Утечки персональных данных: как складывается судебная практика и что определяет исход дела

До 30 мая 2025 года многие дела, связанные с неправомерным раскрытием персональных данных, рассматривались по части 1 статьи 13.11 КоАП РФ.

Именно поэтому в судебных решениях прошлых лет можно встретить штрафы для юридических лиц до 100 тыс. рублей.

С 30 мая 2025 года ситуация изменилась. Федеральный закон от 30.11.2024 № 420-ФЗ ввел специальные составы за действия или бездействие оператора, повлекшие неправомерную передачу, предоставление, распространение или доступ к персональным данным.

Для юридических лиц, на которых распространяются соответствующие санкции, предусмотрены следующие размеры штрафов.

При применении оборотных штрафов также важно учитывать, за какие нарушения лицо ранее подвергалось административному наказанию. Для части 15 учитываются нарушения, перечисленные в ее диспозиции, в том числе по частям 12−14 и 16−18. Для части 18 предусмотрен свой перечень предшествующих нарушений.

Количество субъектов и идентификаторов имеет значение для разграничения составов по частям 12−14. Если установленные пороги не достигнуты, нельзя автоматически применять указанные многомиллионные санкции. Необходимо оценивать обстоятельства и наличие другого применимого состава правонарушения.

Часть 1 статьи 13.11 при этом не исчезла. Она продолжает применяться к неправомерной обработке персональных данных или обработке, несовместимой с целями сбора, когда ситуация не охватывается специальными составами статьи. Для юридического лица действующий штраф по части 1 составляет 150−300 тыс. рублей.

Поэтому при чтении судебного решения сначала нужно смотреть не на дату самого решения, а на дату правонарушения и редакцию закона, которая к нему применялась.

Показательный пример — постановление Верховного Суда Р Ф от 21 января 2026 года № 5-АД25−119-К2.

Суд оставил в силе штраф 100 тыс. рублей по части 1 статьи 13.11 КоАП РФ за неправомерный открытый доступ к персональным данным работников Минтруда и их родственников.

Однако сам инцидент произошел 27 ноября 2023 года. Верховный Суд отдельно указал, что применялась редакция части 1 статьи 13.11, действовавшая на момент правонарушения.

Поэтому это дело важно не как ориентир по размеру штрафа в 2026 году.

Его значение в другом: оно показывает, какие обстоятельства суд учитывает при оценке действий оператора и его доводов о том, что непосредственный технический инцидент произошел через инфраструктуру подрядчика.

В частности, суд проверял, были ли приняты меры по соблюдению законодательства о персональных данных и существовали ли доказательства их фактического выполнения.

Сводить исход дела к одному обстоятельству нельзя. Но нормы законодательства и судебная практика позволяют выделить три группы факторов, имеющих существенное значение.

Сначала необходимо установить, что произошло фактически.

Для этого могут иметь значение логи, результаты расследования, акты, протоколы, сведения об информационной системе, технические данные, переписка с подрядчиком, документы о правах доступа и другие материалы.

При оценке инцидента необходимо выяснить:

• Действительно ли произошли неправомерные предоставление, распространение или доступ к персональным данным?
• Какие именно данные были затронуты и относятся ли они к определенным или определяемым физическим лицам?
• Сколько субъектов и идентификаторов оказалось затронуто?
• Содержались ли среди раскрытых сведений специальные категории или биометрические ПДн?
• Через какую систему, учетную запись или процесс произошел инцидент?
• Каким образом произошедшее связано с действиями или бездействием конкретного оператора?

После введения частей 12−18 статьи 13.11 КоАП РФ эти обстоятельства влияют уже не только на доказанность события, но и непосредственно на квалификацию и диапазон санкции.

Например, отсутствие ФИО в опубликованной базе само по себе еще не означает, что информация не является персональными данными. Закон относит к ним любые сведения, касающиеся прямо или косвенно определенного либо определяемого физического лица.

Поэтому оценивать необходимо весь набор данных и контекст их использования, а не отдельные поля.

После инцидента важно не ограничиваться общей формулировкой «произошла утечка». Для правовой оценки требуется восстановить техническую и организационную картину произошедшего.

Для административной ответственности юридического лица недостаточно просто установить неблагоприятное событие.

По части 2 статьи 2.1 КоАП РФ юридическое лицо признается виновным, если у него была возможность соблюдать требования, но оно не приняло все зависящие от него меры для их соблюдения.

Для персональных данных это особенно важно, поскольку статья 19 Закона № 152-ФЗ прямо требует от оператора принимать необходимые правовые, организационные и технические меры защиты.

Закон предусматривает, в частности:

• определение угроз безопасности персональных данных;
• применение организационных и технических мер защиты;
• оценку эффективности принимаемых мер;
• обнаружение несанкционированного доступа и меры по реагированию на компьютерные инциденты.

Поэтому в споре значение имеет не только наличие политики обработки ПДн или приказа о назначении ответственного.

Нужно показать, что предусмотренные меры действительно существовали и работали: доступы ограничивались, настройки применялись, контроль проводился, выявленные проблемы устранялись, а сотрудники и подрядчики действовали в установленной модели.

Документ, который существует только формально, защищает позицию значительно слабее, чем процедура, выполнение которой можно подтвердить техническими и организационными доказательствами.

Передача обработки внешнему исполнителю сама по себе не выводит данные из зоны ответственности оператора.

Часть 3 статьи 6 Закона № 152-ФЗ устанавливает требования к поручению обработки: в нем должны быть определены данные, операции, цели, требования к конфиденциальности и безопасности, предоставлению подтверждающих документов и уведомлению оператора об инцидентах.

Кроме того, часть 5 статьи 6 прямо предусматривает, что перед субъектом персональных данных ответственность за действия лица, обрабатывающего данные по поручению, несет оператор, а обработчик отвечает перед оператором.

Но из этого не следует, что любой инцидент у подрядчика автоматически означает административную виновность оператора.

Для административного дела оцениваются собственные действия оператора: как был выбран подрядчик, какие требования установлены договором, как контролировалось их выполнение, какие меры были приняты и мог ли оператор предотвратить нарушение.

При этом не всякая передача данных подрядчику является обработкой по поручению. Если контрагент действует как самостоятельный оператор, правовую модель необходимо оценивать отдельно. Отсутствие договора поручения нельзя автоматически считать нарушением при любом взаимодействии с внешней организацией.

Именно так следует читать дело Минтруда.

Верховный Суд отклонил довод о том, что неправомерный доступ произошел через инфраструктуру подрядной организации.

При этом суд указал на отсутствие в материалах дела доказательств принятия надлежащих мер, включая внутренний контроль и аудит.

Более того, из материалов дела следовало, что сам факт размещения данных Минтруд подтвердил только после запроса контролирующего органа.

Практический вывод здесь не в том, что «за подрядчика всегда отвечает заказчик», а в другом: привлечение подрядчика не заменяет выполнение собственных обязанностей оператора.

Реакция после утечки тоже имеет значение, но ее роль нужно понимать правильно.

Оперативное отключение скомпрометированных учетных записей, смена паролей, ограничение доступа, сохранение логов, расследование, устранение уязвимости и корректировка процессов помогают остановить развитие инцидента и сформировать доказательную базу.

Такие действия могут также учитываться при назначении наказания.

Статья 4.2 КоАП РФ относит к смягчающим обстоятельствам, в частности:

• добровольное прекращение противоправного поведения;
• содействие установлению обстоятельств дела;
• предотвращение вредных последствий правонарушения;
• добровольное возмещение ущерба или устранение причиненного вреда.

Но устранение последствий после утечки не отменяет уже состоявшееся правонарушение.

Поэтому качественное реагирование на инцидент не заменяет меры, которые оператор должен был принимать заранее.

Оно влияет на дальнейшее развитие ситуации, полноту доказательств, исполнение обязанностей оператора и в отдельных случаях — на назначение наказания.

После выявления определенного законом инцидента у оператора возникает отдельная обязанность по уведомлению Роскомнадзора.

Речь идет об установлении факта неправомерной или случайной передачи, предоставления, распространения или доступа к персональным данным, повлекшей нарушение прав субъектов.

Часть 3.1 статьи 21 Закона № 152-ФЗ предусматривает два этапа уведомления.

Сроки исчисляются с момента выявления инцидента оператором, уполномоченным органом или иным заинтересованным лицом в соответствии с частью 3.1 статьи 21 Закона № 152-ФЗ.

Здесь важно не создавать лишних требований.

Направление уведомления ближе к окончанию установленного срока само по себе нарушением не является. Риск возникает, если оператор пропускает предусмотренный срок либо не выполняет обязанность по уведомлению надлежащим образом.

С 30 мая 2025 года за невыполнение или несвоевременное выполнение этой обязанности действует отдельная часть 11 статьи 13.11 КоАП РФ. Для юридических лиц, подпадающих под соответствующую санкцию, предусмотрен штраф от 1 до 3 млн рублей.

То есть один инцидент требует оценивать как минимум два разных вопроса:

1. Ответственность за действия или бездействие, повлекшие неправомерную передачу, распространение либо доступ к данным.
2. Исполнение обязанности сообщить о произошедшем Роскомнадзору.

Эти вопросы имеют самостоятельное правовое значение и требуют отдельной проверки.

Универсального одинакового набора документов и технических средств для любого оператора нет.

Состав мер зависит от характера обработки, информационных систем, категорий данных, актуальных угроз и применимых нормативных требований.

Но у компании должна быть возможность восстановить собственную модель защиты и доказать, как она работала на практике.

Для этого обычно необходимо подготовить и поддерживать в актуальном состоянии:

Конкретный состав доказательств зависит от применимых требований. Таблица не является универсальным обязательным перечнем документов.

В частности, актуальные документы по обработке и защите ПДн должны отражать реальные процессы компании, а не существовать отдельно от ее технической инфраструктуры.

Модель угроз, журналы событий, конкретные средства защиты информации и другие технические документы применяются не как универсальный одинаковый комплект для каждого оператора, а в тех случаях и в том составе, который следует из конкретной информационной системы и применимых требований.

Статья 19 Закона № 152-ФЗ связывает меры защиты с актуальными угрозами, установленными уровнями защищенности и особенностями обработки.

Главная задача доказательной базы — не создать максимальное количество документов, а показать связь:

требование → реализованная мера → фактическое выполнение → подтверждающее доказательство.

Именно такая последовательность позволяет не ограничиваться утверждением о том, что компания выполняла требования законодательства, а показать, как это происходило на практике.

Нет.

Для привлечения к административной ответственности необходимо установить предусмотренный КоАП РФ состав правонарушения и вину оператора.

Для инцидентов после 30 мая 2025 года нужно учитывать специальные части 12−18 статьи 13.11 КоАП РФ. Прежнюю судебную практику по части 1 нельзя напрямую использовать для оценки размера санкции за новый инцидент.

Не автоматически.

Оцениваются обязанности самого оператора: договорная модель, требования к обработчику, контроль, реализованные меры защиты и фактические обстоятельства инцидента.

Дело Минтруда показывает, что ссылка исключительно на взлом подрядчика не помогает, если оператор не может подтвердить выполнение собственных обязанностей.

В течение 24 часов необходимо направить первичную информацию об инциденте, его предполагаемых причинах, вреде и принятых мерах.

В течение 72 часов передаются результаты внутреннего расследования и сведения о лицах, действия которых стали причиной инцидента, если такие сведения имеются.

Эти требования применяются при установлении инцидента, соответствующего условиям части 3.1 статьи 21 Закона № 152-ФЗ.

Единого универсального набора нет.

Оператор должен выполнить применимые к его обработке требования и быть способен подтвердить, что необходимые организационные и технические меры были реализованы.

Для административной вины ключевой критерий сформулирован в части 2 статьи 2.1 КоАП РФ: были ли приняты все зависящие от юридического лица меры для соблюдения требований.

Да, но оно не отменяет уже произошедшее нарушение.

Быстрая локализация инцидента, сохранение доказательств, выполнение обязанностей по уведомлению и устранение последствий помогают контролировать развитие ситуации и могут учитываться при назначении наказания.

Необходимо оценить их в контексте.

Персональными являются сведения, относящиеся к прямо или косвенно определенному или определяемому человеку. Поэтому нельзя делать вывод только потому, что в файле отсутствуют ФИО или паспортные данные.

И наоборот, если совокупность опубликованных сведений объективно не относится к определенному или определяемому физическому лицу, это имеет значение для квалификации инцидента.

После 30 мая 2025 года утечки персональных данных регулируются уже не той моделью ответственности, на которой построена значительная часть старой судебной практики.

Поэтому решение 2026 года со штрафом 100 тыс. рублей может быть полезно для понимания позиции суда по вопросу вины или работы с подрядчиком, но не отражать текущий размер ответственности за аналогичный новый инцидент.

Для оператора сегодня особенно важны четыре вещи: правильно квалифицировать произошедшее, сохранить доказательства, показать реально работающие меры защиты и вовремя выполнить обязанности по уведомлению Роскомнадзора.

Именно из этих элементов складывается доказательная и правовая позиция компании после инцидента.