Аналитики InfoWatch подвели итоги первого полугодия 2026 года: российские компании получили 13 штрафов за утечки персональных данных на общую сумму 2,195 млн рублей. Это в 1,6 раза больше, чем бизнес заплатил за весь 2025 год (1,385 млн рублей). Всего с января 2025-го по июнь 2026-го регуляторы назначили российским организациям 35 взысканий — и за эти полтора года размер штрафов за утечки, по оценке InfoWatch, вырос в 10 раз.
Под прицелом — те, у кого в обороте огромные массивы данных клиентов, работников и партнёров: чаще всего в статистику нарушений попадали ИТ-компании, промышленные предприятия и торговые сети. Чем больше персональных данных в контуре, тем масштабнее последствия одной ошибки — и тем больше счёт от регулятора.
Мировая картина ещё жёстче: за то же полугодие в мире назначено 115 штрафов, свыше 70% из них — европейским компаниям, а самое крупное взыскание — 409 млн долларов — получил южнокорейский маркетплейс Coupang. Показательно, что в России зафиксированы первые применения новых положений КоАП и первый штраф иностранной компании за утечку персональных данных россиян: у регулятора больше нет «исключений» по географии бизнеса.
Ключевые цифры полугодия: 13 штрафов — назначено российским компаниям за 1П2026; 2,195 млн ₽ — сумма штрафов за полугодие, в 1,6 раза больше, чем за весь 2025 год (1,385 млн ₽); 35 взысканий — с января 2025-го по июнь 2026-го; ×10 — во столько за полтора года вырос размер штрафов за утечки ПДн (оценка InfoWatch); ~25% — доля штрафов, назначенных за нарушения по вине персонала.
Сколько стоит слитая база: новая сетка ст. 13.11 КоАП
С 30 мая 2025 года действуют новые положения статьи 13.11 КоАП РФ. Размер штрафа теперь зависит от числа пострадавших граждан, количества утёкших идентификаторов и категории персональных данных:
— 3–5 млн ₽ — затронуты данные от 1 тыс. до 10 тыс. граждан или от 10 тыс. до 100 тыс. идентификаторов;
— 5–10 млн ₽ — от 10 тыс. до 100 тыс. граждан или от 100 тыс. до 1 млн идентификаторов;
— 10–15 млн ₽ — более 100 тыс. пострадавших, свыше 1 млн идентификаторов или утечка специальных категорий данных; — 15–20 млн ₽ — компрометация биометрических данных.
Забыли вовремя сообщить об инциденте Роскомнадзору? Это ещё 1–3 млн рублей штрафа. Повторная утечка обойдётся существенно дороже: оборотное взыскание составит 1–3% годовой выручки, но не менее 20 млн и не более 500 млн рублей. Причём назначить его можно после вступления в силу решения по первому нарушению — то есть годовая выручка компании попадает в расчёт целиком.
Утечек стало меньше, но расслабляться рано
Любопытный парадокс: самих утечек за год стало меньше. По данным Роскомнадзора, в 2025 году зафиксировано 118 случаев компрометации баз персональных данных — в открытый доступ попало более 52 млн записей. В 2024-м инцидентов было 135, а объём утёкшей информации превышал 710 млн записей.
Но снижение числа инцидентов не отменяет главного: штрафная практика растёт, и каждая утечка стала дороже. Регулятор научился находить виноватых, а новая сетка КоАП превратила даже «небольшую» утечку в серьёзную статью расходов.
Отдельная история — торговля. За пять лет, с 2021 по 2025 год, в российском торговом секторе зарегистрировали 711 утечек и более 610 млн скомпрометированных записей покупателей. В одном только 2025 году произошло 188 инцидентов, и больше половины пришлись на маркетплейсы и интернет-магазины. Если ваш бизнес принимает онлайн-заказы и хранит базы клиентов — эта статистика про вас.
В каждом четвёртом случае хакер не нужен
Есть цифра, на которую стоит посмотреть внимательнее: примерно четверть российских штрафов связана с ошибками персонала. Можно установить межсетевые экраны, внедрить системы мониторинга и закрыть все очевидные технические уязвимости — а потом обнаружить клиентскую базу там, где её совершенно не планировали видеть: в переписке, на личной почте сотрудника или в общем облачном диске.
Поэтому в защите персональных данных технические средства и работа с сотрудниками должны идти вместе: понятные правила доступа, контроль операций с информацией, обучение персонала и отработанный порядок действий при инцидентах. Утечка может произойти из-за обычной рабочей ошибки, а разбираться с её последствиями — со штрафами, проверками и репутацией — придётся всей компании.
Кто в организации должен уметь защитить ПДн
Штраф назначается компании, а источник утечки — почти всегда конкретное рабочее место. Чтобы статистика не дописала в свой список вашу организацию, нужны люди, которые умеют на практике:
— выстроить правила доступа и порядок работы с ПДн: чтобы клиентская база не «гуляла» по почте, мессенджерам и личным облачным дискам;
— контролировать операции с информацией: кто, когда и к каким данным обращался;
— уведомлять Роскомнадзор о фактах неправомерной передачи ПДн в установленные сроки — за пропуск сроков отдельный штраф 1–3 млн рублей;
— действовать при инциденте по отработанному плану, а не экспромтом;
— регулярно обучать персонал — четверть штрафов прилетает именно за человеческий фактор.
Отдельный практический момент: в предписаниях по 152-ФЗ требование к персоналу — почти стандарт: обучение и повышение квалификации по информационной безопасности. Квалификацию персонала регулятор проверяет не в последнюю очередь, и закрыть это требование проще всего программами учебного центра ДПО.
Где прокачать компетенции: программы «Айтиком Академии»
Мы — учебный центр ДПО, наши программы сертифицированы ФСТЭК России, дипломы вносятся в ФИС ФРДО. Эту задачу закрывают три наши программы:
Запишитесь на бесплатную консультацию с экспертом по ИБ-нормативке: разберём, какие требования уже касаются вашей организации, и составим план подготовки.
8 (800) 550-76-43 — звонок по России бесплатный.
info@itcom-academy.ru
Набор в группы уже идёт.
Новости
Остались вопросы
Оставьте номер телефона, мы перезвоним в ближайшее время