С 30 мая 2025 года штрафы по персональным данным выросли кратно: санкция за повторную утечку достигает 500 млн руб. или 3% годовой выручки. Любая форма обратной связи или регистрация по email превращают компанию в оператора персональных данных, а значит, обязывают соблюдать закон.
Избежать миллионных счетов помогает дисциплина из трех шагов: размещать базы в российских дата-центрах, уведомить Роскомнадзор перед началом обработки, заключить с провайдером договор на обработку персональных данных.
Сколько бизнес платит за нарушения по 152-ФЗ
Роскомнадзор квалифицирует нарушения по статье 13.11 КоАП РФ. Санкции для юридических лиц:
Нарушение Размер штрафа Хранение ПДн вне России от 1 до 6 млн руб. Повторное нарушение локализации от 6 до 18 млн руб. Обработка данных без согласия от 300 до 700 тыс. руб. Отсутствие уведомления Роскомнадзора от 100 до 300 тыс. руб. Утечка данных до 100 000 субъектов от 3 до 10 млн руб. Повторная утечка от 1 до 3% выручки, минимум 20 млн руб.
При отягчающих обстоятельствах, например при разглашении биометрии, суммы кратно выше. За умышленный незаконный сбор персональных данных грозит уголовная ответственность по статье 272.1 УК РФ со сроком лишения свободы до пяти лет. Подробнее о механике проверок читайте в разборе о штрафах по 152-ФЗ.
Где закон требует хранить персональные данные граждан
Статья 18 закона обязывает оператора хранить персональные данные граждан РФ на серверах в России, включая первичную запись. Доменная зона сайта не решает: ресурс на домене .ru с иностранной базой данных уже нарушает требование о локализации.
При выборе площадки обратите внимание на конкретные признаки:
- база физически размещена на территории российского дата-центра, а не «где-то в Европе»;
- договор фиксирует город, адрес площадки;
- регион хранения выбирается явно при создании инстанса;
- зарубежная репликация включается только после первичной записи в РФ.
Роскомнадзор выявляет эти нарушения по жалобам пользователей и в ходе плановых проверок. Экономия на дешевом зарубежном хостинге для персональных данных оборачивается штрафом от 1 млн руб.
Что проверить у облачного провайдера перед подписанием договора
Ответственность за защиту данных несет оператор, а не провайдер: облако отвечает за физическую безопасность серверов, а шифрование, доступы, аудит настраивает владелец проекта. Перед оплатой тарифа запросите документы и пройдите чек-лист:
- договор на обработку персональных данных с прописанным поручением;
- политика конфиденциальности, форма согласия на сайте;
- шифрование каналов передачи, разграничение прав доступа;
- регламент уведомления регулятора об инциденте в течение 24 часов;
- процедура удаления данных по запросу пользователя.
Зарегистрируйте компанию в реестре операторов персональных данных перед запуском сервиса, назначьте ответственного за защиту ПДн, а каждый квартал проверяйте, где физически лежат базы. Эти меры обходятся дешевле любого штрафа и сохраняют доверие клиентов.
