Деловые контакты: за что штрафуют до 3% оборота с 2025

До 30 мая 2025 года большинство компаний платили за нарушения при работе с персональными данными 50-75 тысяч рублей. После этой даты тот же инцидент может обойтись в 5 миллионов при первом нарушении - и в 3% от годовой выручки при повторном. Закон 420-ФЗ изменил математику рисков: то, что раньше было «управляемым штрафом», стало угрозой бюджету.

Что изменилось с 30 мая 2025 года

30 мая 2025 года вступил в силу Федеральный закон № 420-ФЗ от 30.11.2024. Он ввёл оборотные штрафы за утечку персональных данных. Для юрлица при повторном нарушении - 1-3% от годовой выручки, максимум 500 млн рублей. Первичная утечка - уже фиксированные миллионы, не тысячи.

До 30 мая 2025 года максимальный штраф для организации по ст. 13.11 КоАП составлял около 75 000 рублей. Это воспринималось как приемлемый операционный риск: дешевле заплатить, чем выстраивать защиту. 420-ФЗ закрыл эту логику.

Что именно изменилось:

• Штраф за первичную утечку вырос до миллионов рублей и зависит от числа пострадавших
• При повторном нарушении включается оборотный штраф - процент от выручки
• Появилась уголовная ответственность для должностных лиц при доказанном умысле
• Роскомнадзор получил расширенные инструменты автоматизированного контроля

Оговорка, которая важна: по данным аналитического центра InfoWatch за август 2026 года, оборотный штраф в максимальном размере пока никому не назначен [источник: habr.com/companies/infowatch/articles/1075910/]. Механизм работает, первые дела в производстве - но до применения максимальных санкций не доходило. Не значит «можно расслабиться» - значит, первые крупные прецеденты ещё впереди.

Какие деловые контакты - персональные данные, а какие нет

Телефон и адрес юрлица из ЕГРЮЛ - не персональные данные, их можно использовать без дополнительных оснований. Имя и личный телефон сотрудника той же компании - уже персональные данные, и для их обработки нужно правовое основание. Граница проходит по физическому лицу, а не по компании.

Базовое правило 152-ФЗ: персональные данные - «любая информация, относящаяся к прямо или косвенно определённому физическому лицу». Компания - не физлицо. Но человек за любым рабочим контактом - физлицо.

На практике это выглядит так:

Не требует специальных оснований для обработки:

• Реквизиты ЮЛ из ЕГРЮЛ: название, ИНН, юридический адрес, телефон организации [источник: Письмо ФНС России от 09.09.2019 N ПА-4-6/18073@]
• Общий корпоративный email: info@, sales@, director@ без личного имени
• Публичная информация с официального сайта компании

Требует правового основания:

• Имя и фамилия любого физлица - даже если это «просто менеджер по закупкам»
• Рабочий мобильный телефон конкретного сотрудника
• Email вида «иван.иванов@company.ru» - привязан к человеку
• Все контакты ИП: он одновременно физлицо и предприниматель
• Профили в соцсетях и мессенджерах, привязанные к конкретному человеку

Большинство CRM с B2B-базами хранят имена, должности и телефоны - то есть хранят персональные данные. Это требует уведомления РКН об операторской деятельности, внутренних документов и документированного основания для каждой категории данных.

DataLead передаёт горячие контакты тех, кто прямо сейчас изучает ваших конкурентов - через сеть ~37 партнёрских источников в правовой рамке. Технология зарегистрирована в реестре отечественного ПО Минцифры.

Штрафы за первичную утечку: сколько стоит ошибка

Штраф за первую утечку фиксированный, но зависит от масштаба - сколько граждан затронуто. До 10 000 человек: 3-5 млн рублей для юрлица. До 100 000 человек: 5-10 млн рублей. Свыше 100 000 человек: 10-15 млн рублей. Это всё первичное нарушение.

Откуда берётся «утечка» в B2B-контексте:

• Менеджер скачал CRM-базу при увольнении и база ушла к конкурентам
• Облачное хранилище с базой контактов настроено с открытым доступом
• Подрядчик (агентство, аутсорсер) слил данные, полученные от вас
• Сервер взломали, данные клиентской базы попали в открытый доступ

По нашему замеру Вордстата от 06.09.2026, точный запрос «152-ФЗ персональные данные» набирает 99 показов в месяц. При этом широкая тема набирает 36 788. Разрыв между 99 и 36 788 показывает: подавляющее большинство людей думают о проблеме в других терминах, а на точную норму выходят только когда уже горит.

Штраф за первичную утечку - это событийный штраф. Для его назначения нужен инцидент: утечка стала публичной, или гражданин подал жалобу, или Роскомнадзор обнаружил нарушение при проверке. Риск не постоянный - но когда инцидент случается, работает новая шкала.

Оборотный штраф: когда включается процент от выручки

При повторном нарушении Роскомнадзор вправе назначить штраф 1-3% от совокупной годовой выручки компании, но не более 500 млн рублей. Для должностного лица - 1,5-2 млн рублей, для физлица - 500-800 тысяч рублей. Повторное - это второй задокументированный инцидент с утечкой.

Для среднего B2B с выручкой 300 млн рублей в год оборотный штраф в 3% составит 9 млн рублей. При выручке 1 млрд - 30 млн рублей. Именно поэтому 2026 год стал первым, когда крупные компании массово стали нанимать ответственных за персональные данные и выстраивать реальные процессы, а не просто публиковать политику конфиденциальности.

Закон предусматривает смягчающие обстоятельства. Компания сама сообщила в РКН об инциденте в течение 72 часов - плюс. Немедленно приняла меры по устранению - плюс. Сотрудничает с проверкой - тоже плюс. Это не гарантирует отсутствия штрафа, но влияет на его размер.

Оборотный штраф в максимальном размере пока ещё никому не назначен - об этом напомним. Но это вопрос времени, а не вопрос «применяется ли закон».

Четыре нарушения, за которые B2B штрафуют чаще всего

Роскомнадзор возбуждает дела по жалобам граждан, по плановым проверкам и по инцидентам. В B2B главный триггер - жалоба: человек получил звонок с незнакомого номера, выяснил, откуда его контакт, написал жалобу. Дальше РКН смотрит на всю базу и процессы.

1. Покупка базы без документов. Компания купила список с именами и телефонами. Данные физлиц в нём - чужие персональные данные. Нет договора с продавцом, нет документов о законном основании их сбора - нарушение готово ещё до первого звонка.

2. Рассылка без согласия. 38-ФЗ «О рекламе» запрещает электронные рассылки без согласия адресата. 152-ФЗ дополнительно требует основания для обработки персональных данных. Рассылка без согласия нарушает сразу оба закона.

3. Хранение данных дольше срока. Данные об уволенных сотрудниках, бывших клиентах, закрытых проектах нужно удалять. «Хранить на всякий случай» - нарушение, за которое штрафуют при проверке.

4. Нет уведомления в реестре операторов. С момента, когда компания начала обрабатывать персональные данные, она обязана уведомить РКН. Незарегистрированный оператор - нарушение с первого дня работы с любой клиентской базой.

Если контакты нужны законно - DataLead передаёт телефоны тех, кто сейчас звонит вашим конкурентам, на основании партнёрских данных в правовой рамке.

Как получать деловые контакты законно

Три законных пути: публичные реестры, согласие субъекта и правомерный интерес. Каждый закрывает разные задачи и требует разного документального оформления. Четвёртый путь - партнёрство с операторами, у которых согласие уже получено в рамках их собственного сервиса.

Публичные реестры. ЕГРЮЛ, ЕГРИП, реестры СРО, отраслевые базы - данные из них публичные. Телефон организации, адрес, ИНН из ЕГРЮЛ - не персональные данные, используйте без ограничений. Ограничение одно: это контакт компании, не конкретного человека.

Согласие субъекта. Форма на сайте, где человек явно отмечает согласие на получение коммерческих предложений. С 1 сентября 2025 года требования к форме ужесточились: согласие должно быть конкретным по целям обработки, checkbox по умолчанию предотмеченным - запрещён [источник: garant.ru, 09.09.2025].

Правомерный интерес. Ст. 6 152-ФЗ, п. 7: обработка допустима для «осуществления прав и законных интересов оператора или третьих лиц». Если человек разместил имя и рабочий телефон как открытый деловой контакт - обращение по деловому вопросу можно обосновать правомерным интересом. Нужно документировать интерес и проводить балансировочный тест.

Партнёрская big data-сеть. Четвёртый путь - работать через операторов с уже полученным согласием или правомерным основанием. Это механика DataLead: ~37 партнёрских источников больших данных, каждый несёт собственную ответственность за законность сбора. Технология в реестре Минцифры. Первые контакты - уже на следующий день, горячие данные живут 24-72 часа.

DataLead находит тех, кто прямо сейчас изучает конкурентов или звонит им. Это не купленная база - это сигнал в реальном времени о человеке, который уже ищет ваш продукт. От 12 рублей за контакт.

Источники

1. 1Федеральный закон № 420-ФЗ от 30.11.2024 «О внесении изменений в КоАП РФ» - consultant.ru/law/hotdocs/87300.html
2. 2КоАП РФ, ст. 13.11 (ред. от 26.07.2026) - consultant.ru/document/cons_doc_LAW_34661/
3. 3ANT ATTORNEYS: «Штрафы за нарушение 152-ФЗ в 2026 году» - ant.partners/blog/shtrafy-152-fz/, 13.03.2026
4. 4Клерк.ру: «Штрафы Роскомнадзора за персональные данные в 2026» - klerk.ru/blogs/fedresurs/702077/, 29.07.2026
5. 5InfoWatch: «Штрафы за утечки персональных данных, 2025-2026» - habr.com/companies/infowatch/articles/1075910/, 28.08.2026
6. 6Письмо ФНС России от 09.09.2019 N ПА-4-6/18073@ - audit-it.ru/law/account/996211.html
7. 7Гарант: «Согласие на обработку персональных данных с 1 сентября 2025 года» - garant.ru/article/1862510/, 09.09.2025
8. 8Конур: «B2B-контакты как персональные данные» - kontur.ru/compass/spravka-compass/44833