Оборотные штрафы за утечку персональных данных: как считается 1–3% выручки

Первая утечка стоит компании до 20 млн рублей. Вторая — уже проценты от годовой выручки, и здесь верхнего предела фактически нет: чем крупнее бизнес, тем больнее удар. Разберём, как именно считается оборотный штраф, на какую базу его накладывают и сколько заплатят три разные по масштабу компании при одинаковом нарушении.

Что такое оборотный штраф за утечку персональных данных

420-ФЗ, действующий с 30 мая 2025 года, разделил ответственность за утечки на два режима. Первое нарушение наказывается фиксированной суммой: чем больше пострадавших субъектов, тем выше вилка — от 3 до 20 млн рублей. А вот повторное нарушение переводит расчёт в другую плоскость — процент от выручки оператора персональных данных, а не заранее известная сумма.

Логика простая: фиксированный штраф крупный холдинг способен заложить в бюджет как приемлемый риск. Процент от оборота такой возможности не оставляет — санкция масштабируется вместе с компанией. Именно поэтому оборотный штраф 152 ФЗ считается самым жёстким инструментом реформы: он делает повторную утечку по-настоящему дорогой независимо от размера бизнеса.

Формула расчёта: база, вилка, минимум и максимум

Оборотный штраф — это не фиксированный процент, а вилка с тремя параметрами, которые нужно понимать по отдельности.

База расчёта. Берётся совокупная выручка компании от реализации всех товаров, работ и услуг за календарный год, предшествующий году, в котором зафиксирована повторная утечка. Это выручка юрлица целиком, а не оборот подразделения или продукта, где произошёл инцидент, и не прибыль — именно выручка.

Вилка процента. От 1 до 3% этой выручки. Точный процент внутри вилки определяет суд или уполномоченный орган исходя из обстоятельств: масштаба утечки, категории данных, того, были ли приняты меры по минимизации последствий.

Нижняя граница. Не менее 20 000 000 ₽ — вне зависимости от того, что дают 1–3% фактической выручки. Порог защищает от ситуации, когда небольшая компания с оборотом в пару сотен миллионов отделалась бы штрафом в пределах пары миллионов.

Верхняя граница. Не более 500 000 000 ₽. Даже у компании с выручкой в десятки миллиардов рублей штраф не превысит полмиллиарда.

Параметр	Значение
База расчёта	выручка за год, предшествующий году повторной утечки
Процент	1–3% (определяется в зависимости от обстоятельств)
Минимум	20 000 000 ₽
Максимум	500 000 000 ₽
Условие применения	утечка признана повторной в течение года после первой

Три примера расчёта

Чтобы увидеть разницу между теорией и суммой в постановлении, разберём три компании с разной выручкой, которые допустили повторную утечку персональных данных.

Компания А — региональный интернет-магазин, выручка 300 млн ₽ в год. 2% от 300 млн — это 6 млн рублей. Но действует нижний порог: фактический штраф — 20 000 000 ₽, то есть больше 6% реальной выручки компании. Для малого и среднего бизнеса минимальный порог зачастую и есть тот самый штраф, а не расчётный процент.

Компания Б — сеть клиник, выручка 4 млрд ₽ в год. 2% от 4 млрд — 80 000 000 ₽. Сумма укладывается в вилку между минимумом и максимумом, и именно она станет штрафом. Это тот случай, где процент от выручки работает буквально — санкция масштабируется вместе с оборотом компании.

Компания В — федеральный ритейлер, выручка 40 млрд ₽ в год. 3% от 40 млрд — 1,2 млрд рублей, что многократно превышает верхний потолок. Фактический штраф — максимальные 500 000 000 ₽, независимо от того, что расчётный процент дал бы в разы больше.

Вывод из всех трёх примеров: оборотный штраф не растёт бесконечно вместе с выручкой — он зажат между 20 и 500 млн ₽ — но внутри этого коридора для среднего и крупного бизнеса санкция действительно ощутима как процент от годового оборота, а не как символическая строчка расходов.

Когда утечка считается повторной

Ключевой вопрос для применения оборотного штрафа — квалификация нарушения как повторного. Здесь работает общее правило ст. 4.6 КоАП об административной повторности: лицо считается подвергнутым административному наказанию со дня вступления постановления в силу и до истечения одного года со дня окончания исполнения этого постановления.

Применительно к утечкам это означает:

• Первая утечка → штраф по фиксированной вилке (3–5, 5–10 или 15–20 млн ₽) → постановление вступает в силу.
• Отсчитывается год с момента исполнения (например, фактической уплаты штрафа).
• Если в этот период происходит новая утечка персональных данных того же оператора — она квалифицируется как повторная, и применяется оборотный штраф.
• Если новая утечка случилась уже после истечения годичного срока — формально это снова первичное нарушение с фиксированной суммой, хотя по факту оператор уже допускал утечку ранее.

Практический вывод: устранение причин первой утечки в течение года после наказания — не формальность, а прямая защита от кратно более тяжёлой санкции. Подробный разбор действий при обнаружении инцидента и обязательных сроков уведомления регулятора — в статье «Что делать при утечке персональных данных: 24 и 72 часа».

Смягчающие обстоятельства

Закон не содержит формулы автоматического снижения оборотного штрафа, но практика применения статьи 13.11 КоАП учитывает ряд факторов при выборе конкретного процента внутри вилки 1–3% и при рассмотрении дела в целом:

• Расходы на меры защиты информации. Если оператор до инцидента инвестировал в шифрование, разграничение доступа, регулярный аудит ИСПДн, это свидетельствует о добросовестности и может повлиять на итоговый процент.
• Наличие аккредитованного SOC или подрядчика по информационной безопасности. Постоянный мониторинг инцидентов и документированные регламенты реагирования — аргумент в пользу того, что компания не бездействовала.
• Добровольное и своевременное уведомление Роскомнадзора. Соблюдение сроков 24 и 72 часа само по себе не снижает штраф за утечку, но избавляет от отдельного штрафа за неуведомление (1–3 млн ₽) и демонстрирует сотрудничество с регулятором, что учитывается судом при определении меры ответственности.
• Оперативное устранение последствий. Меры по минимизации ущерба субъектам — блокировка скомпрометированных доступов, уведомление пострадавших, работа с утёкшими данными — тоже фигурируют в материалах дела.

Ни один из этих факторов не гарантирует автоматического уменьшения суммы, но в совокупности они формируют позицию защиты, если дело доходит до суда. Реальные примеры того, как суды применяли эти нормы, разобраны в статье «Утечка персональных данных: судебная практика».

Кто выносит решение и как оспорить сумму

Дела о повторной утечке персональных данных возбуждает Роскомнадзор, но рассматривает и назначает наказание по части 13.11 КоАП, где сумма превышает установленные пороги, — суд. Это отличает оборотный штраф от многих других санкций по 152-ФЗ, которые РКН вправе назначать самостоятельно в рамках административного производства.

Практическое следствие: расчёт выручки, применённый процент внутри вилки 1–3% и итоговая сумма — предмет полноценного судебного разбирательства, а не автоматического начисления. Компания вправе:

• оспаривать саму базу расчёта — какая выручка учтена и за какой период;
• представлять доказательства смягчающих обстоятельств — от инвестиций в защиту информации до оперативного устранения последствий;
• обжаловать квалификацию нарушения как повторного, если с момента исполнения предыдущего постановления фактически прошёл год;
• обжаловать решение суда первой инстанции в апелляционном порядке.

На практике это означает, что итоговая сумма оборотного штрафа часто становится результатом судебного спора, а не механического применения формулы «выручка × 2%». Компании, которые оперативно привлекают юристов и собирают доказательства принятых мер защиты, реально влияют на исход дела — хотя саму вилку 1–3% и пороги 20–500 млн ₽ суд изменить не может, они закреплены законом.

Как не дойти до оборотного штрафа

Оборотный штраф наступает только после первой утечки — значит, лучшая защита от него та же, что и защита от самого первого инцидента, но с удвоенным вниманием после однажды выявленного нарушения:

• Проведите аудит обработки персональных данных сразу после первого инцидента — не дожидаясь второго.
• Устраните конкретную причину первой утечки: незащищённый сервер, форму на сайте без шифрования, отсутствие договора поручения с подрядчиком.
• Ограничьте состав хранимых данных и доступ к ним — меньше данных и меньше точек доступа означают меньше риска повтора.
• Держите регламент уведомления РКН готовым к применению, чтобы не получить дополнительный штраф за молчание поверх основного.

Полную картину сумм по всем видам нарушений, включая первичные утечки и штраф за неуведомление, смотрите в статье «Штрафы за утечку персональных данных в 2026: таблица». Все материалы по теме собраны в хабе «Утечки персональных данных».

Коротко о главном

Оборотный штраф за утечку персональных данных применяется только при повторном нарушении в течение года после первого. База расчёта — совокупная выручка компании за предшествующий год, вилка — 1–3%, но не менее 20 млн и не более 500 млн рублей. Для небольшой компании фактическим штрафом почти всегда становится минимум в 20 млн, для среднего и крупного бизнеса санкция реально масштабируется вместе с оборотом. Единственный надёжный способ избежать оборотного штрафа — не допустить второй утечки: устранить причину первой, ограничить доступ к данным и держать наготове регламент уведомления регулятора.