Ответственность за нарушения в области ПД

420-ФЗ от 30.11.2024

КоАП: утечки и биометрия

оборотные штрафы за повторные утечки, до 500 млн ₽

шкала штрафов по числу субъектов и идентификаторов

составы о неуведомлении Роскомнадзора

новая ст.13.11.3 о биометрии

действует с 30.05.2025

421-ФЗ от 30.11.2024

УК: ст.272.1

незаконные использование, передача, сбор и хранение компьютерной информации с ПД

создание ресурсов для незаконного оборота ПД

до 10 лет лишения свободы

действует с 11.12.2024

104-ФЗ от 23.05.2025

КоАП: защита информации

ужесточение ст.13.12 КоАП

до 100 тыс. ₽ для ЮЛ за несертифицированные СЗИ и нарушение требований о защите

давность по ст.13.12 увеличена до 1 года

до 15 млн ₽

Разовая утечка

ч.12-14 ст.13.11 по масштабу: от 3 млн ₽ уже при 1-10 тыс. субъектов

1-3% выручки

Повторная утечка

ч.15 и ч.18: не менее 20 или 25 и не более 500 млн ₽

до 20 млн ₽

Утечка биометрии

ч.17, а утечка специальных категорий до 15 млн ₽ по ч.16

до 3 млн ₽

Неуведомление об утечке

ч.11, а неуведомление об обработке до 300 тыс. ₽ по ч.10

штрафы по ч.1-1.1 и ч.2-2.1 ст.13.11 выросли до 300 тыс. и 700 тыс. ₽, при повторности до 500 тыс. и 1,5 млн ₽

новые ст.13.11.3 о биометрии в ЕБС и биометрических системах и ч.8 ст.14.8 об отказе потребителю, не согласному на биометрию

ИП в ч.1.1 и 8-18 ст.13.11 отвечают как юридические лица

оборотный штраф по ч.15 и ч.18 снижается до 1/10 минимума при трех условиях ч.3.4-2 ст.4.1

Карта в полном размере

на Яндекс Диске

• Часть ст.13.11
• Нарушение
• Юридическое лицо
• Должностное лицо

• ч.1 и 1.1
• обработка без основания или несовместимая с целями сбора
• 150-300 тыс., повторно 300-500 тыс.
• 50-100 тыс., повторно 100-200 тыс.

• ч.2 и 2.1
• без обязательного письменного согласия
• 300-700 тыс., повторно 1-1,5 млн
• 100-300 тыс., повторно 300-500 тыс.

• ч.11
• неуведомление Роскомнадзора об утечке
• 1-3 млн
• 400-800 тыс.

• ч.12
• утечка: 1-10 тыс. субъектов или 10-100 тыс. ID
• 3-5 млн
• 200-400 тыс.

• ч.13
• утечка: 10-100 тыс. субъектов или 0,1-1 млн ID
• 5-10 млн
• 300-500 тыс.

• ч.14
• утечка: более 100 тыс. субъектов или 1 млн ID
• 10-15 млн
• 400-600 тыс.

• ч.15
• повторная утечка по ч.12-14
• 1-3% выручки, 20-500 млн
• 800 тыс.-1,2 млн

• ч.16
• утечка специальных категорий ПД
• 10-15 млн
• 1-1,3 млн

• ч.17
• утечка биометрических ПД
• 15-20 млн
• 1,3-1,5 млн

• ч.18
• повторная утечка спецкатегорий или биометрии
• 1-3% выручки, 25-500 млн
• 1,5-2 млн

• Норма КоАП
• Нарушение
• Юридическое лицо
• Должностное лицо

• ч.10 ст.13.11
• неуведомление или несвоевременное уведомление Роскомнадзора об обработке ПД
• 100-300 тыс.
• 30-50 тыс.

• ст.19.7
• непредставление сведений в Роскомнадзор; применение к неуведомлению о ТПД спорно
• 3-5 тыс.
• 300-500

• ч.1 ст.13.11.3
• размещение и обновление биометрических ПД в ЕБС с нарушением закона
• 500 тыс.-1 млн
• 100-300 тыс.

• ч.2 ст.13.11.3
• нарушение порядка обработки биометрических ПД и векторов ЕБС
• 500 тыс.-1 млн
• 100-300 тыс.

• ч.3 ст.13.11.3
• необеспечение безопасности биометрических ПД в ЕБС или в биометрических системах
• 1-1,5 млн
• 300-500 тыс.

• ч.4 ст.13.11.3
• обработка биометрии и векторов ЕБС для аутентификации без аккредитации
• 1-2 млн
• 500 тыс.-1 млн

• ч.8 ст.14.8
• отказ потребителю в договоре из-за отказа от идентификации или аутентификации по биометрии
• 200-500 тыс.
• 50-100 тыс.

Субъекты

должностное лицо - ДЛ госоргана, муниципального органа или НКО

юридическое лицо - иной оператор

ИП в ч.1.1 и 8-18 приравнены к юридическим лицам

Отягчающие для ч.15 и ч.18

продолжение нарушения вопреки требованию прекратить его (п.1 ч.1 ст.4.3)

нарушитель подвергнут наказанию по ч.1-11 ст.13.11, ст.13.6 или 13.12 на момент нарушения

Обработчик и уведомления

за утечку у обработчика отвечает оператор, поручивший обработку

ч.10 формально не охватывает уведомления о ТПД, изменении сведений и прекращении обработки, но иногда к ним применяется

• 1
• Обратная сила

дискуссионно применение новых составов к нарушениям до 30.05.2025 с учетом ст.1.7 КоАП

• 2
• Идентификатор

как выделять ID среди иных сведений, определять уникальность, считать повторы в одной БД и квалифицировать ID вне ИСПД; не будет ли привязка к ID дестимулировать переход со сквозных идентификаторов на локальные

• 3
• Неуведомление об утечке

ч.11 касается только Роскомнадзора, но не ФСБ, и не отвечает, длящееся это нарушение или продолжаемое

• 4
• Расследование

по ч.1-2.1 и 12-18 при экспертизе и долгих процессуальных действиях обязательно административное расследование (ст.28.7), которое устанавливает и вину

• 5
• Подсудность

с 30.05.2025 дела по ст.13.11 рассматривали арбитражные суды, с 01.01.2026 они вернулись в суды общей юрисдикции (508-ФЗ от 28.12.2025), а принятые арбитражем до этой даты остались у него

Ловушка перехода

Давность

протокол, направленный в арбитражный суд в конце 2025 года, после передачи по подсудности поступил в районный суд за пределами годичного срока, и производство прекращено за давностью

01

Освобождение от ответственности

при малозначительности правонарушения, ст.2.9

02

Предупреждение

за впервые совершенное нарушение без вреда, угрозы вреда и ущерба, ч.1 ст.4.1.1 и ч.2 ст.3.4. В 2026 году мировые судьи дали его в 8 из 83 актов

03

Половина штрафа

при исключительных обстоятельствах, связанных с характером и последствиями нарушения и материальным положением ЮЛ, ч.3.2-3.3 ст.4.1

04

Минимальный штраф

по делам, выявленным при контроле, если предотвращены последствия, возмещен ущерб или устранен вред, ч.3.4-1 ст.4.1 и пп.5-6 ч.1 ст.4.2

Важно

широкое применение ст.2.9 и ч.3.2-3.3 ст.4.1 к ч.15 и ч.18 ст.13.11 маловероятно

оплата в течение 20 дней не дает скидки 50% (ч.1.3-3 ст.32.2)

организация и ее должностное лицо обычно отвечают параллельно, исключения - ч.4-5 ст.2.1, в том числе оборотные штрафы по ч.15 и ч.18

см. п.21 постановления Пленума ВС РФ от 24.03.2005 № 5

Штраф снижается до одной десятой минимального размера, но не менее 15 и не более 50 млн ₽, если одновременно выполнены все условия:

1

Расходы на ИБ

не менее 0,1% годовой выручки в каждом из трех предшествующих лет на мероприятия, проведенные лицензиатами ФСТЭК (ТЗКИ) или ФСБ (СКЗИ) либо самим оператором с лицензией

2

Подтверждение защиты

документально подтвержденное соблюдение требований к защите ПД в ИСПД в течение 12 месяцев до выявления нарушения

3

Нет отягчающих

отсутствуют отягчающие обстоятельства по примечанию 5 к ст.13.11: продолжение нарушения или действующее наказание по смежным составам

Открытые вопросы: засчитают ли сервисы и СЗИ не от лицензиатов и в какой форме подтверждать соблюдение требований к защите, практика пока не ответила

по утечкам работает редко и только по совокупности обстоятельств

впервые, при госконтроле, нет вреда и угрозы. По ч.13 практика расходится, апелляция 14.08.2026 сочла замену незаконной

исключительные обстоятельства, санкция от 100 тыс. ₽, не менее половины минимума

дело выявлено при контроле, вред предотвращен или добровольно возмещен

до 1/10 минимума, в пределах 15-50 млн ₽: ИБ не менее 0,1% выручки 3 года силами лицензиатов, подтверждение защиты за год, нет отягчающих

ОБЫЧНО НЕ РАБОТАЕТ

нас взломали без доказательств мер: дело РЖД (10.06.2026) помогает, только если меры показаны

утекшее не ПД: даже имя с телефоном относится к лицу

виноват подрядчик: перед субъектом отвечает оператор

данные устарели: статус ПД держится до уничтожения

работник осужден по ст.272.1 УК: организацию не освобождает

быстрая оплата: скидка 50% к ст.13.11 не применяется

• Четыре опоры защиты
• 1
• обстоятельства инцидента: масштаб, категории, экспозиция
• 2
• статус и поведение: впервые, признание, устранение
• 3
• меры до и во время: документы, ИБ, оценка вреда
• 4
• действия после: уведомления, оповещение, компенсации

• Норма
• Нарушение
• Гражданин
• Должностное лицо
• Юридическое лицо

• ч.2 ст.13.12
• использование несертифицированных информационных систем, баз данных и СЗИ, если сертификация обязательна
• 5-10 тыс.
• 10-50 тыс.
• 50-100 тыс.

• ч.6 ст.13.12
• нарушение требований о защите информации, кроме государственной тайны
• 5-10 тыс.
• 10-50 тыс.
• 50-100 тыс.

Также: срок давности по ст.13.12 увеличен до 1 года со дня совершения правонарушения, а наказание по ст.13.12 отягчает ответственность за повторную утечку

• Часть
• Состав
• Максимальное наказание

• ч.1
• незаконные использование, передача, сбор, хранение компьютерной информации с ПД, полученной неправомерным доступом или иным вмешательством
• штраф до 300 тыс. ₽ или дохода за 1 год, принудительные работы или лишение свободы до 4 лет

• ч.2
• то же с ПД несовершеннолетних, специальных категорий или биометрическими
• штраф до 700 тыс. ₽ или дохода за 2 года, принудительные работы или лишение свободы до 5 лет

• ч.3
• ч.1 или 2 из корыстной заинтересованности, с крупным ущербом, группой по сговору или с использованием служебного положения
• штраф до 1 млн ₽ или дохода за 3 года, принудительные работы до 5 лет, лишение свободы до 6 лет

• ч.4
• ч.1-3, сопряженные с трансграничной передачей ПД или перемещением носителей
• лишение свободы до 8 лет со штрафом до 2 млн ₽ и лишением права до 4 лет

• ч.5
• ч.1-4 с тяжкими последствиями или организованной группой
• лишение свободы до 10 лет

• ч.6
• создание или обеспечение работы ресурса, заведомо предназначенного для незаконного хранения или распространения ПД
• штраф до 700 тыс. ₽, принудительные работы или лишение свободы до 5 лет

Способ получения

ч.1-5 требуют, чтобы ПД были получены неправомерным доступом или иным вмешательством в средства обработки либо иным незаконным способом

Личные нужды

статья не применяется к обработке ПД физлицами исключительно для личных и семейных нужд

Трансграничность

наряду с передачей ПД учитывается перемещение машиночитаемого носителя с ПД через границу

Тяжкие последствия

собственного определения статья не содержит

Прогноз практики

при смягчающих обстоятельствах суды скорее выберут штраф и лишение права занимать должность, а лишение свободы оставят для масштабных и резонансных дел

п."е" ч.1 ст.61 УК о зависимости позволяет суду снизить категорию преступления (ст.15 УК)

в уголовном деле можно заявить гражданский иск о компенсации морального и имущественного вреда (ст.151, 1099 ГК, ст.44 УПК)

ориентир - постановление Пленума ВС РФ от 15.12.2022 № 37 о компьютерных преступлениях

В диспозиции части 1 проектной статьи 272.1 УК РФ отсутствуют криминообразующие признаки, позволяющие отграничить соответствующее преступление от противоправных действий, предусмотренных статьей 13.11 КоАП РФ...

Отзыв Верховного Суда РФ на законопроект от 11.01.2023 № 4-ВС-79/23, заместитель Председателя ВС РФ В.А. Давыдов

Различия

• 1
• в КоАП ответственным лицом назван оператор, в УК нет

• 2
• КоАП говорит об информации с ПД, УК о компьютерной информации с ПД

Риск

одно и то же деяние может быть квалифицировано и как правонарушение, и как преступление, в т.ч. в зависимости от субъективной оценки его общественной опасности

Фокус на субъективной стороне: уголовно наказуемой должна быть обработка ПД для цели, прямо запрещенной законом. Противоправная обработка ПД ради изначально законной цели, например исследовательской, не должна квалифицироваться как преступление

Опора

Пленум ВС РФ № 58 от 22.12.2015

характер общественной опасности определяется уголовным законом и зависит от направленности деяния на охраняемые им ценности и от причиненного вреда

Уголовная ответственность

обработка ради запрещенной цели: продажа баз, мошенничество, преследование

Административная ответственность

нарушение правил обработки при законной цели деятельности

ЗОНА КОНКУРЕНЦИИ

Кому грозит ответственность

тем, кто незаконно использует, передает, собирает и хранит ПД, доступ к которым получен неправомерно

тем, кто создает и обеспечивает работу ресурсов, где такая информация хранится и распространяется

Неправомерный доступ

незаконное воздействие на серверы, компьютеры и сети для нарушения обработки и хранения ПД

например взлом, незаконное проникновение и кража

ИБ-специалисты

для расследования утечек им приходится иметь дело с незаконно распространяемыми данными

закон допускает такую обработку, например для защиты жизни, здоровья и иных интересов граждан

923

преступления по ст.272.1

зарегистрировано за 10 месяцев 2025 года, раньше многие квалифицировали по ст.137, 272, 274 УК

Кого привлекают

работников салонов связи, сотрудников правоохранительных органов, МФЦ и налоговых служб, курьеров банков, медиков

DPO

случаев привлечения DPO не отмечено; должность важна только для специальных составов

Боты и брокеры

под ответственность попадают владельцы ботов для поиска данных, например Userbox, и серые дата-брокеры

Типичные деяния

слив данных конкретному лицу, схемы с сим-картами, продажа сканов паспортов, фото с экранов компьютеров

• Статья УК
• Что сделано
• Кто
• Итог

• ч.5 ст.274.1
• атака на систему бронирования авиабилетов, завладение ПД пассажиров
• два вице-президента разработчика системы
• дело возбуждено в 2024 году

• ч.5 ст.274.1
• установил ПО удаленного доступа к медсистеме "ПроМед" для ритуального агентства
• системный администратор станции скорой помощи, Астрахань
• 5 лет условно

• п."г" ч.3 ст.272.1
• передал посторонним ПД заслуженного артиста и еще одной абонентки
• сотрудник салона связи, Кировск
• дела возбуждены

• ст.272.1
• 36 запросов за три месяца и продажа данных абонентов за криптовалюту
• сотрудник салона связи, Новосибирск
• дело по материалам ФСБ

• п."г" ч.3 ст.272.1
• передавал знакомым сведения из единого реестра недвижимости
• начальник отдела филиала публично-правовой компании, Карелия
• дело возбуждено СК

• ч.2 ст.272.1
• сфотографировала экран с диагнозом пациентки и разослала в мессенджере
• уборщица районной больницы, Свердловская область
• штраф 10 тыс. ₽

Тренд: в этой выборке большинство дел возбуждено против сотрудников с доступом к данным, а не против внешних хакеров

• Статья УК
• Что сделано
• Кто
• Итог

• ч.3 ст.272.1
• сообщила ФИО и адрес абонента третьему лицу по телефону и в мессенджере
• специалист телеком-компании, Хакасия
• дело возбуждено МВД

• ч.3 ст.272.1
• продал мошенникам данные более 27 тыс. человек
• руководитель колл-центра МФЦ и медучреждений, Череповец
• заключен под стражу

• ст.272.1
• сервис продажи доступа к утекшим базам: подписка порой дороже 1 млн ₽ в месяц, изъято более 25 ТБ
• организатор и его техподдержка
• под стражей

• ч.3 и 5 ст.272.1
• регистрация более 1500 сим-карт по купленным сканам паспортов
• трое партнеров оператора связи, Красноярский край
• дело возбуждено

• ч.2 ст.183; п."г" ч.3 ст.272.1
• сбор налоговой тайны и передача ПД третьим лицам
• налоговый инспектор (ст.183) и сотрудница казначейства (соучастие и ст.272.1), Калуга
• дело возбуждено СК

• ч.5 и 6 ст.272.1
• Telegram-бот "Юзер Бокс" (Userbox) распространял ПД из утечек
• создатель и администратор бота, Санкт-Петербург
• обвинение предъявлено

Пример: дело Userbox показывает, что ч.6 ст.272.1 применяют к создателям ресурсов, а не только к тем, кто передает конкретные записи

135

утечек в 2024

710 млн записей

168

утечек в 2023

300 млн записей

140

утечек в 2022

600 млн записей

2023 год

4,6 млн ₽ штрафов

39 внеплановых проверок, в 37 утечки подтвердились, 122 протокола, по 87 из них назначены штрафы по ч.1 и ч.2 ст.13.11

вместо штрафа нередко назначали предупреждение (ст.4.1.1) или освобождали от ответственности за малозначительностью (ст.2.9)

практика шла по пути объективного вменения: оператора привлекали за утечку без установления вины (ст.2.1)

16

административных расследований

по фактам неправомерной передачи ПД, повлекшей нарушение прав субъектов

15

утечек подтверждено

территориальными органами Роскомнадзора

ч.1, 12, 13

ст.13.11 КоАП

составы, по которым составлены протоколы

Новое: протоколы составлены и по новым составам ч.12 и ч.13 с санкциями от 3 и от 5 млн ₽ для юридических лиц

Распределение по составам ст.13.11

• Составы
• Доля

• ч.1-1.1: незаконная обработка и небольшие утечки
• почти 2/3

• ч.3-6: политика, права субъектов, требования РКН, ручная обработка
• около 1/5

• ч.2-2.1: нет обязательного письменного согласия
• единицы %

• ч.8-9: нелокализация баз с ПД
• единицы %

Предупреждения

больше половины дел 2025 года закончились предупреждением, а в 2026 году у мировых судей 8 из 83 актов

Инициаторы

около трех четвертей дел начинает Роскомнадзор, остальные прокуратура

Кого привлекали

банки, телеком, госучреждения, школы, больницы, цифровые сервисы, УК, ТСЖ и СНТ, физлица

Новые спецсоставы

в 2025 году крупных штрафов не было, в 2026 арбитраж дал 400 тыс. ₽ по ч.14 (ЮКИДС) и предупреждение по ч.13

• Дело
• Состав
• Итог
• Что важно

• ЮКИДС, А40-351064/2025
• ч.14
• 400 тыс. ₽
• микропредприятию штраф снижен по ст.4.1.2 до ставки должностного лица, замены предупреждением нет, 9 ААС 03.06.2026 оставил

• Орион Телеком, А19-25808/2025
• ч.13
• предупреждение
• впервые и без вреда, 4 ААС 14.08.2026 оставил

• МК НАКФФ, 05-1258/252/2026
• ч.16
• 5 млн ₽
• утечка данных пациентов: штраф снижен для среднего предприятия, сумма в копии обезличена, по имеющимся сведениям 5 млн ₽ при минимуме 10 млн ₽, в силе с 15.09.2026

• МГЭУ, 05-669/2026
• ч.1
• 150 тыс. ₽
• утечку данных 2486 абитуриентов квалифицировали по ч.1, хотя субъектов больше тысячи

• Ростелеком, А56-82945/2025
• чч.1, 12
• не привлечен
• кассация 02.10.2026: оператор отвечает за подрядчика, но срок давности истек

Спор: граница ч.1 и ч.12 не устоялась: утечки ниже порогов идут по ч.1, а прежние утечки через подрядчика суды то выводят из ч.1, то возвращают. Объем затронутых данных фиксируют сразу после инцидента

Девятый ААС 16.02.2026, АС МО 10.06.2026, № А40-263206/2025

Штраф 150 тыс. ₽ отменен

Роскомнадзор нашел в Telegram-каналах базу сотрудников РЖД более 17 млн строк: ФИО, должности, email. Первая инстанция оштрафовала по ч.1 ст.13.11. РЖД сослались на целенаправленную атаку, по ч.1 ст.272.1 УК возбуждено уголовное дело

Ключевые выводы

сам факт утечки не равен вине компании, административная ответственность наступает только при вине (ч.2 ст.2.1 КоАП)

Роскомнадзор обязан доказать, какие меры компания могла, но не приняла

если воля компании направлена на защиту, а вред нанесли преступники, вины оператора в административном смысле нет

вывод о вине преждевременен, пока не завершено уголовное дело о взломе; геополитический фон снижает степень вины

Важно: это вывод по конкретному делу: в делах Комлайн, ПКР Аналитика и Орион суды признали вину операторов, несмотря на кибератаки и статус потерпевшего

ВС РФ, 21.01.2026, № 5-АД25-119-К2

Штраф 100 тыс. ₽ по ч.1 ст.13.11

В ноябре 2023 года в сеть утекли данные сотрудников министерства и их родственников. Минтруд ссылался на взлом инфраструктуры подрядчика, который не обеспечил защиту

Ключевые выводы

статус оператора обязывает принимать организационные и технические меры защиты, передача обработки подрядчику не снимает ответственности

министерство не уведомило Роскомнадзор само и подтвердило утечку только после запроса регулятора, это расценено как бездействие

нет доказательств внутреннего контроля и аудита соответствия обработки требованиям ст.18.1, 19 и 22.1 152-ФЗ

АС СПб и ЛО, 26.02.2026, № А56-4733/2026

Предупреждение по ч.13 ст.13.11

В августе 2025 года после кибератаки в Telegram попала база интернет-ресурса: 70 тыс. представителей и сотрудников юрлиц, ФИО, должность, служебные email и телефон. Компания вовремя направила первичное и вторичное уведомления

Ключевые выводы

суд отказал приостановить дело из-за проверки в полиции: выписка КУСП не равна постановлению о возбуждении уголовного дела

вина признана, но за первое нарушение штраф заменен предупреждением по ст.4.1.1 КоАП даже при 70 тыс. субъектов

суды первой инстанции продолжают объективное вменение и требуют от оператора доказать все возможные меры защиты

АС Кемеровской области 28.04.2026, Седьмой ААС 27.08.2026, № А27-23786/2025

Предупреждение по ч.12 ст.13.11

В июне 2025 года группировка BO_Team_UA скомпрометировала данные 4 225 абонентов: ФИО, паспорта, адреса, телефоны. Отчет BI.ZONE, заказанный самим оператором, показал активную учетку уволенного в 2022 году сотрудника, пароли с 2019 года и уязвимое ПО

Ключевые выводы

уголовное дело по ст.272.1 против хакеров не освобождает оператора, составы разграничивают ответственность злоумышленника и оператора

статус объекта КИИ 3 категории не дает права на утечку

затягивание процесса и позднее ходатайство об экспертизе суд расценил как злоупотребление правом

санкция 3-5 млн ₽ заменена предупреждением: МСП и первое нарушение

Коммуникация: компания сначала называла инцидент DDoS-атакой и отрицала утечку, а признала ее только после публикации базы

АС Иркутской области 12.05.2026, Четвертый ААС 14.08.2026, № А19-25808/2025

Предупреждение по ч.13 ст.13.11

База опубликована в Telegram 29.07.2025. Защита настаивала, что проникновение 30.05.2025 не позволяет применить ч.13. Компания - потерпевший по уголовному делу по ст.272, 273 и 272.1 УК

Ключевые выводы

состав материальный: нарушение окончено в момент неправомерной передачи, то есть публикации базы

ст.272.1 УК наказывает злоумышленника, ст.13.11 КоАП - неисполнение оператором обязанностей по защите, составы разграничены

вопрос вины правовой, поэтому в экспертизе о степени вины суд отказал

апелляция: утечка паспортных данных, адресов и телефонов - существенное нарушение прав, условий ч.2 ст.3.4 для предупреждения нет

Итог: наказание не ужесточили только из-за истечения годичной давности, отсчитанной от публикации базы. Практика по предупреждениям при объемных утечках разошлась

• 1
• Закрытые заседания

допустимы, когда в деле детали ИТ-инфраструктуры и результаты внутренних аудитов ИБ

• 2
• Вина признана

по всем делам компании привлечены за необеспечение защиты ПД, наказание "иное" - предупреждение

• 3
• Подмена понятий

пресс-релиз о "невиновности в распространении" подменил предмет: судили не за распространение, а за необеспечение безопасности

Привлечены к ответственности

6 компаний, 8 решений

ООО "Орион Телеком", Красноярск: А33-29341/2025, А33-29658/2025, А33-29660/2025

ООО "Орион Телеком", Красноярский край

ООО "КрисТелеком"

ООО "45 КА"

ранее: ООО "Комлайн" и ООО "Орион Телеком", Иркутск

АС г. Москвы, 07.11.2025, № А40-236948/2025

Отказ ИП в требованиях

ИП оспорил отказ Управления Роскомнадзора по ЦФО возбудить дело против администратора Otzovik.com, где был отзыв с его данными и порочащими сведениями

Ключевые выводы

ФИО частично скрыты звездочками, это исключает идентификацию

адрес в отзыве относится к складу в Москве, а заявитель зарегистрирован в Туле

заявитель не доказал связь с компанией из отзыва

площадка - информационный посредник и не отвечает за чужие публикации без знания о незаконности (постановление КС РФ от 09.07.2013 № 18-П)

Савеловский районный суд, 16.07.2025, № 02-2324/2025

Согласие не требовалось

В трудовом споре работница заявила, что работодатель незаконно передал ее ПД компании, ведущей бухгалтерский и налоговый учет, и арендодателю офиса для оформления пропуска

Ключевые выводы

работодатель вправе обрабатывать ПД работника без отдельного письменного согласия, если это нужно для исполнения трудового договора и обязанностей работодателя

опора - ч.1 ст.86 ТК РФ и п.5 ч.1 ст.6 152-ФЗ

Практика: передача обработчику по поручению или для пропускного режима остается в рамках договорного основания

А74-10378/2025

Что запросил суд

Роскомнадзор описывает меры, которые общество должно было, но не приняло

ответчик описывает и документально подтверждает принятые меры защиты

А33-29369/2025

Что запросил суд

Роскомнадзор оценивает доводы о системах защиты, обосновывает дату доступа к ИСПД и момент окончания правонарушения

ответчик доказывает принятие всех необходимых превентивных мер

Вывод: доказательства мер защиты собирают до инцидента: после утечки их уже не создать

АС г. Москвы 10.12.2025, Девятый ААС 14.04.2026, АС МО 08.07.2026, № А40-201075/2025

В привлечении отказано в трех инстанциях

Роскомнадзор по данным своей системы АС МПД считал DLBI посредником, дающим доступ к нелегальным базам без оснований (ч.1 ст.13.11). DLBI разделил обработку данных посетителей сайта и поисковый алгоритм, который работает с хешами, и предоставляет проверку через партнеров

Ключевые выводы

сервис обрабатывает не ПД, а данные, в которых ищутся признаки ПД пользователей

Роскомнадзор не доказал, что анализируемые сведения являются охраняемыми законом ПД

деятельность DLBI соответствует мировой практике и направлена на предупреждение утечек

Значение: Роскомнадзор проиграл, потому что не доказал, что анализируемые сведения являются ПД; модель сервиса суд отдельно не оценивал

...по итогам анализа, возможно, появится более дифференцированная шкала в отношении различных юрлиц...

Андрей Клишас, глава Комитета Совета Федерации по конституционному законодательству и государственному строительству, 26.11.2024

Что обсуждалось

• 1
• разные наказания для крупных и небольших банков

• 2
• дискуссия с отраслевыми лоббистами продолжается

За чем следить

• 1
• практику по ч.15 и ч.18 ст.13.11 КоАП

• 2
• применение ч.3.4-2 ст.4.1 КоАП о снижении оборотного штрафа

01

Утечка стоит миллионы

с 30.05.2025 штраф зависит от масштаба, категории данных и повторности, а повторная утечка стоит до 3% выручки

02

Вина снова в фокусе

по РЖД суды потребовали доказать вину оператора, но в большинстве дел о кибератаках вину признают

03

Предупреждение - не победа

это наказание: год лицо считается подвергнутым ему, что отягчает ответственность по ч.15 и ч.18 (прим.5 к ст.13.11)

04

Доказательства мер заранее

расходы на ИБ, подтверждение соблюдения требований и расследование готовят до инцидента

05

Уголовный риск у инсайдеров

ст.272.1 УК чаще всего применяют к сотрудникам с легальным доступом к данным