным документом.

Если нарушение в сфере обработки персональных данных фиксируется повторно, санкции по ст. 13.11 КоАП РФ возрастают многократно — до 18 000 000 рублей для юридических лиц. Первое нарушение, как правило, выявляет комплекс проблем, накапливавшихся годами. Не устранив системные причины после первого штрафа, компания оказывается в зоне риска повторных санкций.

Штраф это не самое страшное при утечке персональных данных клиентов. Если база покупателей или партнеров попадет к конкурентам — это годы работы и инвестиций, утраченные за один день. Репутационный ущерб восстанавливается месяцами. Для B2B-компаний потеря крупного клиента из-за несоответствия 152-ФЗ при проверке документов перед подписанием договора — не редкость.

С ноября 2024 года оператор персональных данных обязан уведомить Роскомнадзор об инциденте в течение 24 часов с момента обнаружения. Если регламент реагирования не описан во внутренней документации, то компания не только нарушает правила работы с данными, но также рискует не уложиться в отведенные сроки. 

Любое физическое лицо, чьи данные обрабатывались с нарушением, вправе требовать возмещения морального вреда и убытков в суде. Ненадлежащее оформление согласия, несанкционированная передача данных третьим лицам или отказ в их удалении — основания для иска. Отсутствие надлежащим образом оформленной документации по работе с ПДн усложняет правовую защиту в таком споре.

Крупные корпорации и государственные организации при заключении договоров запрашивают документацию по 152-ФЗ. Ряд банков-эквайеров требует наличие корректной политики конфиденциальности до подключения к платежной системе. Для участия в тендерах соответствие требованиям закона о персональных данных становится обязательным условием входа.