Штрафуют иностранцев, своих предупреждают: за 8 месяцев в России завели 222 дел по нарушениям в сфере персональных данных

SecPost ознакомился с презентацией Privacy Advocates «Актуальные тренды регулирования персональных данных в РФ», материал также затрагивает перспективы регулирования в 2026–2028 годах. Презентация была опубликована в сентябре 2026 года.

Судя по данным Privacy Advocates, с января по август 2026 года в РФ за нарушение законодательства в области персональных данных (статья 13.11) было возбуждено 222 дела, медианный штраф по делам у мировых судей составил 150 тыс. рублей, в арбитражных — 75 тыс. рублей.

Из 222 дел более половины (150) касались обработки персональных данных без правового основания, 33 дела — отсутствия локализации баз данных, 12 — утечек данных и 27 дел пришлись на прочие части статьи 13.11 (части 2, 4, 5, 10). За повторную нелокализацию серверов с персональными данными россиян было выписано штрафов на сумму 6 млн рублей для иностранных операторов. Среди иностранных организаций были оштрафованы дайвинговые ассоциации PADI, NAUI, AIDA и др.

Также в исследовании Privacy Advocates отмечен тренд по итогам неполного 2026 года: арбитражные суды заменяют штраф (в двух случаях из трех) на предупреждение, в качестве примера было приведено дело об утечке данных телеком-оператора «Орион Телеком». О том, что оператор избежал штрафа из-за утечки данных полумиллиона абонентов после атаки группировки Bo Team, SecPost сообщал в середине мая.

Пояснения юристов

Оценить динамику дел по статье 13.11 о персональных данных почти невозможно, так как за полтора года подсудность по этой статье менялась дважды, объясняет SecPost юрист коллегии адвокатов Pen & Paper Анна Лысенко. Так, с 30 мая 2025 года дела данной категории ушли в арбитражные суды, а с 28 декабря 2025 года закон № 508-ФЗ вернул их мировым судьям, лишив бизнес возможности дойти до экономколлегии Верховного Суда.

«Арбитражная практика видна целиком, так как все акты лежат в картотеке, практика мировых судей публикуется фрагментарно. Поэтому любое «снижение» числа дел — это во многом статистический эффект: дела не исчезли, они перешли туда, где их труднее посчитать», — подчеркивает она.

При этом юрист отмечает, что структура нарушений не поменялась: две трети дел касаются не громких утечек, а обработки данных без правового основания (нет корректного согласия, цели обработки не совпадают с фактическими, собирается лишнее). По данным Лысенко, за полтора года Роскомнадзор провёл 52 административных расследования, составил 40 протоколов и назначил 2,6 млн рублей штрафов, при этом протоколы по ч. 15 ст. 13.11 (повторная утечка) не составлялись вовсе: «оборотные штрафы, которыми пугали рынок, пока не применялись ни разу».

Юрист коллегии адвокатов Pen & Paper подчеркивает, что замена штрафа предупреждением — это не индульгенция, а отложенный риск. По ее словам, в течение года компания считается привлеченной по статье 4.6 КоАП (срок, в течение которого лицо считается подвергнутым административному наказанию). «Следующее нарушение будет уже повторным, а повторность в ст. 13.11 — это самые тяжёлые составы: до 18 млн рублей за нелокализацию и оборотный штраф от 1 до 3% совокупной выручки за повторную утечку, поэтому предупреждение риск не снимает, оно его взводит».

Также она добавляет, что статья 4.1.1 (замена административного наказания в виде административного штрафа предупреждением) доступна не всем, так как нужен статус МСП (малое и среднее предприятие), первичность нарушения и отсутствие вреда. Поэтому иностранные операторы (PADI, NAUI, AIDA) на неё не претендуют в принципе, из-за этого им выписывают деньги, а не предупреждения.

По совету Анны Лысенко, компаниям необходимо проверить уведомление от Роскомнадзора, провести ревизию оснований обработки данных, составить карту потоков данных и понять, где физически лежит первичная база, а также заранее собрать «пакет на 4.1.1»: подтверждение статуса МСП, отсутствие прошлых наказаний, доказательства оперативного устранения.