С 30 мая 2025 года ответственность бизнеса за утечки персональных данных существенно выросла. За крупную утечку юридическому лицу может грозить штраф до 15 млн рублей, за утечку биометрических данных — до 20 млн, а при повторном нарушении — оборотный штраф до 3% выручки, но не более 500 млн рублей.
Размер штрафа зависит от масштаба инцидента, категории данных и повторности нарушения. При этом финансовые последствия могут возникнуть не только из-за самой утечки, но и из-за несвоевременного уведомления Роскомнадзора. Поэтому компании важно заранее проверить, как защищены персональные данные и кто будет действовать при обнаружении инцидента.
Сколько теперь стоит утечка
Для юридических лиц предусмотрены следующие штрафы:
| Масштаб утечки | Штраф для юрлица |
| 1–10 тыс. субъектов ПДн и/или 10–100 тыс. идентификаторов | 3–5 млн ₽ |
| 10–100 тыс. субъектов и/или 100 тыс.–1 млн идентификаторов | 5–10 млн ₽ |
| Более 100 тыс. субъектов и/или более 1 млн идентификаторов | 10–15 млн ₽ |
| Специальные категории ПДн | 10–15 млн ₽ |
| Биометрические ПДн | 15–20 млн ₽ |
За повторные нарушения предусмотрены оборотные штрафы. Для юридического лица штраф может составить 1–3% совокупной выручки за предусмотренный законом период. По общему составу установлены пределы от 20 до 500 млн рублей, а для повторной утечки специальных категорий или биометрических ПДн — от 25 до 500 млн рублей. Например, 1–3% от выручки компании в 5 млрд рублей — это 50–150 млн рублей.
Поэтому после первого инцидента особенно важно установить системные причины произошедшего. Устранение одной уязвимости не решит проблему, если в компании сохраняются избыточные права доступа, не контролируются выгрузки данных или остаются без внимания срабатывания средств защиты.
Отдельная ответственность предусмотрена за неуведомление Роскомнадзора: юридическому лицу может грозить штраф от 1 до 3 млн рублей. При установленном законом инциденте оператор должен в течение 24 часов направить первичное уведомление с информацией о предполагаемых причинах и последствиях, принятых мерах и контактном лице. В течение 72 часов необходимо сообщить результаты внутреннего расследования, включая сведения о причинах и виновных лицах при их наличии.
Почему первые 24 часа критичны
Представим, что ночью система мониторинга фиксирует массовую выгрузку клиентской базы. Компании необходимо одновременно локализовать инцидент и собрать информацию для уведомления регулятора: определить, какие системы затронуты, какие данные могли быть скомпрометированы, сколько субъектов затронуто, продолжается ли утечка и какие меры уже приняты.
Если только в этот момент сотрудники начинают выяснять, где хранится база, кто имеет к ней доступ и кто должен подключить юристов, уложиться в установленные сроки будет сложнее. Поэтому наличие антивируса, межсетевого экрана и других средств защиты информации само по себе не решает задачу реагирования. Нужен заранее согласованный порядок действий: кто обнаруживает и регистрирует инцидент, кто оценивает его масштаб, кто подключает руководство и кто отвечает за взаимодействие с Роскомнадзором.
Этот порядок стоит проверить на учебном инциденте. Такая проверка помогает обнаружить пробелы до реальной утечки: недоступные контакты, отсутствие необходимых журналов событий, неясное распределение ответственности или невозможность быстро получить сведения о затронутых данных.
Что стоит проверить до утечки
Начать нужно с учета персональных данных. Компания должна понимать, в каких системах находятся сведения о клиентах, сотрудниках и контрагентах, какие категории ПДн обрабатываются и кому предоставлен доступ. Особого внимания требуют специальные категории и биометрические данные, поскольку ответственность за их компрометацию выше. Перечень систем необходимо актуализировать при изменении инфраструктуры, запуске новых сервисов и подключении подрядчиков.
Следующий вопрос — права доступа. Учетные записи уволенных сотрудников, избыточные административные права и общие аккаунты создают дополнительные риски и затрудняют расследование. Доступ должен соответствовать рабочим задачам, регулярно пересматриваться и своевременно отзываться при увольнении или смене обязанностей.
Необходимо проверить и работу средств защиты информации — СЗИ. Их состав должен соответствовать угрозам и применимым требованиям к защите ПДн. В зависимости от инфраструктуры это могут быть средства защиты рабочих станций и серверов, межсетевые экраны, системы контроля передачи данных и мониторинга событий. Конкретный набор определяется по результатам оценки рисков и требований.
Важно убедиться, что СЗИ охватывают системы с персональными данными, обновляются, правильно настроены и находятся под сопровождением специалистов. Например, система предотвращения утечек данных — DLP — должна контролировать значимые каналы передачи информации, а мониторинг — выявлять массовые выгрузки, нетипичные подключения и другие подозрительные действия. Срабатывания должны поступать сотрудникам, которые могут их проверить и принять меры. Покупка и установка СЗИ не гарантируют, что защита работает: ее эффективность необходимо проверять на практических сценариях и пересматривать при изменении инфраструктуры.
Отдельного внимания требует распределение ответственности за инциденты. В регламенте должны быть указаны конкретные роли и контакты сотрудников ИБ, ИТ, руководства, юридической службы и ответственного за обработку ПДн. Формулировка «ответственный определяется при возникновении инцидента» приводит к потере времени, когда на первичное уведомление отведено 24 часа.
Наконец, компании нужно проверить, сможет ли она восстановить картину событий. Журналы должны храниться достаточно долго и содержать сведения, необходимые для расследования: кто, когда, откуда и к каким данным обращался. Без этой информации сложно определить масштаб компрометации, установить причины утечки и обоснованно выбрать меры по ее устранению.
Защита ПДн как постоянный процесс
После введения оборотных штрафов утечка персональных данных становится существенным финансовым риском наряду с техническими и репутационными последствиями. Управлять этим риском с помощью разовой проверки недостаточно: данные, доступы и инфраструктура постоянно меняются, а вместе с ними должны пересматриваться меры защиты.
Обеспечение информационной безопасности — непрерывный процесс с конкретными ответственными и регулярными процедурами. В него входят актуализация перечня систем с ПДн, пересмотр прав доступа, устранение уязвимостей, сопровождение СЗИ, анализ событий и проверка сценариев реагирования. При запуске новой системы или подключении подрядчика необходимо оценивать, как меняются риски и достаточно ли действующих мер защиты.
Результаты этой работы также требуют контроля. Важно проверять, разбираются ли срабатывания, закрываются ли уязвимости, своевременно ли отзываются права и выполняются ли решения по итогам расследований. Выявленные недостатки должны устраняться, а причины инцидентов — учитываться в дальнейшей работе.
Защита ПДн должна стать частью ежедневной деятельности компании, с понятными правилами, ответственностью и контролем результата. Это снижает вероятность утечки и помогает быстрее ограничить ее последствия.
Как может помочь «АйТиАнгел»
«АйТиАнгел» помогает провести аудит обработки и защиты персональных данных, оценить защищенность инфраструктуры, выявить уязвимости, подобрать и внедрить необходимые средства защиты, а также разработать порядок реагирования на инциденты.
Задача — выстроить процессы защиты ПДн и поддерживать их в работе: от контроля доступа и сопровождения СЗИ до мониторинга событий и устранения причин инцидентов.
