152-ФЗ: сколько стоит утечка базы клиентов в 2026 году

152-ФЗ - закон о персональных данных, то есть сведениях о конкретном человеке. За утечку обычной клиентской базы компания может получить штраф 3-15 млн рублей, если нарушение подпадает под соответствующие части статьи 13.11 КоАП РФ - Кодекса об административных правонарушениях. При повторном нарушении предусмотрены 1-3% установленной законом выручки, минимум 20 млн и максимум 500 млн рублей. Автоматического счёта на 500 млн за любую потерянную таблицу нет.

Менеджер отправил выгрузку контактов в личный чат. Подрядчик сохранил копию на своём диске. Уволенному продавцу оставили доступ к общей папке. Руководитель пытается понять, какие сведения ушли, кто их получил и можно ли остановить распространение. От ответов зависит и план действий, и возможная сумма взыскания.

Обновлено: 13 октября 2026 года. Ниже приведены суммы для юридических лиц. Статья помогает подготовить проверку с юристом; ответственность конкретной компании определяется по обстоятельствам дела. Диапазоны сверены со статьёй 13.11 КоАП РФ.

Сколько стоит первая утечка базы клиентов

Штраф за первую утечку обычных персональных данных зависит от числа пострадавших людей или идентификаторов - сведений в информационной системе, относящихся к конкретному человеку. Компании платят по статье 13.11 КоАП РФ в пределах 3-5, 5-10 или 10-15 млн рублей. Для сведений о здоровье и биометрии - физических особенностях человека, по которым устанавливают его личность, - действуют отдельные правила.

Новые составы ответственности применяются с 30 мая 2025 года. Их ввёл Федеральный закон от 30.11.2024 № 420-ФЗ. Компания в 2026 году сверяет последствия утечки с действующей редакцией КоАП. Памятка со старыми штрафами может дать неверный ориентир.

Таблица показывает установленные законом диапазоны. На пограничных значениях и при сочетании нескольких признаков основание ответственности проверяет юрист. Строки нельзя механически сложить и выдать за счёт компании; закон также предусматривает особенности для отдельных категорий нарушителей.

Записей в файле и пострадавших людей может быть разное количество. Один покупатель встречается в нескольких сделках, а его карточка содержит несколько идентификаторов. Меньшая база тоже не получает освобождение от ответственности: сначала устанавливают, какое именно нарушение произошло.

Повторная утечка и расчёт суммы по выручке

Оборотный штраф рассчитывают от выручки компании. Для повторного нарушения по частям 12-14 статьи 13.11 КоАП РФ часть 15 предусматривает 1-3% законной базы расчёта, минимум 20 млн и максимум 500 млн рублей. При повторной утечке специальных категорий или биометрических данных часть 18 устанавливает нижнюю границу 25 млн рублей.

Для части 18 верхняя граница также составляет 500 млн рублей. Закон учитывает выручку от реализации товаров, работ и услуг за календарный год, предшествующий году выявления нарушения, с предусмотренными оговорками. Подставлять прибыль, поступления за месяц или доход одного отдела продаж нельзя. Повторность проверяют по правилам КоАП; две потерянные выгрузки сами по себе её не доказывают.

Получение новых контактов добавляет участок проверки: откуда взялись номера и на каком основании компания собирается их использовать. DataLead определяет телефоны людей, которые сейчас звонят конкурентам или изучают их. Возможность получить контакт ещё не отвечает на вопросы о документах и допустимом способе обращения к человеку.

Сколько взыскали с компании в деле 2026 года

Арбитражный суд Москвы решением от 5 марта 2026 года по делу ООО «Юкидс» назначил штраф 400 тыс. рублей по части 14 статьи 13.11 КоАП РФ. Суд применил статью 4.1.2, учитывая статус микропредприятия - самой небольшой категории малого бизнеса. Конкретное взыскание отличается от общего диапазона закона; такой результат нельзя автоматически переносить на другую компанию.

Решение по делу № А40-351064/2025 описывает утечку, выявленную в июне 2025 года. Суд установил распространение сведений более чем о 300 тыс. человек. Разницу между назначенной суммой и общими 10-15 млн рублей следует читать вместе с основаниями в самом акте.

Оплата штрафа по приведённым источникам не подтверждена. Формулировка «суд назначил» точнее утверждения, что компания уже заплатила; последующие обжалования требуют отдельной проверки.

Условная рабочая ситуация 2026 года: продавец отправляет таблицу с телефонами сотрудников заказчика внешнему исполнителю. Проверка начинается с состава сведений, числа людей, прав получателя и основания передачи. Размер файла не позволяет рассчитать ответственность без этих обстоятельств.

Компенсация клиентам сверх штрафа

Компенсация человеку и административный штраф компании - разные платежи. По статье 24 закона № 152-ФЗ человек может требовать компенсацию морального вреда, то есть переживаний из-за нарушения его прав. Универсальной суммы за один утёкший телефон закон не устанавливает; размер выплаты и основания взыскания рассматривают по обстоятельствам конкретного спора.

Статья 24 закона № 152-ФЗ отделяет моральный вред от возмещения имущественного вреда и понесённых убытков. Итог требований граждан нельзя узнать заранее, умножив число записей на произвольную ставку. Каждое требование нуждается в самостоятельном обосновании.

Собственный счёт бизнеса шире судебных выплат. В него могут войти расследование, восстановление систем, работа юристов, ответы клиентам и остановка части операций. Такие расходы оценивают по реальным договорам, трудозатратам и потерям своей компании. Чужая средняя сумма их не заменяет.

Что проверить перед получением контактов

Перед получением контактов через DataLead компания проверяет цель обработки, основание получения и использования данных, условия передачи и доступ сотрудников. Сервис определяет телефоны людей, взаимодействующих с конкурентами, и не заменяет юридическую проверку работы с номерами. Документы должны объяснять путь контакта до продавца и допустимые действия с ним.

За обработку персональных данных отвечает оператор - компания или человек, определяющие, зачем и как используются сведения. Обязанности участников зависят от договора и фактической работы. При обработке по поручению вашей компании условия поручения проверяют по части 3 статьи 6 закона № 152-ФЗ.

Технология представлена в реестре ПО Минцифры - перечне программных продуктов. Запись в таком реестре не разрешает любую передачу данных или рекламный звонок. Для продвижения товаров прямыми контактами статья 15 закона № 152-ФЗ требует предварительного согласия. Рекламные звонки отдельно проверяют по статье 18 закона № 38-ФЗ «О рекламе».

До оплаты найдите документы о цели работы с номерами, составе сведений, основаниях передачи и обязанностях сторон. Проверьте, кто сообщает о нарушении и кому. Право рекламировать продукт нельзя вывести из одного факта наличия телефона. Для внутреннего разбора используйте семь участков проверки компании.

Какие 7 проверок провести до утечки

Проверка базы клиентов охватывает семь участков: состав сведений, цель и основание обработки, согласия, доступы, передачи исполнителям, сроки хранения и готовность к утечке. Результатом должны стать документы и исправленные настройки. Ответ продавца «у нас всё в порядке» не подтверждает, что бывший сотрудник или подрядчик действительно потерял доступ к сведениям людей.

1. 1Опишите сведения в базе. Название юридического лица отличается от имени и личного телефона его сотрудника. Работа между компаниями не исключает наличия данных людей.
2. 2Укажите цель и основание каждого действия. Получение, хранение, передача и использование номера для продвижения проверяются по своим условиям. Политика на сайте не подменяет эту работу.
3. 3Найдите подтверждение необходимых согласий. Проверьте содержание, дату и способ получения, связь с конкретным человеком и действием. Согласие на обработку данных оформляют отдельно от иных документов, подписываемых человеком: это прямо закреплено в статье 9 закона № 152-ФЗ.
4. 4Проверьте доступы в системе учёта клиентов. Уберите лишние права на выгрузку, закройте доступ уволенным сотрудникам и замените общую учётную запись личными. Проверьте общие папки.
5. 5Проследите передачи исполнителям. Зафиксируйте, какие сведения уходят агентству, телефонии или другому подрядчику, зачем и по какому документу. Сверьте порядок работы со списком документов до получения контактов.
6. 6Установите сроки хранения и порядок удаления. Учитывайте цель обработки, договоры, требования закона и отзыв согласия. Один произвольный срок для всех файлов может не подойти.
7. 7Назначьте ответственного за действия при утечке. Подготовьте порядок фиксации события, ограничения доступа, расследования и уведомления регулятора. Сотрудники должны знать, кому сообщить о потерянной выгрузке.

Юрист проверяет основания и документы. Ответственный за защиту информации проверяет права доступа. Руководитель продаж объясняет реальное движение контактов, включая выгрузки, которых нет в официальном описании процесса. Обязанности по организации обработки и безопасности закреплены в статьях 18.1 и 19 закона № 152-ФЗ.

Порядок действий после утечки

При утечке персональных данных оператор фиксирует событие, ограничивает дальнейший доступ, сохраняет доказательства и проводит расследование. В случаях, описанных частью 3.1 статьи 21 закона № 152-ФЗ, Роскомнадзор уведомляют в течение 24 часов с момента выявления. Результаты внутреннего расследования передают в течение 72 часов с того же момента, сообщая установленные сведения.

Сроки относятся к факту неправомерной или случайной передачи, предоставления, распространения либо доступа, повлекших нарушение прав людей. Они не начинаются заново после совещания руководителей. В первичном сообщении указывают обстоятельства инцидента - события нарушения безопасности, предполагаемые причины, вред, принятые меры и сведения об ответственном представителе.

1. 1Закройте обнаруженный доступ и остановите опасные передачи, сохранив сведения, необходимые для расследования.
2. 2Зафиксируйте время выявления, затронутые системы и известный состав данных. Сохраните журналы действий и другие доказательства.
3. 3Подключите юриста и ответственного за безопасность, определите обязанности уведомления по фактической ситуации.
4. 4Подайте первичное уведомление через официальную форму Роскомнадзора, затем направьте результаты расследования в установленный срок.

За неуведомление Роскомнадзора о таком инциденте часть 11 статьи 13.11 КоАП РФ предусматривает для юридических лиц 1-3 млн рублей. Эта сумма не заменяет ответственность за саму утечку. Рассмотрение нескольких нарушений проверяют отдельно; складывать все максимумы для запугивания читателя нельзя. Обязанности уведомления уточняются в статье 21 закона № 152-ФЗ.

Как посчитать расходы до следующего запуска продаж

Расходы на утечку считают по нескольким статьям: возможный штраф, самостоятельные требования граждан, расследование, восстановление и последствия остановки работы. При подготовке нового источника контактов руководитель закрывает документальные пробелы и лишние доступы. Увеличение количества номеров в базе не должно опережать решение о том, как компания будет законно использовать полученные сведения людей.

Соберите сведения о размере затронутой базы, видах данных и прошлых нарушениях. Передайте юристу факты, подтверждения согласий и договоры. Бухгалтерии поручите оценить подтверждённые расходы на восстановление и предоставить данные, которые могут потребоваться для расчёта суммы по выручке.

DataLead решает задачу получения телефонов тех, кто сейчас изучает конкурентов или звонит им. Защиту собственной базы, основания обработки и правила обращения к человеку компания проверяет отдельно. Подготовленный порядок действий после утечки стоит разобрать с исполнителем до начала работы.

Начните с одной реальной передачи: выберите выгрузку, которую отдел продаж отправлял подрядчику. Найдите получателя, основание передачи и действующие доступы. Такой разбор покажет, что исправлять до следующего расширения базы. Один документ не снимает все риски работы с данными.

Источники

Суммы штрафов проверяются по статье 13.11 КоАП РФ, обязанности при утечке - по закону № 152-ФЗ, требования к рекламным звонкам - по закону № 38-ФЗ. Судебные акты показывают взыскание в одном деле. Для решения о работе с конкретной базой дополнительно нужны документы компании и обстоятельства обработки персональных данных.

• КоАП РФ: статья 13.11 и правила ответственности.
• Закон от 30.11.2024 № 420-ФЗ: изменения ответственности.
• Закон от 27.07.2006 № 152-ФЗ: основания обработки и обязанности оператора.
• Закон от 13.03.2006 № 38-ФЗ: требования к рекламным звонкам.
• Решение Арбитражного суда Москвы от 05.03.2026 по делу № А40-351064/2025.
• Роскомнадзор: уведомление об инциденте с персональными данными.

Если готовите новый поток контактов, разберите свою нишу и порядок работы с номерами до запуска.