Ответственность за нарушения при обработке персональных данных

Фраза «нарушили закон о персональных данных» не определяет ни часть статьи, ни размер санкции. Для квалификации устанавливают юридически значимые факты: какая обязанность существовала, какое действие или бездействие совершено, кем, в какой период и какие последствия прямо предусмотрены составом.

Например, отсутствие уведомления Роскомнадзора о начале обработки относится к части 10 статьи 13.11. Неуведомление о квалифицируемом инциденте — к части 11. Неправомерная передача данных определённого масштаба проверяется по частям 12–14, а затрагивание специальных или биометрических данных — по частям 16 и 17. Эти составы нельзя свести к одной строке «штраф за утечку».

Состав части 1 охватывает обработку в случаях, не предусмотренных законом, либо обработку, несовместимую с целями сбора, если нет специального состава и признаков уголовно наказуемого деяния. Часть 2 относится не к любому отсутствию галочки, а к случаям, когда закон требует письменного согласия, либо к нарушению требований к содержанию такого согласия.

Квалификация включает:

1. норму, устанавливающую обязанность;

2. фактическое действие или бездействие;

3. субъект ответственности;

4. форму вины по общим правилам КоАП РФ;

5. последствия, если они являются обязательным признаком;

6. период и повторность;

7. отсутствие либо наличие специального состава;

8. доказательства, подтверждающие или опровергающие нарушение.

Одинаковая часть статьи предусматривает разные санкции для граждан, должностных лиц, предпринимателей и юридических лиц. При этом примечания к статье 13.11 устанавливают специальные правила для индивидуальных предпринимателей и для частей 10–18.

Для частей 1.1 и 8–18 индивидуальные предприниматели несут ответственность как юридические лица. Для иных частей нужно учитывать прямой текст санкции и общие правила КоАП РФ. Нельзя автоматически переносить размер для юридического лица на директора либо считать предпринимателя гражданином.

В частях 10–18 под должностным лицом статья понимает должностное лицо государственного или муниципального органа либо некоммерческой организации. Под юридическим лицом для этих частей понимается оператор — юридическое лицо, которое не является государственным или муниципальным органом либо некоммерческой организацией. Поэтому таблицу нужно читать вместе с примечаниями, а не только с абзацем о размере штрафа.

Отдельно устанавливается, кто фактически являлся оператором. Технический подрядчик, владелец сайта, головная компания и отдельное юридическое лицо группы могут выполнять разные функции. Договорное название «обработчик» или «исполнитель» не освобождает лицо от самостоятельной ответственности, если оно определяло собственные цели обработки.

Ниже приведены действующие на 16 июля 2026 года размеры основных административных штрафов. Суммы относятся к конкретным частям статьи и не означают, что при любом несоответствии автоматически назначается максимум.

Таблица не охватывает все возможные составы КоАП РФ и специальные нормы для отдельных технологий. Перед выводом проверяется редакция кодекса, действовавшая на дату события, поскольку применимость санкции определяется не только датой публикации материала.

Меры соответствия — политика, уведомление, договоры, журналы запросов, приказы, обучение и технические меры — не являются автоматическим освобождением от ответственности. Их значение зависит от того, какую обязанность они подтверждают, были ли реально внедрены и связаны ли с конкретным нарушением.

Части 11–18 образуют отдельную систему ответственности за неуведомление об инциденте, неправомерную передачу данных, специальные и биометрические категории, а также повторность. Для частей 12–14 учитывается число субъектов и (или) идентификаторов.

Под идентификатором для статьи 13.11 понимается уникальное обозначение сведений о физическом лице, содержащееся в информационной системе персональных данных оператора и относящееся к этому лицу. Нельзя считать количество идентификаторов по произвольной внутренней методике без связи с законодательным определением и структурой конкретной системы.

Неправомерная передача должна быть следствием действий или бездействия оператора и не содержать признаков уголовно наказуемого деяния для применения частей 12–14, 16 и 17. Сам факт размещения базы злоумышленником не освобождает от проверки действий оператора, но и не означает автоматической доказанности всех элементов административного состава.

Часть 11 может проверяться независимо от части, относящейся к самой передаче данных. Поэтому своевременное уведомление не исключает ответственности за событие, а отсутствие уведомления не заменяет доказательство неправомерной передачи конкретного масштаба.

Оборотный штраф не применяется только потому, что у оператора произошло два технических события. Нужно установить, что новое правонарушение совершено лицом, уже подвергнутым административному наказанию за перечисленные в соответствующей части составы, и что сохраняется период, в течение которого лицо считается подвергнутым наказанию.

Для части 15 повторность связана с новым правонарушением по частям 12–14 и предыдущим наказанием за части 12–14, 16–18 либо саму часть 15. Для части 18 новое нарушение относится к специальным или биометрическим данным, а перечень предыдущих составов определён её текстом.

При расчёте оборотной санкции для юридического лица используется процент совокупной выручки от реализации товаров, работ и услуг за установленный законом период либо размер собственных средств кредитной организации. Закон одновременно устанавливает минимальные и максимальные границы. Конкретный расчёт требует бухгалтерских данных, определения надлежащего периода и проверки специальных правил назначения наказания.

Нельзя обещать снижение штрафа только на основании наличия документов или расходов на информационную безопасность. КоАП РФ предусматривает правила назначения наказания, смягчающие и отягчающие обстоятельства, но их применимость оценивается по материалам дела. Статус малого предприятия, первичность, устранение последствий и сотрудничество с органом не следует представлять как автоматическое основание для предупреждения или фиксированного снижения.

Статья 272.1 УК РФ регулирует незаконные использование, передачу, сбор или хранение компьютерной информации, содержащей персональные данные, а также создание и обеспечение функционирования информационных ресурсов для её незаконного оборота при наличии предусмотренных нормой признаков. Она не устанавливает автоматическую уголовную ответственность оператора или директора за любую утечку.

Для уголовной квалификации исследуются умышленный характер действий, предмет, способ, цель, роль конкретного лица, квалифицирующие обстоятельства и отсутствие оснований для иной правовой оценки. Техническая атака на оператора, случайная ошибка работника и умышленная продажа базы — разные фактические ситуации.

Административные части 12–14, 16 и 17 прямо применяются при отсутствии признаков уголовно наказуемого деяния. Это означает необходимость разграничения, а не свободный выбор между КоАП РФ и УК РФ. Материалы технического расследования, переписка, права доступа, денежные потоки и действия после события могут иметь значение для оценки конкретного лица.

**Пример ситуации:** внешний злоумышленник получил доступ к базе, а оператор не обеспечил предусмотренные меры. Действия злоумышленника и возможная административная ответственность оператора оцениваются раздельно. Нельзя автоматически утверждать, что руководство оператора совершило преступление только из-за факта атаки.

**Другой пример ситуации:** работник сознательно выгрузил базу и передал её за вознаграждение. Здесь проверяются его умысел и признаки статьи 272.1 УК РФ, а также действия оператора, связанные с организацией обработки и защиты. Один процесс расследования может содержать несколько правовых линий, но ответственность каждого лица требует собственных доказательств.

Правовая позиция строится не на количестве локальных актов, а на доказательствах исполнения конкретной обязанности. Документ, созданный после события задним числом, не подтверждает существование процедуры в проверяемый период и может ухудшить доверие к остальным материалам.

Перед публикацией и при реальном разногласии суммы, номера частей, редакция норм и подведомственность проверяются повторно на соответствующую дату. Эта статья показывает структуру квалификации, но не заменяет анализ протокола, материалов проверки и конкретных обстоятельств.