Персональные данные

Оборотные штрафы за утечку персональных данных: когда и сколько

Редактор ФТИ 6 октября 2026 7 мин чтения

Коротко

Оборотные штрафы по частям 15 и 18 статьи 13.11 КоАП назначают только за повторную утечку. Разбираем границы 20, 25 и 500 млн, расчёт на вымышленных цифрах и правило снижения штрафа в статье 4.1.

Коротко: оборотный штраф, то есть от 1 до 3 процентов выручки, КоАП предусматривает только за повторную утечку персональных данных. По части 15 статьи 13.11 сумма не меньше 20 и не больше 500 млн ₽, по части 18 — не меньше 25 и не больше 500 млн ₽. За первую утечку назначают фиксированные суммы: для организаций от 3 до 20 млн ₽. Для повторных случаев есть правило о снижении штрафа, но условия у него жёсткие, они описаны ниже.

Политика, согласия, локальные акты, приказ об ответственном · пишет юрист под ваши сайт и системы, правки включены

Порядок в документах под ваш бизнес: документы по 152-ФЗ — 9 900 ₽

Собрать пакет →

Главное

Оборотные штрафы — только части 15 и 18 статьи 13.11 и только за повторное правонарушение.
Размер: от 1 до 3 % выручки, но не меньше 20 млн ₽ (часть 15) или 25 млн ₽ (часть 18) и не больше 500 млн ₽.
Первая утечка наказывается фиксированной суммой по частям 12–14, 16 и 17.
Нижняя граница бьёт по небольшим компаниям: при малой выручке 20 млн ₽ составляют заметно больше трёх процентов.
Смягчение есть: статьи 4.2 и 4.1 КоАП, три условия части 3.4-2 должны выполняться одновременно. Условия жёсткие: среди них расходы на информационную безопасность у лицензированных организаций не менее 0,1 % выручки три года подряд, поэтому рассчитывать на снижение заранее нельзя.

Когда применяются оборотные штрафы

Обе части о повторе. Часть 15 применяется к тому, кто совершил утечку по частям 12–14, уже будучи наказанным за такие правонарушения. Часть 18 — то же для частей 16 и 17 (специальные категории и биометрия).

Часть	Кому уже назначалось наказание	Организации и ИП	Граждане	Должностные лица (госорган, НКО)
15	За части 12–14, 16–18 или за саму часть 15	1–3 % выручки, не менее 20 млн ₽, не более 500 млн ₽	400–600 тыс. ₽	800 тыс.–1,2 млн ₽
18	За части 12–17 или за саму часть 18	1–3 % выручки, не менее 25 млн ₽, не более 500 млн ₽	500–800 тыс. ₽	1,5–2 млн ₽

ИП по примечанию 1 отвечает как юридическое лицо. Для коммерческих организаций «юрлицо» — любое юрлицо, кроме госоргана и НКО (примечание 3). Человек считается подвергнутым наказанию, по общему правилу статьи 4.6 КоАП, со дня вступления постановления в силу до истечения года со дня окончания его исполнения.

С какой выручки считают

База — совокупная выручка от реализации всех товаров, работ и услуг. Берут календарный год, предшествующий году выявления правонарушения. Если в прошлом году компания ничего не реализовывала, берут часть календарного года до даты выявления. Для кредитных организаций вместо выручки называются собственные средства (капитал) на дату правонарушения.

Расчёт на вымышленных цифрах

Иллюстрация. Компании и цифры придуманы, расчёт сделан по тексту части 15 с нижней границей 20 млн ₽ и верхней 500 млн ₽.

Выручка за прошлый год	1 %	3 %	Итог по части 15
200 млн ₽	2 млн ₽	6 млн ₽	20 млн ₽ (действует нижняя граница)
1 млрд ₽	10 млн ₽	30 млн ₽	от 20 до 30 млн ₽
5 млрд ₽	50 млн ₽	150 млн ₽	от 50 до 150 млн ₽
30 млрд ₽	300 млн ₽	900 млн ₽	от 300 до 500 млн ₽ (верхняя граница)

Вывод по первой строке: при выручке 200 млн ₽ минимум в 20 млн ₽ равен десяти процентам выручки. Нижняя граница важнее процента именно для небольших компаний. Для части 18 расчёт тот же, нижняя граница 25 млн ₽.

Что платят за первую утечку

Оборотный штраф не применяется к первому случаю. Для организаций и ИП действуют фиксированные диапазоны: часть 12 — от 3 до 5 млн ₽, часть 13 — от 5 до 10 млн ₽, часть 14 — от 10 до 15 млн ₽, часть 16 — от 10 до 15 млн ₽, часть 17 — от 15 до 20 млн ₽. Все суммы по статье — в обзоре штрафов за персональные данные. Что сделать в первые сутки, чтобы не добавить штраф за молчание, описано в статье про сроки 24 и 72 часа.

Можно ли снизить штраф: что говорит КоАП

Смягчения в КоАП есть: общие и специальные правила.

Статья 4.2. Среди смягчающих обстоятельств — содействие органу в установлении обстоятельств дела, предотвращение вредных последствий, добровольное возмещение ущерба или устранение вреда. Орган вправе признать смягчающими и иные обстоятельства.
Часть 3.4-1 статьи 4.1. Для нарушений, выявленных в ходе контроля, при предотвращении вредных последствий и добровольном устранении вреда (пункты 5 и 6 части 1 статьи 4.2) штраф с нижней и верхней границей назначается в минимальном размере, кроме случаев, предусмотренных частями 2.2 и 3.2 статьи 4.1 и статьёй 4.1.1.
Часть 3.4-2 статьи 4.1 — специальное правило для частей 15 и 18. Штраф назначается в размере одной десятой минимума, но не менее 15 и не более 50 млн ₽, если до вынесения постановления одновременно выполнены три условия.

Условие части 3.4-2 статьи 4.1	Что требуется
1. Расходы на информационную безопасность	Ежегодно в течение трёх лет, предшествующих году выявления, не менее 0,1 % выручки. Мероприятия проводят организации с лицензией по пункту 1 или 5 части 1 статьи 12 закона № 99-ФЗ либо сам оператор при наличии такой лицензии
2. Требования к защите данных	Оператор соблюдал их в информационных системах персональных данных, что документально подтверждено; подтверждение проведено в течение 12 месяцев до выявления нарушения
3. Отягчающие обстоятельства	Нет обстоятельств по примечанию 5 к статье 13.11

Примечание 5 называет отягчающим обстоятельством продолжение противоправного поведения вопреки требованию прекратить его (пункт 1 части 1 статьи 4.3). Отягчающим считается и то, что лицо уже наказывалось за нарушения по частям 1–11 статьи 13.11 или по статьям 13.6 и 13.12. Формула части 3.4-2 даёт одну десятую минимума, но закон ставит границы: не менее 15 и не более 50 млн ₽. Итог в любом случае укладывается в эти границы. Как формулу применяют на практике, мы не проверяли. Лицензируемые работы по информационной безопасности в услуги ФТИ не входят.

Что можно сделать заранее

Выстроить порядок на случай первой утечки: кто выявляет, кто уведомляет, как фиксируются меры.
Держать документы и сайт в актуальном состоянии. Проверки начинаются с расхождений, подробнее — в статье о проверке Роскомнадзора.
Определить, кто отвечает за доступ к данным в штате. Работники тоже несут ответственность, см. разбор об ответственности работника.

Общую картину обязанностей оператора даёт обзор про уведомление и основные сроки.

Как мы помогаем

У ФТИ нет услуг по технической защите: аттестации, установке средств защиты, лицензируемых работ. Есть юридическая и документальная часть:

Услуга	Цена	Что входит
Документы по 152-ФЗ	9 900 ₽	Политика, согласия, локальные акты, приказ об ответственном; правки до «принимаю»
Сопровождение по персональным данным	1 990 ₽/мес или 19 900 ₽/год	Сроки, изменения в реестре, обновление документов, консультации. Утечка и расследование считаются отдельно, цену называем до начала
Аудит сайта на 152-ФЗ	4 900 ₽	Отчёт за 3 рабочих дня с нормой и приоритетом по каждому пункту

Пакет «Старт» — уведомление, документы и документы для сайта — стоит 14 900 ₽ вместо 18 700 ₽. Все предложения собраны на странице услуг ФТИ.

Нормативные документы

На эти документы опирается статья. Ссылки ведут на официальные тексты в справочных правовых системах.

Частые вопросы

Что такое оборотный штраф за утечку персональных данных?

Штраф, который считается как процент выручки: от 1 до 3 процентов за календарный год, предшествующий году выявления правонарушения. Он предусмотрен частями 15 и 18 статьи 13.11 КоАП для юридических лиц.

За какую утечку назначают оборотный штраф?

Только за повторную. Часть 15 применяется к повтору по частям 12–14, часть 18 — к повтору по частям 16 и 17. За первую утечку назначают фиксированные суммы по частям 12–14, 16 и 17.

Какой минимальный и максимальный оборотный штраф?

По части 15 не менее 20 млн ₽ и не более 500 млн ₽, по части 18 не менее 25 млн ₽ и не более 500 млн ₽. Проценты считаются внутри этих границ.

С какой выручки считается оборотный штраф?

С совокупной выручки от реализации всех товаров, работ и услуг за календарный год, предшествующий году выявления правонарушения. Если деятельности в прошлом году не было, берут часть календарного года до даты выявления.

Есть ли способ снизить штраф за повторную утечку?

Да. Статья 4.2 КоАП перечисляет смягчающие обстоятельства, а часть 3.4-2 статьи 4.1 для частей 15 и 18 даёт специальное правило: одна десятая минимума, но не менее 15 и не более 50 млн ₽. Нужно одновременно выполнить три условия, включая расходы на информационную безопасность и документальное подтверждение защиты.

Что считается повторной утечкой?

Правонарушение, совершённое лицом, которое уже подвергнуто наказанию за указанные в части 15 или 18 нарушения. По общему правилу статьи 4.6 КоАП человек считается наказанным до истечения года со дня окончания исполнения постановления.

Отвечает ли ИП по оборотным штрафам?

По примечанию 1 к статье 13.11 в частях 8–18 ИП отвечает как юридическое лицо. Как на практике считают выручку предпринимателя, в тексте закона не раскрыто.

Касаются ли оборотные штрафы государственных органов и НКО?

В частях 10–18 «юридическое лицо» — это организация, не являющаяся госорганом или НКО (примечание 3). Для госорганов и НКО в части 15 названа ответственность должностного лица: от 800 тыс. до 1,2 млн ₽.

Могут ли оштрафовать на 500 миллионов за первую утечку?

Нет. Оборотная часть начинается только с повторного правонарушения. За первую утечку организации платят от 3 до 20 млн ₽ в зависимости от масштаба и вида данных.

Где подготовить документы по персональным данным и сколько это стоит у ФТИ?

Документы по 152-ФЗ под ваш бизнес — 9 900 ₽, сопровождение — 1 990 ₽ в месяц или 19 900 ₽ в год, аудит сайта — 4 900 ₽. Технические меры защиты и лицензируемые работы мы не выполняем.