152-ФЗ: штрафы за персональные данные в облаке и защита бизнеса
В 2026 году Роскомнадзор усилил проверки операторов ПДн. Санкции достигают 20 миллионов, компании узнают о требованиях после визита. Разберем суммы взысканий по 152-ФЗ, ошибки выбора облака для персональных данных, шаги защиты.
Какие штрафы грозят бизнесу по 152-ФЗ
Санкции зависят от тяжести нарушения. Штрафы по 152-ФЗ для юрлиц стартуют со 100 тыс. рублей и достигают 20 миллионов при утечки биометрических персональных данных.
Ответственность наступает за хранение данных за рубежом, отсутствие согласия на обработку, неуведомление и несвоевременное уведомление об утечках, утечки личных данных разного рода.
Размеры штрафов по 152-ФЗ для бизнеса (индивидуальные предприниматели ИП и юридические лица):
- Хранение ПДн за рубежом (первичное нарушение). Штрафы по ч. 8 ст. 13.11 КоАП РФ: от 1 000 000 до 6 000 000 рублей.
- Хранение ПДн за рубежом (повторное нарушение). Штрафы по ч. 9 ст. 13.11 КоАП РФ: от 6 000 000 до 18 000 000 рублей.
- Отсутствие согласия на обработку (первичное нарушение). Штрафы по ст. 13.11 КоАП РФ: от 300 000 до 700 000 рублей.
- Отсутствие согласия на обработку (повторное нарушение). Штрафы по ст. 13.11 КоАП РФ: от 1 000 000 до 1 500 000 рублей.
- Неуведомление Роскомнадзора о начале обработки. Штрафы по ч. 10 ст. 13.11 КоАП РФ: от 100 000 до 300 000 рублей.
- Неуведомление об утечке ПДн. Штрафы по ст. 13.11 КоАП РФ: от 1 000 000 до 3 000 000 рублей.
-
Утечка ПДн. Штрафы по ст. 13.11 КоАП РФ:
От 1 000 до 10 000 субъектов (или от 10 000 до 100 000 идентификаторов): от 3 000 000 до 5 000 000 рублей.
От 10 000 до 100 000 субъектов: от 5 000 000 до 10 000 000 рублей.
Более 100 000 субъектов или утечка специальных категорий данных: от 10 000 000 до 15 000 000 рублей.
Утечка биометрических персональных данных: от 15 млн до 20 млн рублей: от 15 000 000 до 20 000 000 рублей.
При отягчающих обстоятельствах, при умысле, дело о нарушении 152-ФЗ переходит в уголовную плоскость. Проверяйте юрисдикцию серверов с персональными данными до подписания договора.
Почему облачные серверы за рубежом под запретом
Согласно ч. 5 ст. 18 закона, первичная запись и хранение персональных данных граждан РФ обязательны в пределах РФ. Репликация допустима, но исходная база остается в дата-центрах РФ. Доменная зона сайта значения не имеет - решает расположение оборудования.
Эксперты topcloudhub.ru отмечают: предприниматели ошибочно считают сайт в зоне .ru гарантией соблюдения закона. Контролирующие органы ориентируются по IP-адресам и геолокации, игнорируя регистрационные данные.
Типичные ошибки при выборе облака для ПДн:
- Считать домен .ru гарантией локализации;
- Доверять устным заверениям провайдера;
- Не фиксировать регион хранения в договоре;
- Перекладывать защиту данных провайдеру.
Трансграничная передача персональных данных возможна при соблюдении требований защиты и наличии письменного согласия субъекта. Иначе оператор рискует получить предписание о блокировке, штраф до 6 миллионов.
Как проверить провайдера и минимизировать риски
Выбор облачного провайдера определяет соответствие бизнеса требованиям закона. Проверяйте не маркетинговые обещания, а юридические документы и регламенты.
Перед подписанием договора об обработке ПДн запросите:
- Адрес дата-центра, город размещения серверов;
- Договор об обработке ПДн с перечнем мер защиты;
- Наличие лицензии ФСТЭК для работы с особыми категориями данных;
- Возможность выбора региона хранения внутри РФ;
- Регламент работы с запросами госорганов.
Настройте шифрование ПДн на уровне приложения. Ограничьте доступ сотрудников по принципу необходимости. Регулярно проводите аудит прав, удаляйте неактуальные записи по запросу пользователей. Эти меры снижают риск претензий Роскомнадзора, защищают репутацию компании.