В настоящее время прослеживается тенденция ужесточения государством политики в области защиты персональных данных, речь идет об ужесточении как требований к обработке персональных данных, так и ответственности за нарушения законодательства о персональных данных, вплоть до уголовной по ст. 272.1 УК РФ за использование, передачу, сбор или хранение компьютерной информации, содержащей персональные данные, полученной незаконным путем. В качестве наказания предусмотрено лишение свободы от 4 до 10 лет в зависимости от квалифицирующих признаков деяния.

При этом, под компьютерной информацией понимаются любые сведения, представленные в форме электрических сигналов, независимо от средств их хранения, обработки и передачи (примечание к ст. 272 УК РФ). Если сегодня вся информация передается и получается в электронном виде, то риски выполнения объективной стороны состава преступления стремятся к ста процентам, если используемые сведения получены незаконным путем.

Персональные данные – это любая информация, относящаяся прямо или косвенно к определенному или определяемому физическому лицу (субъекту персональных данных). То есть это определенный набор данных, позволяющих прямо или косвенно определить конкретного человека. Косвенный характер не предполагает необходимости однозначного установления имени конкретного лица. Данных, которые описывают индивидуальные характеристики человека, позволяющие его выделить из определенного круга лиц, достаточно, чтобы отнести их персональным и попасть под регулирование Федерального закона от 27.07.2006 N 152-ФЗ «О персональных данных».

Специалисты насчитывают порядка 200 (двухсот) категорий данных, которые могут быть отнесены к персональным, и это не только известные всем фамилия, имя, отчество, дата и место рождения, гражданство, адрес места жительства или пребывания, сведения о документе, удостоверяющем личность, номер телефона, адрес электронной почты, сведения о семье, состоянии здоровья, трудовой деятельности и доходах.

При определенных обстоятельствах к персональным данным могут быть отнесены: сведения о приобретении и использовании продукции или информационных материалов, сведения о веб-браузере пользователя, Интернет-подключении, посещении Интернет-ресурсов, запросах в системах искусственного интеллекта, геолокация, и даже такие неожиданные сведения, как сведения о питомцах, бытовой технике, данные дыхания и движения губ, данные о расходе топлива, пробеге, и манере управления транспортным средством.

Правильное определение набора персональных данных, целей их обработки, политика обработки персональных данных, грамотная передача третьему лицу персональных данных, внедрение систем и технических средств защиты персональных данных, внедрение внутреннего контроля и аудита за соблюдением оператором и его работниками законодательства Российской Федерации о персональных данных в рамках проведения процедур комплаенса помогает свести к минимуму риски привлечения к ответственности за нарушения, которая наступает как за виновное действие, так и за виновное бездействие оператора.

Как известно, юридического лицо считается виновным в совершении административного правонарушения, если им не приняты все зависящие от него меры по соблюдению требований действующего законодательства (ч. 2 ст. 2.1. КоАП РФ). Поэтому непринятие вышеописанных мер – это риск административной ответственности не только за формальное нарушение закона, но за случайную утечку персональных данных.

Поручение обработки персональных данных третьему лицу не исключает ответственности оператора (ч. 5 ст. 6 Федерального закона от 27.07.2006 N 152-ФЗ «О персональных данных»). Так, в одном из дел Министерство труда и социальной защиты Российской Федерации было привлечено к административной ответственности в виде административного штрафа именно за утечку персональных данных в инфраструктуре подрядной организации (Постановление Верховного Суда РФ от 21.01.2026 N 5-АД25-119-К2).

Не в целях пересказа санкций норм КоАП РФ, но в целях акцента на размер возможных затрат предприятия на погашение вмененных санкций приводится перечень нарушений и возможных денежных наказаний:
- за несвоевременное уведомление Роскомнадзора в течение 24 часов о факте утечки и 72 часов о результатах внутреннего расследования предусмотрен штраф от 1 000 000 до 3 000 000 рублей (ч. 11 ст. 13.11 КоАП РФ);
- за утечку персональных данных от 1000 до 10 000 субъектов персональных данных и (или) от 10 000 до 100 000 идентификаторов предусмотрен штраф от 3 000 000 до 5 000 000 рублей (ч. 12 ст. 13.11 КоАП РФ);
- за утечку персональных данных от 10 000 до 100 000 субъектов персональных данных и (или) от 100 000 до 1 000 000 идентификаторов предусмотрен штраф от 5 000 000 до 10 000 000 рублей (ч. 13 ст. 13.11 КоАП РФ);
- за утечку персональных данных более 100 000 субъектов персональных данных и (или) более 1 000 000 идентификаторов предусмотрен штраф от 10 000 000 до 15 000 000 рублей (ч. 14 ст. 13.11 КоАП РФ);
- за утечку специальной категории персональных данных предусмотрен штраф от 10 000 000 до 15 000 000 рублей (ч. 16 ст. 13.11 КоАП РФ);
- за утечку биометрических персональных данных предусмотрен штраф от 15 000 000 до 20 000 000 рублей (ч. 17 ст. 13.11 КоАП РФ).

За повторное совершение вышеуказанных административных правонарушений лицом, подвергнутым административному наказанию, предусмотрен оборотный штраф от 1 до 3 процентов от полученной годовой выручки, либо размера собственных средств (капитала) кредитной организации на дату совершения административного правонарушения, но не менее 25 000 000 рублей и не более 500 000 000 рублей.

Автономные, разработанные для конкретного предприятия, системы комплаенс, в том числе, комплаенс персональных данных, поможет систематизировать риски и принять в отношении каждого из них проактивные решения.