Главные выводы судов в сфере защиты персональных данных для бизнеса: контроль и ответственность

Новые виды ответственности: новые штрафы и уголовная ответственность 

Главным нововведением, безусловно, стало вступление в силу сразу двух федеральных законов об усилении ответственности за утечки персональных данных и иные нарушения в сфере обработки персональных данных: от 30.11.2024 № 420-ФЗ (далее — правки в КоАП) и от 30.11.2024 № 421-ФЗ (далее — правки в УК РФ). 

Правки в КоАП 

C 30.05.2025 предусматривается сразу несколько нововведений:

• штрафы по ч. 1, 2 ст. 13.11 КоАП увеличились:

— за обработку персональных данных в случаях, не предусмотренных законодательством в области персональных данных,

— либо обработка персональных данных, несовместимая с целями сбора персональных данных;

• появляются новые виды ответственности за нарушение законодательства о персональных данных (неуведомление о начале обработки, неуведомление об «утечке»).

Правки в КоАП вводят два отдельных состава для случаев неуведомления об обработке персональных данных (штраф до 300 тыс. руб.), а также неуведомления об утечке персональных данных (штраф до 3 млн руб.);

• значительная часть правок в КоАП посвящена штрафам за утечки.

Прежде всего, для целей оценки масштабов утечки вводится новое понятие «идентификатора», под которым понимается «уникальное обозначение сведений о человеке в информационной системе оператора и относящееся к такому человеку». При определении размеров утечки теперь может учитываться как количество субъектов, так и количество «идентификаторов»;

• устанавливается «прогрессирующая» шкала штрафов, которая будет применяться в зависимости от количества утекших данных субъектов и типа данных, а помимо «прогрессирующей» шкалы штрафов (в зависимости от типа и количества утекших данных), появляются также «оборотные» штрафы за повторные утечки персональных данных (см. таблица № 1). 

Таблица № 1. «Обычные» персональные данные, не относящиеся к «специальным категориям» 

* утечки до 1000 субъектов могут также повлечь применение штрафов по «общей» ч.1 ст. 13.11 КоАП;

**     по общему правилу совершение нарушения в период со дня вступления в законную силу предыдущего постановления о назначении административного наказания до истечения одного года со дня окончания исполнения данного постановления;

*** в случае кредитной организации: 1–3% размера собственных средств. 

• в части утечек специальных категорий и биометрических персональных данных любая утечка может привести к существенным штрафам, причем этот штраф может применяться даже к первичным утечкам (см. таблицу № 2). 

Таблица № 2. Специальные категории персональных данных и биометрические персональные данные 

• внесены поправки в механизмы «отягчающих обстоятельств» и «смягчающих обстоятельств», которые должны учитываться при расчете размера штрафов в контексте «утечек»:

— «отягчающие обстоятельства» (примечание 5 к ст. 13.11 КоАП):

(i) продолжающееся противоправное поведение (п. 1 ч. 1 ст. 4.3 КоАП),

(ii) лицо, совершившее административное правонарушение, на момент его совершения (на момент вынесения постановления по делу об административном правонарушении) считалось (считается) подвергнутым административному наказанию за совершение административных правонарушений, предусмотренных ч. 1–11 ст. 13.11 КоАП и (или) ст. 13.6, 13.12 КоАП;

— «смягчающие обстоятельства» для ч. 15 и 18 ст. 13.11 КоАП. Штраф назначается в размере одной десятой минимального размера штрафа, предусмотренного за совершение соответствующего административного правонарушения, но не менее 15 млн руб. и не более 50 млн руб. в случае выполнения лицом, в отношении которого ведется производство по делу об административном правонарушении, до момента вынесения постановления о наложении административного штрафа одновременно следующих условий (ч. 3.4–2 ст. 4.1 КоАП РФ):

(i) ежегодные расходы оператора в течение трех календарных лет, предшествующих году, в котором было выявлено административное правонарушение, на обеспечение информационной безопасности составляли не менее 0,1% годового совокупного размера суммы выручки, полученной от реализации всех товаров (работ, услуг), либо размера собственных средств (капитала) кредитной организации;

(ii) оператор соблюдал требования к защите персональных данных при их обработке при условии документального подтверждения указанного факта, проведенного в течение 12 мес., предшествующих моменту выявления административного правонарушения;

(iii) обстоятельства, отягчающие административную ответственность, предусмотренные примечанием 5 к ст. 13.11 КоАП, отсутствовали. 

Правки в УК РФ 

В УК РФ появились новые составы преступлений в сфере персональных данных (незаконное использование, передача, сбор или хранение компьютерной информации, полученной путем неправомерного доступа к ней).

Предусмотрен как общий состав (ч. 1 ст. 272.1 УК РФ), так и дополнительные (ч. 2–6 ст. 272.1 УК РФ) для специальных случаев (например, когда затрагиваются персональные данные несовершеннолетних лиц, специальные категории персональных данных или биометрические данные. Возможная ответственность включает различные наказания: от штрафов до лишения свободы.

Ключевым условием наступления ответственности, предусмотренной ст. 272.1 УК РФ, является одновременное наличие двух составляющих в действиях виновного лица^]:

— незаконный способ завладения персональными данными в электронном виде;

— незаконные действия, связанные с их распространением. 

Из арбитражных судов — в мировые 

С 1 января 2026 г. из абз. 4 ч. 3 ст. 23.1 КоАП исключена ст. 13.11 КоАП (Федеральный закон от 28.12.2025 № 508-ФЗ).

Дела об административных правонарушениях в области персональных данных перестали рассматриваться арбитражными судами. Теперь их рассматривают только мировые суды. 

****

2026 г. может стать насыщенным для сферы персональных данных, а также для правоприменительной практики по утечкам.

Учитывая, что большинство из перечисленных нововведений заработали в прошлом году, именно 2026 г. может стать показательным с точки зрения правоприменительной практики, в первую очередь в отношении утечек персональных данных, где часть вопросов к настоящему моменту остается открытой. Прежде всего, пока не совсем очевидно, как в контексте «прогрессивной шкалы» Роскомнадзор будет измерять масштаб утечки: субъекты и идентификаторы — вместе или раздельно? Утечки из нескольких баз — как будет производиться подсчет? Имеют место несколько этапов утечки — каким будет подход регулятора?

¹ Установлена уголовная ответственность за незаконное использование компьютерной информации, содержащей персональные данные. 15 Января 2025 // URL: https://epp.genproc.gov.ru/ru/proc_50/activity/legal-education/explain/e5641143/

Утечки: пока все по-старому 

В 2025 г. в России вступили в силу «оборотные» штрафы за утечки персональных данных, и рынок с напряжением ожидал первых дел. «Штрафов на миллионы» пока не встречалось: крупные инциденты, которые рассматривались в 2025 году, произошли до вступления изменений в силу, поэтому рассматривались по «общей» ч.1 ст. 13.11 КоАП РФ – то есть как неправомерная обработка персональных данных. Поэтому штрафы за утечки в 2025 году не превысили 150 тыс. руб.

Кроме того, с 01.01.2026 изменились правила подсудности, но в 2026 г. большинство арбитражных судов продолжили рассматривать те дела, которые успели принять к производству в 2025 г. При этом встречались случаи, когда даже принятые к рассмотрению дела возвращали в мировые суды.

При этом в практике сохранился общий тренд: оператор отвечает за утечку, даже если она произошла из-за хакерской атаки — неправомерного доступа к ИСПДн оператора, повлекшего за собой распространение неограниченному кругу лиц персональных данных (решение Арбитражного суда г. Москвы от 10.02.2026 по делу № А40-347593/25-84-2795), или неправомерного доступа к персональным данным своих сотрудников, который произошел через доступ злоумышленника к инфраструктуре подрядной организации (постановление ВС РФ от 21.01.2026 № 5-АД25-119-К2).

Были и исключения – например, обществу в аналогичном споре удалось в апелляции добиться отмены штрафа за утечку, произошедшей в результате неправомерного доступа и копирования компьютерной информации, содержащей персональные данные сотрудников общества(постановление Девятого арбитражного апелляционного суда от 16.02.2026 № 09АП-62551/2025 по делу № А40-263206/25) — но есть немалая вероятность, что это дело станет «исключением, подтверждающим правило», чем меняющим практику прецедентом.

Также практика подтвердила, что к инцидентам, не дотягивающим до порога утечек по новым составам (то есть инциденты, затронувшие менее 1000 субъектов ПДн или 10 000 их идентификаторов), по-прежнему применяется «общая» ч. 1 ст. 13.11 КоАП РФ (решение Арбитражного суда г. Москвы от 10.02.2026 по делу № А40-360975/25-84-2920).

****

Ответственность за сохранность данных лежит исключительно на операторе. Эффективная защита ПДн — это не только технические средства для отражения атак во «внутреннем» контуре, но и правильно выстроенные отношения с подрядчиками: строгие требования к информационной безопасности на стороне партнеров и договорные инструменты компенсации убытков оператора при утечках у подрядчика. 

Уведомления: пора выйти из тени 

Начала формироваться практика и по другому новому составу — ответственности за неуведомление Роскомнадзора о намерении обрабатывать персональные данные.

Соответствующее нарушение могут выявить Роскомнадзор или прокуратура. Причем для выявления не требуется взаимодействия с оператором: проверяющим органам достаточно найти хотя бы один случай обработки персональных данных на сайте компании (форма сбора контактов, использование метрических систем) и сверить, подавал ли оператор уведомление, отражающее эти процессы (решение Арбитражного суда Белгородской области от 09.02.2026 по делу № А08-11960/2025, решение Арбитражного суда г. Москвы от 04.02.2026 по делу № А40-342666/25-93-2864).

Как многие ожидали, некоторые суды начали применять эту норму шире, чем предполагалось. Хотя статья КоАП прямо предусматривает ответственность только за неподачу «общего» уведомления об обработке ПДн, известны случаи, когда операторов (должностных лиц) привлекали к ответственности по ней за отсутствие уведомления о трансграничной передаче данных (решение Арбитражного суда Республики Башкортостан от 08.09.2025 по делу № А07-27941/2025). 

***

Стратегия «переждать в тени» давно стала контрпродуктивной. Сама по себе подача уведомления не создает никаких рисков, а вот его отсутствие вполне может привлечь внимание проверяющих органов. 

Политика обработки ПДн: не только наличие, но и содержание 

Требование опубликовать политику обработки персональных данных на сайте уже давно не новость. Но регулятор и суды стали все больше уделять внимание не только самому факту ее наличия, но и соответствию реальным бизнес-процессам.

Регулятор может счесть нарушением ситуацию, когда политика на сайте есть, но она не описывает всех операций с данными. Например, если в документе не упоминается сбор и анализ сведений с помощью метрики, хотя на сайте этот инструмент активно используется (решение Арбитражного суда города Санкт-Петербурга и Ленинградской области от 14.11.2025 по делу № А56-72349/2025).

***

Шаблонная политика с общими фразами не работает. Этот документ должен быть живым и максимально прозрачно отражать все процессы, связанные с персональными данными. Регулярно проводите аудит сайта и внутренних процедур, чтобы своевременно обновлять содержание политики. 

Штрафы и предупреждения: наметилось смягчение 

На фоне общего ужесточения законодательства появился и позитивный тренд. В 2025 г. суды стали заметно чаще заменять административные штрафы на предупреждения по ст. 4.1.1 КоАП РФ, если правонарушение совершено впервые и отсутствует общественный вред. Кроме того, субъекты малого и среднего предпринимательства могут рассчитывать на «льготные» штрафы в уменьшенном размере по 4.1.2 КоАП РФ. 

***

Судебная система демонстрирует готовность к более гибкому подходу в отношении незначительных нарушений. Это не означает, что требования можно игнорировать, но позволяет рассчитывать на снижение негативных последствий при общем добросовестном подходе и оперативном устранении точечных нарушений. 

Моральный вред: компенсации перестают быть символическими 

Долгое время компенсация морального вреда за нарушение прав субъектов ПДн оставалась незначительной, но ситуация начала меняться. Суды не только чаще признают факт причинения морального вреда, но и присуждают более ощутимые суммы — вместо «символических» 2–3 тыс. руб. истцы стали получать по 30–50 тыс. руб. (определение Седьмого кассационного суда общей юрисдикции от 10.07.2025 № 88-9610/2025, решение Кузьминского районного суда города Москвы от 02.07.2025 по делу № 2-934/2025, решение Приморского районного суда города Санкт-Петербурга от 30.09.2025 по делу № 2-10088/2025).

Случаи, когда субъекты получают компенсацию за моральный вред, разнообразны:

• Очевидные и ожидаемые сценарии — получение рекламных рассылок без согласия или незаконное распространение/передача персональных данных.

• Непредоставление субъекту информации об обработке его персональных данных (определение Восьмого кассационного суда общей юрисдикции от 24.07.2025 № 88-11035/2025, решение Бабушкинского районного суда города Москвы от 01.04.2025 № 02-1817/2025 (02-9413/2024).

• Оформление мошенниками договора на имя субъекта (решение Галичского районного суда Костромской области от 14.01.2026 по делу № 2-13/2026, решение Ленинского районного суда города Костромы от 28.11.2025 по делу № 2-2178/2025, решение Угличского районного суда Ярославской области от 05.11.2025 по делу № 2-853/2025). Примечательно, что, несмотря на очевидную противоправность действий мошенников, ответственность за неправомерную обработку несут операторы связи и банки, допустившие заключение такого договора.

****

Рост присуждаемых компенсаций морального вреда субъектам персональных данных — еще один сигнал, свидетельствующий о переходе от «бумажной» безопасности к реальной защите интересов субъектов.

За первые два месяца 2026 г. российскими судами было рассмотрено несколько десятков дел об административных правонарушениях в области персональных данных (ст. 13.11 КоАП РФ). Судами рассматривались дела, связанные с утечками, нарушениями требований к локализации персональных данных, непредоставлением в Роскомнадзор уведомлений об обработке персональных данных и т.д.

Необходимо отметить, что с 1 января в силу вступило важное процессуальное изменение: арбитражные суды больше не будут рассматривать новые дела, предусмотренные ст. 13.11 КоАП (Федеральный закон от 28.12.2025 № 5 08-ФЗ «О внесении изменений в Кодекс Российской Федерации об административных правонарушениях»). Таким образом, практика арбитражных судов в области персональных данных просуществовала меньше года. Тем не менее уже вынесенные решения позволяют сделать полезные выводы.

1. Следует обратить внимание на позицию, поддержанную ВС РФ (постановление ВС РФ от 21.01.2026 № 5-АД25-119-К2). Министерство было привлечено нижестоящими судами к административной ответственности за допущенную утечку персональных данных 1400 субъектов персональных данных в открытый доступ, неправомерно предоставив открытый доступ неограниченному кругу лиц к базе данных, содержащих персональные сведения, опубликованных в интернете.

Министерство утверждало, что является невиновной стороной, и указывало, что неправомерный доступ злоумышленников к персональным данным произошел по вине подрядной организации, не обеспечившей необходимого уровня защиты своей инфраструктуры.

ВС РФ посчитал указанные доводы министерства несостоятельными и оставил в силе назначенный штраф в размере 100 тыс. руб. по ч. 1 ст. 13.11 КоАП РФ. Также были отклонены доводы о малозначительности правонарушения и о замене штрафа на предупреждение.

ВС РФ указал: довод защиты о том, что доступ к персональным данным был осуществлен через инфраструктуру подрядчика, не снимает ответственности с министерства, которое не обеспечило надлежащую защиту своих информационных систем и не проконтролировало защищенность ИТ-инфраструктуры подрядчика.

Таким образом, ВС РФ подтвердил жесткий подход в части ответственности операторов персональных данных: оператор отвечает даже за те утечки, которые были допущены в результате кибератаки на инфраструктуру подрядчика.

Фактически это означает, что операторам необходимо не только обеспечивать собственную информационную безопасность, но и детально оценивать уровень защищенности инфраструктуры своих контрагентов, участвующих в обработке данных.

2. В феврале 2026 г. на иностранные компании налагались штрафы за несоблюдение требований в области локализации персональных данных.

Американская компания была привлечена к ответственности за сбор персональных данных российских граждан через свой информационный ресурс. Анализ содержания политики конфиденциальности и сведений, полученных из общедоступного сервиса по проверке домена, показал использование оператором базы данных, находящейся на территории США. На организацию был наложен штраф в размере 1 млн руб. по ч. 8 ст. 13.11 КоАП РФ (решение Арбитражного суда г. Москвы от 05.02.2026 по делу № А40-353424/25-21-2687).

В другом деле иностранная организация была привлечена к ответственности по ч. 9 ст. 13.11 КоАП РФ за повторное неисполнение обязанностей по локализации баз персональных данных. Португальская компания (владелец сервиса видеосвязи) допустила повторный сбор персональных данных российских граждан сразу в зарубежную базу данных, за что ей был назначен штраф в размере 6 млн руб. (решение Арбитражного суда г. Москвы от 05.02.2026 по делу № А40-348409/25-21-2639). Первый штраф за нелокализацию компания получила в 2024 г.

Указанные решения отражают устоявшийся тренд на усиление государственного контроля за обработкой персональных данных российских граждан, особенно в контексте ужесточения с 01.07.2025 редакции нормы ч. 5 ст. 18 Закона о персональных данных. Если ранее норма содержала предписания для оператора, то теперь она сформулирована как запрет.

3. Роскомнадзор отслеживает, какие компании не подали уведомление об обработке персональных данных, предусмотренное ч. 1 ст. 22 Закона о персональных данных.

В одном деле Роскомнадзором было выявлено, что общество по состоянию на 01.12.2025 не направило в Роскомнадзор уведомление о намерении осуществлять обработку персональных данных. Представитель общества признал факт нарушения, однако указал на отсутствие вреда и посчитал, что существуют основания для снижения штрафа и/или замены штрафа на предупреждение (решение Арбитражного суда г. Москвы от 04.02.2026 по делу № А40-342666/25-93-2864).

Судом на общество был наложен штраф по ч. 10. ст. 13.11 КоАП РФ в размере 50 тыс. руб. — это половина минимального размера административного штрафа, предусмотренного санкцией указанной нормы. Сниженный размер штрафа был обоснован судом тем, что общество состоит в реестре субъектов малого и среднего предпринимательства как малое предприятие, в силу чего применяются положения ст. 4.1.2 КоАП РФ

4. Следует также обратить внимание на дело, в котором компания не разместила политику конфиденциальности на своем сайте.

Роскомнадзор выявил, что через формы обратной связи на сайте организации осуществляется сбор персональных данных пользователей, в том числе ФИО, наименование компании, должности, адрес электронной почты, номер телефона. При этом на сайте не была размещена в открытом доступе политика обработки персональных данных.

Суд согласился с доказанностью факта нарушения и оштрафовал организацию на 30 тыс. руб. по составу ч. 3 ст. 13.11 КоАП РФ (решение Арбитражного суда г. Москвы от 05.02.2026 по делу № А40-342669/25-145-2654).

Указанное дело подтверждает факт того, что Роскомнадзор отслеживает наличие политики обработки персональных данных на сайтах операторов. 

Заключение 

Проведенный анализ судебной практики первых месяцев 2026 г. свидетельствует о том, что суды достаточно строго относятся к нарушениям в области персональных данных:

• Так, операторы не могут ссылаться на неосмотрительность своих подрядчиков, допустивших утечку данных.

• Роскомнадзор активно проверяет выполнение формальных требований законодательства (подачу уведомления, наличие политики конфиденциальности на сайте). При этом суды назначают штрафы и в тех случаях, если фактического вреда правам субъектов персональных данных не причинено.

• Суды продолжают назначать миллионные штрафы за нарушения в области локализации баз персональных данных. По этому составу к ответственности почти всегда привлекаются только иностранные компании.