Данные утекли. Дальше — вопрос стратегии, а не комплекта документов.
Работа с операторами персональных данных: реагирование на инцидент в первые часы, сопровождение проверок Роскомнадзора, защита в делах по ст. 13.11 КоАП, оценка уголовного риска по ст. 272.1 УК, выстраивание контура обработки с нуля.
§ 01 — Цена вопроса
С мая 2025 года штраф за утечку перестал быть строкой в бюджете.
Закон 420-ФЗ поднял санкции примерно в десять раз и ввёл оборотную ответственность, а индивидуальных предпринимателей уравнял с компаниями. Параллельно появился уголовный состав, по которому отвечает конкретный человек, а не юридическое лицо.
Утечка клиентской базы
Верхняя граница первого штрафа. Нижняя — 3 млн, размер зависит от объёма записей.
ч. 12–14 ст. 13.11 КоАППовторная утечка
Оборотный штраф — от 1 до 3% годовой выручки, с фиксированными нижним и верхним пределами.
оборотная ответственностьСрок на уведомление
Столько есть на первичное сообщение в Роскомнадзор. Ещё 72 часа — на результаты внутреннего расследования.
ст. 21 152-ФЗУголовная статья
Незаконные сбор, хранение, передача и использование данных. Отягчающие составы — по биометрии и данным несовершеннолетних.
отвечает физическое лицо§ 02 — С чем приходят
Три ситуации. У каждой свой счётчик времени.
Утечка произошла
База выложена, сотрудник вынес данные, взломали CRM. Нужно за сутки определить периметр инцидента, подготовить уведомление и не наговорить лишнего в переписке с регулятором.
Написать сейчас → ДниПришёл запрос РКН
Требование о предоставлении документов, профилактический визит, уведомление о проверке. Ответ формирует доказательственную базу будущего дела — писать его нужно с этой мыслью.
Обсудить ответ → НеделиСоставлен протокол
Дело по ст. 13.11 КоАП: работаем с составом, объёмом утёкших данных, виной и смягчающими — там, где решается размер. Если появляется уголовная перспектива по ст. 272.1 УК, готовлю позицию и подключаю адвоката: защиту по уголовному делу ведёт он.
Оценить перспективы →Если утекли ваши собственные данные
Звонки мошенников, ваш телефон в открытой базе, компания не отвечает на требование удалить данные — это другая работа и другая страница. Там про компенсацию, удаление и жалобу в Роскомнадзор.
§ 03 — Что делаю
Та же методика, что и в любом другом деле: разведка, разработка, реализация.
Блоки работают по отдельности. Можно начать с любого — например, только с реагирования на инцидент, — но чаще всего один вырастает из другого.
Разведка
- Карта потоков данных: что собираете, где лежит, кому уходит
- Проверка сайта — формы, cookie, счётчики, тексты согласий
- Ревизия трансграничной передачи и зарубежных сервисов
- Статус в реестре операторов и полнота поданного уведомления
- Отчёт с приоритизацией: что закрывать в первую очередь
Разработка
- Согласия под конкретные цели вместо универсальной простыни
- Политика, ЛНА, приказы, модель угроз, журналы
- Договоры-поручения с подрядчиками и распределение ответственности
- Уведомления в Роскомнадзор, локализация баз
- Регламент обезличивания и ответа на требования Минцифры
Реализация
- Реагирование на утечку: 24 и 72 часа, взаимодействие с ГосСОПКА
- Сопровождение проверок и профилактических визитов РКН
- Защита в делах по ст. 13.11 КоАП, снижение и оспаривание штрафа
- Оценка уголовного риска по ст. 272.1 УК, подготовка позиции, работа в связке с адвокатом
- Судебные споры с субъектами данных — с любой стороны
§ 04 — Экспресс-проверка
Десять вопросов, на которые смотрит Роскомнадзор.
Отвечайте как есть — «не знаю» тоже ответ и тоже риск. Ничего не отправляется и нигде не сохраняется: расчёт идёт прямо в браузере.
§ 05 — Как устроена работа
Понятные сроки и фиксированная стоимость на входе.
Первый разговор
30–40 минут. Что произошло, что уже сделано, что нельзя делать дальше. По итогам — понимание, нужна ли вам вообще платная работа.
Бесплатно, в день обращенияОценка и смета
Перечень работ, сроки и стоимость письменно. Для инцидентов — сразу параллельно запускаются срочные действия.
1–2 дняРабота по этапам
Каждый этап закрывается конкретным документом: отчётом, комплектом, уведомлением, процессуальной бумагой.
По согласованному графикуСопровождение
Ответы на последующие запросы регулятора и поддержание комплекта в актуальном состоянии при изменениях закона.
Абонентский формат по желанию§ 06 — Частые вопросы
Что спрашивают чаще всего.
Почти наверняка да. Оператором делает не размер бизнеса, а сам факт обработки: анкета на сайте, база клиентов в CRM, кадровые документы, программа лояльности. Индивидуальные предприниматели с 2025 года отвечают по тем же ставкам, что и юридические лица, — прежней скидки за статус больше нет.
Да, и это самая распространённая мина. Зарубежные счётчики и сервисы аналитики передают данные посетителей за границу, а значит, вы осуществляете трансграничную передачу. Она требует отдельного уведомления в Роскомнадзор, отдельного согласия и описания в политике. На практике часто дешевле перейти на российские аналоги, чем выстраивать вокруг счётчика полноценный правовой контур.
Уведомлять — обязанность, а не выбор, и за её неисполнение предусмотрен отдельный штраф. Но содержание уведомления и формулировка периметра инцидента — это уже вопрос стратегии: именно из этого документа потом вырастает дело об административном правонарушении. Первые сутки лучше потратить на установление реального объёма утечки, а не на переписку.
Работать есть с чем. Значение имеют база расчёта, объём и категория утёкших записей, наличие мер защиты на момент инцидента, добросовестное уведомление, устранение последствий, отсутствие повторности. Отдельный сюжет — доказывание того, что часть записей не относится к персональным данным или уже находилась в открытом доступе.
Человек. Уголовная ответственность за незаконные сбор, хранение, передачу и использование персональных данных персональна: под ударом оказываются сотрудник, руководитель или администратор системы. Поэтому по таким делам линия защиты компании и линия защиты конкретного лица могут расходиться — это стоит понимать с самого начала.
Первый разговор — бесплатно. Экспресс-проверка сайта и комплект документов идут по фиксированной цене, известной до начала работы. Инциденты и споры считаются по этапам: отдельно срочное реагирование, отдельно сопровождение проверки, отдельно представительство в деле. Смета согласуется письменно, без открытого счёта.
§ 07 — Публикации
Разборы по теме.
Утечка данных: первые 72 часа
Пошаговый регламент: кто принимает решения, что фиксировать, как считать периметр и что писать в уведомлении.
Читать →Счётчики аналитики как трансграничная передача
Почему привычный набор маркетолога создаёт правовой риск и какие есть варианты, кроме полного отказа.
Читать →Оборотный штраф: из чего складывается сумма
База расчёта, объём записей, повторность и смягчающие. Что реально влияет на итог, а что — нет.
Читать →Обсудим вашу ситуацию.
Первичная оценка — предметный разговор о том, что произошло, чем это грозит и что нужно сделать в ближайшие сутки.