Штрафы «за персональные данные»: как все устроено на самом деле

Про персональные данные (ПД) в последнее время не пишет только ленивый. К сожалению, большинство авторов пугающих постов, которые потом разлетаются по сети, знакомы с предметом на уровне «слышал звон». Чем меньше автор разбирается в законе и практике его применения, тем более апокалиптические картины он рисует.

Я профессиональный юрист и DPO (тот человек, который отвечает за законность обработки персональных данных на уровне компании), я каждый день имею дело с разными аспектами обработки перс.данных, в том числе с запросами Роскомнадзора (контролирующий орган в сфере ПД), которые — теоретически — могут привести мои компании к штрафам. А еще я регулярно мониторю судебную практику, чтобы знать, какие нарушения действительно опасны, а какие, скорее всего, сойдут с рук.

Для начала определимся с терминами.

Персональные данные (ПД) — это любая (действительно любая) информация о человеке. Не только паспортные данные, не только сведения, позволяющие установить личность. В понятие «персональные данные» со временем втягивается все больше видов разных данных, включая, например, куки‑файлы.

Субъект ПД — это тот человек, к которому относятся данные. Не всегда мы знаем, кто это вообще, не всегда нам это интересно. Важно: субъектом ПД может быть только человек (даже если он мертвый, кстати), юридическое лицо персональных данных не имеет. И кличка вашей кошки — это ваши ПД, а не кошки.

Оператор ПД — это то лицо, которое определяет цели обработки данных и отвечает за законность обработки. Обычно оператор — это юридическое лицо (то есть организация) или ИП, но в зависимости от обстоятельств «просто человек» тоже может оказаться оператором ПД — и подвергнуться административной ответственности, если накосячит.

Обработка ПД — это любое действие или операция с персональными данными. Даже если оператор ничего с данными не делает, только хранит, все равно он уже обрабатывает ПД.

Правовое основание обработки ПД — это то условие, при соблюдении которого оператор может обрабатывать данные. Все слышали о согласии (и больше, к сожалению, ни о чем). Согласие — одно из оснований обработки, но не единственное, и далеко не всегда оно нужно. ПД могут обрабатываться на основании договора с субъектом ПД, для выполнения требований закона, для защиты интересов оператора, при рассмотрении дел в судах и так далее. Для оператора главное — иметь правовое основание, которое подходит для конкретного случая.

Поехали дальше. За что штрафуют и кого штрафуют? Обработка персональных данных регулируется федеральным законом «О персональных данных» от 27.07.2006 № 152-ФЗ (дальше для краткости я буду называть его ФЗ-152). ФЗ-152 содержит множество правил и требований, но наказание установлено не за все. В Кодексе РФ об административных правонарушениях (КоАП РФ) есть ст. 13.11, которая описывает наказуемые нарушения ФЗ-152 и устанавливает размеры штрафов.

Кто может оказаться «виноватым» по ст. 13.11 КоАП РФ и заплатить штраф

• оператор‑организация или ИП;

• должностное лицо (это руководитель внутри организации, не обязательно «самый главный», а тот, в чьи должностные обязанности входит «делать хорошо и не делать плохо» в сфере перс.данных);

• физическое лицо (тот самый «просто человек»).

Суммы штрафов разнятся в зависимости от того, кого привлекают к ответственности: организация платит больше всех, физик (физическое лицо) — меньше всех. Если для ИП не установлен специальный штраф, его штрафуют как организацию.

Ниже будет табличка «цен» на нарушения, кому про цифры не интересно — можно промотать.

Разлет штрафов довольно большой: отсутствие на сайте Политики обработки ПД стоит копейки, а крупные утечки могут разорить бизнес.

Суммы штрафов по ст. 13.11 КоАП РФ и дают основания рисовать мрачные картины, в которых бдительный РКН прямо завтра всех оставит без штанов за малейшее нарушение. Реальность значительно сложнее.

В практической плоскости значение имеет не только сумма штрафа, установленная законом, но и вероятность этот штраф получить. Посмотрим на статистику. В реестре операторов ПД, который ведет РКН, более 2.600.000 операторов. За 2025 г. судами вынесено около 500 решений по ст. 13.11 КоАП РФ. То есть соотношение количества операторов к количеству решений судов 5.200 к 1.

Посмотрим на статистику по санкциям. В подавляющем большинстве случаев, если дело доходит до суда, суд наказывает нарушителя. Отказы в привлечении к ответственности случаются, но они чрезвычайно редки, не будем их учитывать. Давайте исходить из того, что по всем 500 делам были назначены наказания. Вопрос — какие именно? Читатель ждет уж рифмы «розы» суммы штрафов, но...В 60% дел суд ограничился предупреждением. То есть виновному лицу просто погрозили пальцем и сказали «больше так не делай». Есть, кстати, забавный момент. Суд может признать правонарушение незначительным и отказать в привлечении к ответственности, ограничившись «устным замечанием». А может привлечь к административной ответственности, но вместо штрафа вынести «предупреждение». Казалось бы, какая разница. Но в первом случае фигурант не будет считаться привлеченным к административной ответственности, а во втором — будет. Для оператора предупреждение не такая уж безобидная штука. Дело в том, что РКН дозирует свое внимание в зависимости от категории риска, присвоенной оператору. И привлечение к ответственности по ст. 13.11, даже в форме предупреждения, категорию риска автоматически увеличивает, что имеет свои последствия — но об этом я как‑нибудь в другой раз напишу.

Возвращаемся к нашим штрафам. Из примерно 500 дел, по 40% (ок. 200) штраф все‑таки был назначен. Суммы штрафов варьируют от 2.000 до 17.000.000 ₽ Два самых часто встречающихся варианта — 2.000 и 60.000. Почему так? А вот почему. Большая часть нарушений (70%) попадает в сферу действия ч. 1 ст. 13.11 КоАП РФ. Что бы вы ни начудили с перс.данными — скорее всего, попадете в этот состав, он просто самый обширный. До середины 2025 г. штрафы по ч. 1 ст. 13.11 были существенно ниже, чем сейчас. Когда выносится административное наказание, применяется тот размер штрафа, который действовал на момент совершения нарушения. Поскольку между правонарушением и вынесением решения суда о наказании — дистанция огромного размера (до года), то ныне действующие размеры штрафов в 2025 г еще почти не применялись. Соответственно, когда какое‑нибудь юр.лицо привлекали к ответственности по ч. 1 ст. 13.11 и назначали штраф, а не предупреждение, применяли «старые цены» — и получалось в основном 60.000 ₽ А 2.000 руб — это штрафы физикам. Как ни странно, суды гораздо охотнее штрафуют физиков, чем юриков. Если нарушитель — юр.лицо, шанс отделаться предупреждением куда выше, чем у «простого человека».

Едем дальше: верхний предел штрафа за 2025 г — 17.000.000 ₽ Назначен он не за грандиозную утечку, как могло бы показаться, а за нарушение требований о локализации. WA оштрафовали по ч. 9 ст. 13.11 КоАП РФ. Вообще РКН очень активно штрафует иностранные сервисы за локализацию. Борьба за цифровой суверенитет идет вовсю. Уже оштрафованы или в процессе десятки иностранных компаний: все популярные мессенджеры, гугл, зум, приложения для знакомств, разработчики различного ПО и компьютерных игр — всех не перечислишь. Правда, сомнительно, что бюджет РФ когда‑нибудь дождется выплаты этих штрафов.

С суммами разобрались, но интересно, кого именно привлекают к ответственности? Забавно, но в половине случаев — это участники бытовых или соседских разборок с использованием перс.данных. Сейчас объясню. 50% от привлеченных к ответственности составляют должностные лица и физические лица. «Должностное лицо» звучит чрезвычайно солидно, но в подавляющем большинстве случаев это не чиновники, не директора предприятий — а председатели ТСЖ, СНТ, ТСН, гаражных кооперативов, то есть объединений граждан для управления недвижимостью. Кто вникал, тот знает, что в таких объединениях жизнь довольно часто бьет ключом: кто‑то на кого‑то жалуется, кто‑то пытается сместить правление и выбрать получше, правление хочет собрать все долги со всех должников и так далее. Для этого активно используется метод общественной укоризны: в чатах мессенджеров публикуются списки должников, тексты жалоб (вот Иван Иваныч, нехороший человек, написал на нас жалобу в прокуратуру — полюбуйтесь), решения судов (мы сходили в суд и суд постановил взыскать с Марь Петровны долги за 200 лет) и прочие документы, содержащие перс.данные. Аналогично кто‑то с кем‑то сводит личные счеты, выкладывая данные в группу типа «подслушано там‑то...» И никому, конечно, в голову не приходит, что для такого действия нужно либо согласие субъекта (так он его и даст), либо иные правовые основания (которым неоткуда взяться). Пострадавший пишет жалобу в полицию/прокуратуру/ФСБ, если грамотный или что‑то слышал, то напрямую в РКН, прилагает скрины — и РКН радостно идет в суд, так как состав ему принесли на тарелочке. Суд обычно выносит предупреждение, но бывает, что и штрафует. Если выкладыванием ПД в мессенджеры занимается председатель или бухгалтер — ему не повезло, штраф будет от 10.000, если рядовой сосед — штрафуют как физика — на 2.000.

В сумме имеем: великий и ужасный РКН не столько следит за тем, есть ли на вашем сайте согласие на обработку ПД (справедливости ради, за этим тоже следит — в другой раз расскажу), сколько борется за цифровой суверенитет с иностранными компаниями и проверяет жалобы физиков на данные в мессенджерах и соц.сетях. А суды в большинстве случаев проявляют невиданный в других сферах либерализм и назначают предупреждения вместо штрафов. Кстати, даже за утечки.