# Оборотные штрафы за утечку персональных данных: когда и сколько

> Источник: https://ftex.pro/blog/oborotnye-shtrafy-za-utechku-pdn/  
> Опубликовано: 06.10.2026  
> Раздел: Персональные данные  
> Описание: Оборотные штрафы за утечку по ст. 13.11 КоАП: 1–3 % выручки только за повторную утечку, границы 20, 25 и 500 млн, расчёт на примере и когда штраф можно снизить.  
> Издатель: Финансово-технологический институт (ftex.pro), образовательная лицензия Л035-01270-29/05390506

**Коротко: оборотный штраф, то есть от 1 до 3 процентов выручки, КоАП предусматривает только за повторную утечку персональных данных. По части 15 статьи 13.11 сумма не меньше 20 и не больше 500 млн ₽, по части 18 — не меньше 25 и не больше 500 млн ₽.** За первую утечку назначают фиксированные суммы: для организаций от 3 до 20 млн ₽. Для повторных случаев есть правило о снижении штрафа, но условия у него жёсткие, они описаны ниже.

 

Политика, согласия, локальные акты, приказ об ответственном · пишет юрист под ваши сайт и системы, правки включены

 

Порядок в документах под ваш бизнес: документы по 152-ФЗ — 9 900 ₽

 

[Собрать пакет →](https://ftex.pro/dokumenty-po-152-fz/)

 

**Главное**

 

- **Оборотные штрафы — только части 15 и 18** статьи 13.11 и только за повторное правонарушение.
- **Размер:** от 1 до 3 % выручки, но не меньше 20 млн ₽ (часть 15) или 25 млн ₽ (часть 18) и не больше 500 млн ₽.
- **Первая утечка** наказывается фиксированной суммой по частям 12–14, 16 и 17.
- **Нижняя граница бьёт по небольшим компаниям:** при малой выручке 20 млн ₽ составляют заметно больше трёх процентов.
- **Смягчение есть:** статьи 4.2 и 4.1 КоАП, три условия части 3.4-2 должны выполняться одновременно. Условия жёсткие: среди них расходы на информационную безопасность у лицензированных организаций не менее 0,1 % выручки три года подряд, поэтому рассчитывать на снижение заранее нельзя.

 

## Когда применяются оборотные штрафы

 

Обе части о повторе. Часть 15 применяется к тому, кто совершил утечку по частям 12–14, уже будучи наказанным за такие правонарушения. Часть 18 — то же для частей 16 и 17 (специальные категории и биометрия).

 

| Часть | Кому уже назначалось наказание | Организации и ИП | Граждане | Должностные лица (госорган, НКО) |
|---|---|---|---|---|
| 15 | За части 12–14, 16–18 или за саму часть 15 | 1–3 % выручки, не менее 20 млн ₽, не более 500 млн ₽ | 400–600 тыс. ₽ | 800 тыс.–1,2 млн ₽ |
| 18 | За части 12–17 или за саму часть 18 | 1–3 % выручки, не менее 25 млн ₽, не более 500 млн ₽ | 500–800 тыс. ₽ | 1,5–2 млн ₽ |

 

ИП по примечанию 1 отвечает как юридическое лицо. Для коммерческих организаций «юрлицо» — любое юрлицо, кроме госоргана и НКО (примечание 3). Человек считается подвергнутым наказанию, по общему правилу статьи 4.6 КоАП, со дня вступления постановления в силу до истечения года со дня окончания его исполнения.

 

## С какой выручки считают

 

База — совокупная выручка от реализации всех товаров, работ и услуг. Берут календарный год, **предшествующий году выявления** правонарушения. Если в прошлом году компания ничего не реализовывала, берут часть календарного года до даты выявления. Для кредитных организаций вместо выручки называются собственные средства (капитал) на дату правонарушения.

 

## Расчёт на вымышленных цифрах

 

Иллюстрация. Компании и цифры придуманы, расчёт сделан по тексту части 15 с нижней границей 20 млн ₽ и верхней 500 млн ₽.

 

| Выручка за прошлый год | 1 % | 3 % | Итог по части 15 |
|---|---|---|---|
| 200 млн ₽ | 2 млн ₽ | 6 млн ₽ | 20 млн ₽ (действует нижняя граница) |
| 1 млрд ₽ | 10 млн ₽ | 30 млн ₽ | от 20 до 30 млн ₽ |
| 5 млрд ₽ | 50 млн ₽ | 150 млн ₽ | от 50 до 150 млн ₽ |
| 30 млрд ₽ | 300 млн ₽ | 900 млн ₽ | от 300 до 500 млн ₽ (верхняя граница) |

 

Вывод по первой строке: при выручке 200 млн ₽ минимум в 20 млн ₽ равен десяти процентам выручки. Нижняя граница важнее процента именно для небольших компаний. Для части 18 расчёт тот же, нижняя граница 25 млн ₽.

 

## Что платят за первую утечку

 

Оборотный штраф не применяется к первому случаю. Для организаций и ИП действуют фиксированные диапазоны: часть 12 — от 3 до 5 млн ₽, часть 13 — от 5 до 10 млн ₽, часть 14 — от 10 до 15 млн ₽, часть 16 — от 10 до 15 млн ₽, часть 17 — от 15 до 20 млн ₽. Все суммы по статье — в обзоре [штрафов за персональные данные](https://ftex.pro/blog/shtrafy-za-personalnye-dannye/). Что сделать в первые сутки, чтобы не добавить штраф за молчание, описано в статье про [сроки 24 и 72 часа](https://ftex.pro/blog/utechka-personalnyh-dannyh-24-chasa/).

 

## Можно ли снизить штраф: что говорит КоАП

 

Смягчения в КоАП есть: общие и специальные правила.

 

- **Статья 4.2.** Среди смягчающих обстоятельств — содействие органу в установлении обстоятельств дела, предотвращение вредных последствий, добровольное возмещение ущерба или устранение вреда. Орган вправе признать смягчающими и иные обстоятельства.
- **Часть 3.4-1 статьи 4.1.** Для нарушений, выявленных в ходе контроля, при предотвращении вредных последствий и добровольном устранении вреда (пункты 5 и 6 части 1 статьи 4.2) штраф с нижней и верхней границей назначается в минимальном размере, кроме случаев, предусмотренных частями 2.2 и 3.2 статьи 4.1 и статьёй 4.1.1.
- **Часть 3.4-2 статьи 4.1** — специальное правило для частей 15 и 18. Штраф назначается в размере одной десятой минимума, но не менее 15 и не более 50 млн ₽, если до вынесения постановления одновременно выполнены три условия.

 

| Условие части 3.4-2 статьи 4.1 | Что требуется |
|---|---|
| 1. Расходы на информационную безопасность | Ежегодно в течение трёх лет, предшествующих году выявления, не менее 0,1 % выручки. Мероприятия проводят организации с лицензией по пункту 1 или 5 части 1 статьи 12 закона № 99-ФЗ либо сам оператор при наличии такой лицензии |
| 2. Требования к защите данных | Оператор соблюдал их в информационных системах персональных данных, что документально подтверждено; подтверждение проведено в течение 12 месяцев до выявления нарушения |
| 3. Отягчающие обстоятельства | Нет обстоятельств по примечанию 5 к статье 13.11 |

 

Примечание 5 называет отягчающим обстоятельством продолжение противоправного поведения вопреки требованию прекратить его (пункт 1 части 1 статьи 4.3). Отягчающим считается и то, что лицо уже наказывалось за нарушения по частям 1–11 статьи 13.11 или по статьям 13.6 и 13.12. Формула части 3.4-2 даёт одну десятую минимума, но закон ставит границы: не менее 15 и не более 50 млн ₽. Итог в любом случае укладывается в эти границы. Как формулу применяют на практике, мы не проверяли. Лицензируемые работы по информационной безопасности в услуги ФТИ не входят.

 

## Что можно сделать заранее

 

- **Выстроить порядок на случай первой утечки:** кто выявляет, кто уведомляет, как фиксируются меры.
- **Держать документы и сайт в актуальном состоянии.** Проверки начинаются с расхождений, подробнее — в статье о [проверке Роскомнадзора](https://ftex.pro/blog/proverka-roskomnadzora-personalnye-dannye/).
- **Определить, кто отвечает за доступ к данным в штате.** Работники тоже несут ответственность, см. разбор об [ответственности работника](https://ftex.pro/blog/otvetstvennost-rabotnika-za-razglashenie-pdn/).

 

Общую картину обязанностей оператора даёт [обзор про уведомление и основные сроки](https://ftex.pro/blog/uvedomlenie-ob-obrabotke-personalnyh-dannyh/).

 

## Как мы помогаем

 

У ФТИ нет услуг по технической защите: аттестации, установке средств защиты, лицензируемых работ. Есть юридическая и документальная часть:

 

| Услуга | Цена | Что входит |
|---|---|---|
| [Документы по 152-ФЗ](https://ftex.pro/dokumenty-po-152-fz/) | 9 900 ₽ | Политика, согласия, локальные акты, приказ об ответственном; правки до «принимаю» |
| [Сопровождение по персональным данным](https://ftex.pro/soprovozhdenie-po-pdn/) | 1 990 ₽/мес или 19 900 ₽/год | Сроки, изменения в реестре, обновление документов, консультации. Утечка и расследование считаются отдельно, цену называем до начала |
| [Аудит сайта на 152-ФЗ](https://ftex.pro/audit-sajta-152-fz/) | 4 900 ₽ | Отчёт за 3 рабочих дня с нормой и приоритетом по каждому пункту |

 

Пакет «Старт» — уведомление, документы и документы для сайта — стоит 14 900 ₽ вместо 18 700 ₽. Все предложения собраны на странице [услуг ФТИ](https://ftex.pro/uslugi/).

 

## Нормативные документы

 

На эти документы опирается статья. Ссылки ведут на официальные тексты в справочных правовых системах.

 

- [КоАП РФ, статья 13.11 — части 12–18 и примечания 1–5](https://www.consultant.ru/document/cons_doc_LAW_34661/1f421640c6775ff67079ebde06a7d2f6d17b96db/)
- [КоАП РФ, статья 4.1 — общие правила назначения наказания, части 3.4-1 и 3.4-2](https://www.consultant.ru/document/cons_doc_LAW_34661/93fe5340f4a47211790c8cfa5ba3ac94e3766a3c/)
- [КоАП РФ, статья 4.2 — обстоятельства, смягчающие административную ответственность](https://www.consultant.ru/document/cons_doc_LAW_34661/6210e4a746ad4504c7d8f79309a463f3d7d35961/)
- [КоАП РФ, статья 4.3 — обстоятельства, отягчающие административную ответственность](https://www.consultant.ru/document/cons_doc_LAW_34661/db46e4653ac1b0caabf19476c9dbda096d59369d/)
- [КоАП РФ, статья 4.6 — срок, в течение которого лицо считается подвергнутым наказанию](https://www.consultant.ru/document/cons_doc_LAW_34661/0803d81c45050e940f206a4704167142d61b6abb/)
- [КоАП РФ, статья 4.5 — давность привлечения к административной ответственности](https://www.consultant.ru/document/cons_doc_LAW_34661/66a4b2666eea5f75cd1e947452b66bf52bf024d8/)
- [Федеральный закон № 152-ФЗ, статья 19 — меры по обеспечению безопасности персональных данных](https://www.consultant.ru/document/cons_doc_LAW_61801/ca9e5658710519f09ab2fdb8196fcb3eb024a051/)

## Частые вопросы

### Что такое оборотный штраф за утечку персональных данных?

Штраф, который считается как процент выручки: от 1 до 3 процентов за календарный год, предшествующий году выявления правонарушения. Он предусмотрен частями 15 и 18 статьи 13.11 КоАП для юридических лиц.

### За какую утечку назначают оборотный штраф?

Только за повторную. Часть 15 применяется к повтору по частям 12–14, часть 18 — к повтору по частям 16 и 17. За первую утечку назначают фиксированные суммы по частям 12–14, 16 и 17.

### Какой минимальный и максимальный оборотный штраф?

По части 15 не менее 20 млн ₽ и не более 500 млн ₽, по части 18 не менее 25 млн ₽ и не более 500 млн ₽. Проценты считаются внутри этих границ.

### С какой выручки считается оборотный штраф?

С совокупной выручки от реализации всех товаров, работ и услуг за календарный год, предшествующий году выявления правонарушения. Если деятельности в прошлом году не было, берут часть календарного года до даты выявления.

### Есть ли способ снизить штраф за повторную утечку?

Да. Статья 4.2 КоАП перечисляет смягчающие обстоятельства, а часть 3.4-2 статьи 4.1 для частей 15 и 18 даёт специальное правило: одна десятая минимума, но не менее 15 и не более 50 млн ₽. Нужно одновременно выполнить три условия, включая расходы на информационную безопасность и документальное подтверждение защиты.

### Что считается повторной утечкой?

Правонарушение, совершённое лицом, которое уже подвергнуто наказанию за указанные в части 15 или 18 нарушения. По общему правилу статьи 4.6 КоАП человек считается наказанным до истечения года со дня окончания исполнения постановления.

### Отвечает ли ИП по оборотным штрафам?

По примечанию 1 к статье 13.11 в частях 8–18 ИП отвечает как юридическое лицо. Как на практике считают выручку предпринимателя, в тексте закона не раскрыто.

### Касаются ли оборотные штрафы государственных органов и НКО?

В частях 10–18 «юридическое лицо» — это организация, не являющаяся госорганом или НКО (примечание 3). Для госорганов и НКО в части 15 названа ответственность должностного лица: от 800 тыс. до 1,2 млн ₽.

### Могут ли оштрафовать на 500 миллионов за первую утечку?

Нет. Оборотная часть начинается только с повторного правонарушения. За первую утечку организации платят от 3 до 20 млн ₽ в зависимости от масштаба и вида данных.

### Где подготовить документы по персональным данным и сколько это стоит у ФТИ?

Документы по 152-ФЗ под ваш бизнес — 9 900 ₽, сопровождение — 1 990 ₽ в месяц или 19 900 ₽ в год, аудит сайта — 4 900 ₽. Технические меры защиты и лицензируемые работы мы не выполняем.