Утечка персональных данных и штраф за неё раньше почти не волновали малый бизнес. Наказание измерялось десятками тысяч рублей, и многие считали его платой за неудобство. С 30 мая 2025 года ситуация другая. Штраф теперь зависит от того, сколько людей пострадало, а за повторный случай считается от выручки. Ниже суммы из закона, типичные источники утечек и порядок действий для компании без собственного отдела безопасности.
Штраф за утечку персональных данных после 30 мая 2025 года
Федеральный закон от 30.11.2024 № 420-ФЗ переписал статью 13.11 КоАП РФ. Новые составы вступили в силу 30 мая 2025 года, подробный разбор есть на Право.ру. Для юридических лиц штрафы выглядят так.
- От 3 до 5 млн ₽, если утекли данные от 1 000 до 10 000 человек.
- От 5 до 10 млн ₽, если пострадали от 10 000 до 100 000 человек.
- От 10 до 15 млн ₽, если утечка затронула больше 100 000 человек.
- От 10 до 15 млн ₽ за утечку специальных категорий данных, например сведений о здоровье.
Главная новость в повторных нарушениях. Если утечка случилась снова, компании грозят оборотные штрафы от 1 до 3% совокупной выручки за предыдущий год. Нижняя граница 20 млн ₽, верхняя 500 млн ₽. Для компании с выручкой 300 млн ₽ в год это минимум 20 млн ₽, то есть несколько годовых прибылей небольшого бизнеса.
Штраф закрывает вопрос с государством, но не с клиентами. Люди, чьи данные оказались в открытом доступе, вправе требовать возмещения вреда. К этому добавляются простой, расходы на расследование и потеря репутации, которую сложно посчитать в рублях.
Почему маленькая клиентская база тоже под риском
Первый порог в законе равен 1 000 человек. Это меньше, чем кажется.
Салон красоты за три года работы собирает телефоны и имена 3-4 тысяч клиентов. Частная клиника хранит карты пациентов, и это уже специальная категория, за которую штраф начинается с 10 млн ₽ вне зависимости от размера базы. Небольшой интернет-магазин накапливает десятки тысяч адресов доставки за пару лет. Онлайн-школа, фитнес-клуб, автосервис с записью через сайт попадают в ту же зону.
Утечки при этом не редкость. По данным Роскомнадзора, в 2025 году зафиксировано 118 утечек и больше 52 млн записей, годом ранее 135 утечек и больше 710 млн записей. Это только случаи, которые попали в официальную статистику.
Злоумышленникам не нужно выбирать именно вас. Программы перебирают адреса в интернете автоматически и находят открытые сервисы у всех подряд. Если подозрение на взлом уже есть, порядок первых действий мы описали в статье о том, что делать, если взломали сервер.
Откуда чаще всего утекают персональные данные
В нашей практике реагирования на инциденты источник почти всегда прозаичен. Сложных атак мало, неубранных мелочей много.
- Открытая наружу база данных или CRM. Сервер развернули для теста, забыли закрыть доступ, а он работает уже второй год.
- Удалённый рабочий стол со слабым паролем. Через него заходят и шифруют серверы, а заодно копируют всё, что представляет ценность.
- Старая версия сайта или CMS. Уязвимость в плагине или модуле даёт доступ к таблице заказов.
- Учётные записи сотрудников. Пароль от почты или CRM утёк с другого сервиса, двухфакторной защиты нет, вход выглядит законным.
- Подрядчики. Агентство, интегратор или колл-центр работает с вашей базой на своей стороне, и утечка у них становится вашей проблемой.
- Выгрузки в общих папках. Таблица клиентов в облачном хранилище с доступом по ссылке для всех.
Отдельный сценарий связан с шифровальщиками. Современные группировки сначала выгружают данные и только потом шифруют. Компания получает сразу две проблемы, то есть остановку работы и утечку, о которой придётся сообщать регулятору.
Защита персональных данных клиентов, с чего начать
Большой проект по 152-ФЗ с аудитом и пакетом документов полезен, но первые шаги можно сделать за пару недель. Мы бы начали в таком порядке.
- Посчитайте, что и где хранится. Сколько клиентов в базе, есть ли сведения о здоровье, в каких системах лежат данные, у каких подрядчиков есть копии.
- Проверьте, что видно из интернета. Открытые порты, панели администрирования, базы данных, удалённый рабочий стол. Это то же, что видит сканер злоумышленника.
- Закройте лишние доступы. Удалённый доступ только через VPN, двухфакторная аутентификация на почте и CRM, отключённые учётные записи уволенных сотрудников.
- Сделайте копии, которые нельзя изменить. Они не предотвратят утечку, но позволят быстро вернуться к работе после шифрования. Как это устроить, мы разобрали в статье про резервную копию, которую не зашифрует хакер.
- Подготовьте порядок действий на случай инцидента. Кто звонит специалистам, кто готовит уведомление, где лежат контакты.
Последний пункт часто недооценивают. Статья 21 закона о персональных данных обязывает сообщить в Роскомнадзор об инциденте в течение 24 часов, а о результатах внутреннего расследования в течение 72 часов (текст статьи на КонсультантПлюс). Без подготовки за эти сроки трудно даже понять, что именно произошло.
Сутки на уведомление
Если в компании нет человека, который за 24 часа соберёт сведения об утечке, это стоит решить заранее, а не в день инцидента.
Для компании без своего ИТ-отдела эти шаги можно передать на сервис. Кибер.Дозор берёт на себя контроль периметра, защиту до трёх серверов или компьютеров и облачные копии за 24 900 ₽ в месяц. Это дешевле минимального штрафа примерно в 10 раз за год.
Как киберполис покрывает ущерб третьим лицам
Даже при хорошей защите риск не равен нулю. Поэтому вторая линия обороны финансовая.
Киберстрахование покрывает расходы, которые возникают после инцидента. Это восстановление систем, расследование, перерыв в деятельности и ответственность перед третьими лицами, то есть претензии клиентов и партнёров, чьи данные пострадали. Административный штраф полисом обычно не возмещается, поэтому страховка не отменяет защиту, а дополняет её.
Кибер-Инго Смарт мы сделали вместе с СПАО «Ингосстрах». Оформление занимает 2-3 дня без длинных анкет, покрытие до 500 млн ₽, внутри полиса работает платформа 4sec. Получается связка, в которой платформа снижает вероятность утечки, а полис закрывает финансовые последствия, если она всё же случилась.
Что запомнить
Штраф за утечку персональных данных стал заметной статьёй риска даже для бизнеса из нескольких человек. Порог в 1 000 клиентов проходит почти любая компания с CRM, а медицинские данные дают 10-15 млн ₽ сразу. Повторная утечка переводит разговор в проценты от выручки.
Хорошая новость в том, что большинство утечек начинается с простых причин. Открытый порт, слабый пароль, забытая выгрузка. Их видно снаружи, и их можно закрыть до того, как ими воспользуется кто-то другой.