За что и как наказывают при ошибках в работе с персданными
Ответственность в сфере персональных данных разнообразна. Кого именно будут наказывать за нарушения, зависит от вида ответственности. Учтите, закон 152-ФЗ не делит тех, кто обрабатывает персональные данные, на граждан и юридических лиц. Есть общий термин — оператор персональных данных. Это тот, кто занимается обработкой такой информации.
Рассмотрю все варианты.
Административный штраф
Это самый частый вариант. Чаще всего наказывают по статье 13.11 КоАП. Там есть множество видов нарушений — от неопубликования политики обработки персональных данных на сайте до массовых утечек личной информации. Условно все виды нарушений можно разделить на три части:
- Нарушение правил обработки и защиты. Например, у оператора неполный комплект локальных актов по персональным данным или он неправильно хранит персданные.
- Ошибки при взаимодействии с субъектом персональных данных. Например, нет согласия на обработку или оператор не отреагировал на отзыв согласия.
- Ошибки при взаимодействии с Роскомнадзором. Например, не направили уведомление о начале обработки или об утечке персональных данных.
Привлечь к ответственности по КоАП могут:
- Граждан, в том числе рядовых сотрудников компании. Например, за то, что гражданин опубликовал в общем чате в мессенджере персональные данные другого физлица без его согласия.
- Должностных лиц. Например, генерального директора или сотрудника, назначенного ответственным за обработку персональных данных, если они собирали данные без согласия граждан.
- Юридических лиц. Их наказывают одновременно с должностными лицами. Но есть нюанс. Компанию могут не наказать, если она предприняла все возможные меры, а нарушение было исключительно по вине должностного лица (ч. 4 ст. 2.1 КоАП). Однако этот факт нужно обосновать и доказать.
Размер штрафа зависит от того, что именно было нарушено. Например, если нарушили общие правила обработки персональных данных и нет специального состава под конкретное нарушение, то максимальный штраф будет 500 тысяч рублей (ч. 1, 1.1 ст. 13.11 КоАП).
Штрафы за нарушения общих правил работы с персданными
| Граждане | Должностные лица | Юридические лица | |
|---|---|---|---|
| Первоначальное нарушение | 10 000 – 15 000 рублей | 50 000 – 100 000 рублей | 150 000 – 300 000 рублей |
| Повторное нарушение | 15 000 – 30 000 рублей | 100 000 – 200 000 рублей | 300 000 – 500 000 рублей |
Самые строгие штрафы предусмотрены за утечку данных. Они зависят от масштаба утечки, повторности и т. д. Диапазон штрафов для юрлиц — от 3 млн до 500 млн рублей.
Гражданско-правовая ответственность
Такая ответственность может выражаться в форме компенсации морального вреда, возмещения убытков или взыскания неустойки, если она была предусмотрена договором.
Моральный вред, как правило, взыскивают в относительно небольшой сумме: 5 000 – 10 000 рублей. Все зависит от конкретной ситуации. Например, гражданин, который обнаружил на информационном стенде квитанцию об оплате коммунальных услуг со своими персональными данными, взыскал с управляющей компании моральный вред — 5 000 рублей (Определение 8-го КСОЮ от 20.01.2026 № 88‑1420/2026).
Убытки нужно доказать и привязать к конкретному договору. Например, заказчик взыскал убытки в виде уплаченного им административного штрафа с разработчика сайта, по чьей вине произошла утечка персональных данных (Определение 8-го КСОЮ от 20.01.2026 № 88‑1420/2026).
Неустойка может быть предусмотрена за любое нарушение договора, в том числе за нарушения по персональным данным. Если такая неустойка в договоре есть, ее взыскание будет законным.
Важно
Возмещать вред в большинстве случаев будет организация, а не должностные лица. Это связано с тем, что вред, причиненный работником, должен возмещать работодатель (п. 1 ст. 1068 ГК). При этом если гражданин причинил вред не как работник, а как рядовой гражданин, то и его можно привлечь к такой ответственности.
Возмещать вред в большинстве случаев будет организация, а не должностные лица. Это связано с тем, что вред, причиненный работником, должен возмещать работодатель (п. 1 ст. 1068 ГК). При этом если гражданин причинил вред не как работник, а как рядовой гражданин, то и его можно привлечь к такой ответственности.
Уголовная ответственность
Уголовная ответственность за нарушения в сфере персональных данных предусмотрена статьей 272.1 УК РФ. Например, за создание ресурсов для продажи баз клиентов — физических лиц.
Эта статья предусматривает прямую уголовную ответственность в области персональных данных. Есть и другие статьи УК, где нарушения по персональным данным входят в состав преступления. Например, незаконное использование персональных данных для создания юридического лица (ст. 173.2 УК РФ).
Привлечь к уголовной ответственности могут только физических лиц. Однако это не освобождает организацию от административной ответственности.
Как проверить компанию на риски по персональным данным: алгоритм для юриста
Как мы уже посмотрели, видов ответственности много. Для того чтобы минимизировать риски компании по всем направлениям, нужно провести тщательную проверку внутренних документов и процедур по персональным данным. Рекомендуем придерживаться следующего алгоритма действий.
Шаг 1. Проверьте, направлены ли уведомления в Роскомнадзор. Уведомление о том, что оператор обрабатывает персональные данные, нужно подавать в подавляющем большинстве случаев. Проверить подачу уведомления можно через реестр операторов на сайте Роскомнадзора.
Если вы передаете персональные данные в другие страны, за пределы РФ, подайте еще одно уведомление о трансграничной передаче.
Шаг 2. Проверьте, все ли необходимые документы по персональным данным есть внутри компании. Конкретный перечень документов, регламентирующих порядок обработки персональных данных, законом не установлен. Исходя из анализа требований закона, у оператора как минимум должны быть следующие документы:
- Приказ о назначении ответственного за организацию обработки персональных данных.
- Документ или документы, определяющие порядок обработки и защиты персональных данных, например политика обработки персональных данных.
- Приказ об утверждении перечня лиц, которые отвечают за обработку персональных данных.
- Соглашение о неразглашении персональных данных.
- Согласия на обработку персональных данных.
Убедитесь, что эти документы соответствуют закону 152-ФЗ.
Шаг 3. Проверьте сайт компании. Это крайне важный шаг. Роскомнадзор регулярно проверяет сайты, в том числе в автоматическом режиме.
Если вы собираете данные на сайте, убедитесь, что у вас на нем опубликована политика обработки и есть чек-бокс для получения согласий на обработку.
Шаг 4. Проконтролируйте, как хранятся и уничтожаются персональные данные. Компания должна сделать всё возможное для сохранности персональных данных. Убедитесь, что они надежно защищены и своевременно уничтожаются. Штрафы за утечку исчисляются миллионами.
Мы рассмотрели общие шаги, но на практике можно столкнуться со множеством нюансов. Разобраться в них помогут экспертные материалы КонсультантПлюс.
Какие документы нужны
Собрала папку по кейсу для вас: просто скачивайте и пользуйтесь. Среди документов вы найдете экспертные разъяснения по ответственности в области персональных данных, обзоры актуальных изменений, пошаговые алгоритмы по работе с такой информацией, разбор спорных ситуаций, проверенные формы всех необходимых документов и подборки актуальной судебной практики.
Форма: Приказ оператора о назначении ответственного за организацию обработки персональных данных
Обзор изменений
- Последние изменения: Защита персональных данных
- Последние изменения: Ответственность за нарушение требований о защите персональных данных
Документы с готовыми алгоритмами и решениями
- Готовое решение: Кто и какую ответственность несет за нарушение законодательства о персональных данных
- Готовое решение: Каковы обязанности оператора персональных данных
- Готовое решение: В каком порядке должна осуществляться обработка персональных данных физлиц
- Готовое решение: Какие меры по защите персональных данных физлиц нужно принимать при обработке этих данных
Позиции судов и подборки практики
- Важнейшая практика по ст. 6 Закона о персональных данных
- Позиции судов по спорным вопросам. Административная ответственность за нарушение законодательства в области персональных данных
- Позиции судов по спорным вопросам. Контроль Роскомнадзора в сфере персональных данных
- Перспективы и риски спора в суде общей юрисдикции: Работник требует признать незаконными действия Работодателя по обработке персональных данных
- Перспективы и риски спора в суде общей юрисдикции (новое поступление): Гражданин хочет взыскать компенсацию морального вреда за распространение в соцсети сведений о его частной жизни (персональных данных)
Формы и образцы
- Форма: Политика в отношении обработки персональных данных на интернет-сайте
- Форма: Политика оператора в отношении обработки персональных данных
- Форма: Согласие на обработку персональных данных на сайте в Интернете
- Форма: Согласие на обработку персональных данных
- Форма: Обязательство о неразглашении персональных данных работников
Какие инструменты нужны
С КонсультантПлюс сложные задачи перестают быть проблемой: я разбираюсь с ними быстрее и легче. Многие продукты и материалы не имеют аналогов — оцените по своему доступу или бесплатному демодоступу.
Например, пока я писала это решение, использовала следующие материалы.
ИИ-помощник КонсультантПлюс
Снимите с себя рутинные задачи — воспользуйтесь ИИ-помощником КонсультантПлюс. Он сгенерирует ответ по вашему конкретному кейсу и даст ссылки на нужные нормативные документы для быстрой и эффективной проверки. Не нужно беспокоиться о конфиденциальности — все запросы не выходят за пределы закрытого контура.
Готовые решения
Это актуальные и понятные советы экспертов о том, как корректно организовать работу с персональными данными и избежать штрафов и претензий.
Важнейшая практика по статье
Сократите временные затраты на поиск и анализ судебной практики. Подборки КонсультантПлюс подскажут, как суды понимают нормы права. В документах важнейшие решения высших судов, позиции госорганов и самые частые судебные споры за последние три года. Например, вы узнаете, когда суды считают обработку персональных данных законной, а когда нет.
Позиции судов по спорным вопросам. Административная ответственность и проверки
С подборками позиций судов от КонсультантПлюс вы будете точно знать, как нормы закона работают на практике. Например, вы узнаете, привлекут ли к ответственности бывшего работника, который использовал в судебном споре с работодателем персональные данные другого работника, полученные на работе.
Перспективы и риски споров в судах общей юрисдикции
Спрогнозируйте исход спора заранее. В этом вам помогут уникальные подборки судебной практики КонсультантПлюс. Например, вы узнаете, когда работник сможет признать незаконными действия работодателя по обработке его персональных данных и когда суд ему откажет.
Формы документов
Избавьтесь от рутины! Вместо создания документов с нуля используйте проверенные экспертами шаблоны — они соответствуют всем актуальным нормам.
