Штрафы за персональные данные в 2026: почему «до 75 000 ₽» — устаревшая цифра, и что грозит работодателю на самом деле

Представьте: бухгалтер по ошибке отправил таблицу с паспортными данными сотрудников не туда. Ещё пару лет назад это грозило компании штрафом в несколько десятков тысяч рублей — неприятно, но терпимо. С 30 мая 2025 года та же ситуация может стоить миллионы, а при повторе — процент от годовой выручки. Самое опасное: многие памятки, статьи и даже описания курсов в интернете всё ещё показывают старые суммы — и создают ложное чувство безопасности.

Разберёмся без паники, но честно: что реально изменилось в законе, сколько стоят нарушения сейчас и что работодателю сделать, чтобы спать спокойно.

Что произошло: закон, который всё изменил

30 ноября 2024 года был принят Федеральный закон № 420-ФЗ, который кардинально ужесточил ответственность за нарушения с персональными данными. Новые нормы статьи 13.11 КоАП РФ вступили в силу 30 мая 2025 года. До этого штрафы для юрлиц измерялись десятками тысяч рублей — теперь миллионами, а за повторные утечки введены оборотные штрафы (процент от выручки). Кроме того, с 1 января 2026 года дела по статье 13.11 КоАП РФ рассматривают мировые судьи.

Коротко, как менялись правила:

Сколько стоят нарушения сейчас

Выберите ситуацию — и посмотрите актуальный размер ответственности (для ИП и юрлиц):

А чтобы прикинуть, чем рискует именно ваша организация, воспользуйтесь калькулятором: выберите, кто нарушитель, тип нарушения и было ли оно повторным. Все суммы — по действующей редакции статьи 13.11 КоАП РФ (с изменениями ФЗ № 420-ФЗ от 30.11.2024).

Отдельно появилась ответственность за нарушения с биометрией (новая ст. 13.11.3 КоАП РФ): за неправомерную обработку и работу без аккредитации.

Кого это касается

Практически любого работодателя. Как только вы принимаете сотрудника, вы обрабатываете его персональные данные (паспорт, СНИЛС, адрес, зарплата) и становитесь оператором персональных данных по Федеральному закону № 152-ФЗ. А значит, на вас распространяются и обязанности, и ответственность — независимо от размера компании.

Что сделать работодателю: чек-лист

Хорошая новость: чтобы не попасть на штраф, нужен не героизм, а порядок. Базовый минимум для работодателя:

• Назначен ответственный за организацию обработки персональных данных
• Разработана и опубликована политика обработки ПДн
• Подано уведомление в Роскомнадзор о намерении обрабатывать ПДн
• Собраны согласия работников на обработку их данных
• Настроен порядок уведомления Роскомнадзора об утечке в течение 24 часов
• Приняты технические и организационные меры защиты (разграничение доступа, инструктаж сотрудников)

Большинство штрафов — не за «злой умысел», а за отсутствие этих базовых документов и процессов. Именно их и помогает выстроить обучение по защите персональных данных.

Где обновить знания и какой документ выдают

Тема меняется быстро: только за 2024–2025 годы поменялись и штрафы, и порядок уведомлений. Поэтому ответственному за персональные данные (часто это кадровик или юрист) важно учиться по актуальной программе, а не по методичке трёхлетней давности.

1. Выберите программу по организации защиты персональных данных в лицензированном центре ДПО.
2. Учитесь дистанционно — без отрыва от работы.
3. Сдайте итоговую аттестацию и получите удостоверение установленного образца; сведения вносятся в ФИС ФРДО.

Отдельного «государственного образца» для программ ДПО закон не предусматривает (ст. 76 ФЗ-273): юридическую силу даёт лицензия учебного центра и запись в ФИС ФРДО — общероссийском реестре Рособрнадзора.

Программы по защите персональных данных и смежным темам — в разделе «Управление персоналом и HR».