Как не платить штраф, даже если нарушили правила по персональным данным
Из этой статьи вы узнаете:
За утечку персональных данных компаниям и ИП грозят огромные штрафы. Но есть вариант не платить и отделаться предупреждением, даже если что-то нарушили. На примерах из судебной практики показали, какие аргументы помогут спасти бюджет компании, а в каких случаях без финансовых санкций не обойтись.
Когда даже при утечке персданных удается обойтись без штрафа
В прошлом году ужесточили ответственность за нарушения в сфере персональных данных. Дороже всего обходится утечка — ввели многомиллионные штрафы. Но у компаний остается шанс отделаться предупреждением. Рассказали, какие аргументы засчитывают судьи.
Компания своевременно отреагировала на инцидент. У компании есть 24 часа, чтобы уведомить Роскомнадзор об утечке и создать комиссию для внутреннего расследования. Еще 72 часа — на подготовку отчета о результатах расследования (п. 3.1 ст. 21 Федерального закона от 27.07.2006 № 152-ФЗ). Если компания выполнит эти требования, это учтут как смягчающее обстоятельство. Суд оценит, насколько быстро компания обнаружила инцидент, приняла меры и уведомила Роскомнадзор.
Нарушили впервые, вреда нет. Допустим, хакеры получили доступ к данным работников и соискателей компании. В базе были персональные данные менее 1000 человек, поэтому Роскомнадзор возбудил дело по части 1 статьи 13.11 КоАП, которая предусматривает штраф до 300 тыс. руб. Однако компания получила предупреждение, а не штраф. Суд учел, что компания уведомила Роскомнадзор об утечке в течение 24 часов после инцидента. Помимо этого, есть основания для замены штрафа на предупреждение: нарушение совершили впервые, нет вреда жизни и здоровью граждан либо угрозы его причинения, отсутствует имущественный ущерб (решение АС Кемеровской области от 19.01.2026 № А27-27136/2025).
Но даже если ранее компания уже допускала нарушения, это не означает, что она навсегда потеряла право получить вместо штрафа предупреждение. Подробнее о том, как даже в таких случаях избежать финансовых санкций, — в третьем разделе этой статьи. Чтобы подтвердить, что есть основания назначить предупреждение вместо штрафа, какие-либо документы не нужны. Доказывать, что нарушила впервые, компания не обязана — это отрицательный факт, как и отсутствие ущерба или угрозы, что он возникнет. Как раз госорган должен подтверждать обратное.
Из-за нарушений контрагента накажут компанию
Компания как оператор персональных данных отвечает за их утечку, даже если это произошло через подрядчика. Данные сотрудников Минтруда выложили в интернете. Минтруд оштрафовали на 100 тыс. руб. Верховный суд штраф одобрил. Довод Минтруда, что утечка персональных данных сотрудников произошла через доступ злоумышленника к инфраструктуре подрядной организации, которая не обеспечила надлежащую защиту, и в этом вины госоргана нет, судьи не приняли (постановление ВС от 21.01.2026 № 5-АД25-119-К2).
Какие нарушения не помешают заменить штраф на предупреждение
Замены штрафа можно добиться, даже если нарушение совершили не впервые. Предупреждение можно получить вместо штрафа за первое нарушение, но это не означает, что суд откажет из-за любого прежнего проступка. Ключевое значение имеет срок, прошедший с момента исполнения наказания. Прошел год с момента, как оплатили прошлый штраф, — его уже не учтут.
Если прошлое наказание — не штраф, а предупреждение, год отсчитают с момента, когда постановление вступило в силу (ст. 4.6 и ч. 1 ст. 31.9 КоАП, п. 56 Обзора Верховного суда от 26.12.2018 № 4). Например, компания получила штраф в 2024 году, оплатила его в декабре того же года. Новое нарушение произошло в 2026 году. Прошло более года, поэтому старое наказание не считается (постановление Арбитражного суда Уральского округа от 14.07.2023 по делу № А71- 17430/2022). Если же вынесли несколько постановлений со штрафами в один день, заменить на предупреждение удастся только самый первый (постановление Арбитражного суда Московского округа от 13.02.2023 по делу № А40- 58097/2022).
Как отменить штраф, если нарушение нашли не во время проверки
Одно из условий замены штрафа — нарушение выявили в ходе государственного или муниципального контроля. Однако на практике госорганы часто по-своему толкуют это условие. Вот только госконтроль в делах по КоАП — это любое выявление нарушения.
Вот пример из недавнего спора. Роскомнадзор обратился в суд с требованием привлечь компанию к ответственности за нарушение после того, как она сама сообщила о DDoS-атаке и утечке данных сотрудников и соискателей. Компания просила заменить штраф на предупреждение. Роскомнадзор настаивал, что предупреждение нельзя применять, поскольку нарушение выявили не в ходе госконтроля. Суд отметил, что нарушение само по себе свидетельствует о реализации функций государственного контроля, даже если оно произошло не в рамках контрольного мероприятия (решение Арбитражного суда Кемеровской области от 19.01.2026 по делу № А27- 27136/2025)
РКН штрафует без предупреждений
Не ждите уведомлений о том, что ваша компания нарушила закон о персональных данных. Роскомнадзор не обязан рассылать предупреждения — он сразу штрафует. Это подтверждает судебная практика. Если получили письмо якобы от Роскомнадзора о нарушениях на сайте компании — проверьте адрес отправителя. Такие письма рассылают мошенники (информация на rkn.gov.ru от 29.04.2026 и от 06.05.2026).
Например, Роскомнадзор обнаружил, что компания разместила на сайте формы для сбора персданных посетителей: Ф. И. О., адрес электронной почты, номер телефона, должность и место работы. На сайте вели обработку персональных данных через счетчики «Яндекс Метрика» и Google Analytics. Компании выписали три штрафа:
— 50 000 руб. — за то, что не сообщили в Роскомнадзор о намерении обрабатывать персданные;
— 30 000 руб. — за отсутствие на сайте политики по обработке персданных;
— 75 000 руб. — за сбор данных без согласия.
Владелец сайта пробовал оспорить штрафы или снизить их. Он ссылался на то, что Роскомнадзор не выносил предупреждений, а нарушение совершено впервые, оно не причинило вреда и компания его уже устранила. Доводы суд не принял. Он подчеркнул, что компания сама по закону обязана соблюдать требования к работе с персданными и предупреждения не требуются (постановления Арбитражного суда г. Москвы от 04.02.2026 № А40-342666/25-93-2864, от 05.02.2026 № А40-342669/25-145-2654, от 06.03.2026 № А40-342668/2025).
Убедитесь, что получили согласия сотрудников или клиентов на обработку персданных, и проверьте содержание этих документов. Например, ...
- как отбиться от штрафа за утечку персданных;
- когда получится заменить штраф на предупреждение;
- как отменить штраф, а когда это сделать не получится.
Юлия Рачкова,
эксперт журнала «Зарплата»
За утечку персональных данных компаниям и ИП грозят огромные штрафы. Но есть вариант не платить и отделаться предупреждением, даже если что-то нарушили. На примерах из судебной практики показали, какие аргументы помогут спасти бюджет компании, а в каких случаях без финансовых санкций не обойтись.
Когда даже при утечке персданных удается обойтись без штрафа
В прошлом году ужесточили ответственность за нарушения в сфере персональных данных. Дороже всего обходится утечка — ввели многомиллионные штрафы. Но у компаний остается шанс отделаться предупреждением. Рассказали, какие аргументы засчитывают судьи.
Компания своевременно отреагировала на инцидент. У компании есть 24 часа, чтобы уведомить Роскомнадзор об утечке и создать комиссию для внутреннего расследования. Еще 72 часа — на подготовку отчета о результатах расследования (п. 3.1 ст. 21 Федерального закона от 27.07.2006 № 152-ФЗ). Если компания выполнит эти требования, это учтут как смягчающее обстоятельство. Суд оценит, насколько быстро компания обнаружила инцидент, приняла меры и уведомила Роскомнадзор.
Нарушили впервые, вреда нет. Допустим, хакеры получили доступ к данным работников и соискателей компании. В базе были персональные данные менее 1000 человек, поэтому Роскомнадзор возбудил дело по части 1 статьи 13.11 КоАП, которая предусматривает штраф до 300 тыс. руб. Однако компания получила предупреждение, а не штраф. Суд учел, что компания уведомила Роскомнадзор об утечке в течение 24 часов после инцидента. Помимо этого, есть основания для замены штрафа на предупреждение: нарушение совершили впервые, нет вреда жизни и здоровью граждан либо угрозы его причинения, отсутствует имущественный ущерб (решение АС Кемеровской области от 19.01.2026 № А27-27136/2025).
Но даже если ранее компания уже допускала нарушения, это не означает, что она навсегда потеряла право получить вместо штрафа предупреждение. Подробнее о том, как даже в таких случаях избежать финансовых санкций, — в третьем разделе этой статьи. Чтобы подтвердить, что есть основания назначить предупреждение вместо штрафа, какие-либо документы не нужны. Доказывать, что нарушила впервые, компания не обязана — это отрицательный факт, как и отсутствие ущерба или угрозы, что он возникнет. Как раз госорган должен подтверждать обратное.
Из-за нарушений контрагента накажут компанию
Компания как оператор персональных данных отвечает за их утечку, даже если это произошло через подрядчика. Данные сотрудников Минтруда выложили в интернете. Минтруд оштрафовали на 100 тыс. руб. Верховный суд штраф одобрил. Довод Минтруда, что утечка персональных данных сотрудников произошла через доступ злоумышленника к инфраструктуре подрядной организации, которая не обеспечила надлежащую защиту, и в этом вины госоргана нет, судьи не приняли (постановление ВС от 21.01.2026 № 5-АД25-119-К2).
Какие нарушения не помешают заменить штраф на предупреждение
Замены штрафа можно добиться, даже если нарушение совершили не впервые. Предупреждение можно получить вместо штрафа за первое нарушение, но это не означает, что суд откажет из-за любого прежнего проступка. Ключевое значение имеет срок, прошедший с момента исполнения наказания. Прошел год с момента, как оплатили прошлый штраф, — его уже не учтут.
Если прошлое наказание — не штраф, а предупреждение, год отсчитают с момента, когда постановление вступило в силу (ст. 4.6 и ч. 1 ст. 31.9 КоАП, п. 56 Обзора Верховного суда от 26.12.2018 № 4). Например, компания получила штраф в 2024 году, оплатила его в декабре того же года. Новое нарушение произошло в 2026 году. Прошло более года, поэтому старое наказание не считается (постановление Арбитражного суда Уральского округа от 14.07.2023 по делу № А71- 17430/2022). Если же вынесли несколько постановлений со штрафами в один день, заменить на предупреждение удастся только самый первый (постановление Арбитражного суда Московского округа от 13.02.2023 по делу № А40- 58097/2022).
Как отменить штраф, если нарушение нашли не во время проверки
Одно из условий замены штрафа — нарушение выявили в ходе государственного или муниципального контроля. Однако на практике госорганы часто по-своему толкуют это условие. Вот только госконтроль в делах по КоАП — это любое выявление нарушения.
Вот пример из недавнего спора. Роскомнадзор обратился в суд с требованием привлечь компанию к ответственности за нарушение после того, как она сама сообщила о DDoS-атаке и утечке данных сотрудников и соискателей. Компания просила заменить штраф на предупреждение. Роскомнадзор настаивал, что предупреждение нельзя применять, поскольку нарушение выявили не в ходе госконтроля. Суд отметил, что нарушение само по себе свидетельствует о реализации функций государственного контроля, даже если оно произошло не в рамках контрольного мероприятия (решение Арбитражного суда Кемеровской области от 19.01.2026 по делу № А27- 27136/2025)
РКН штрафует без предупреждений
Не ждите уведомлений о том, что ваша компания нарушила закон о персональных данных. Роскомнадзор не обязан рассылать предупреждения — он сразу штрафует. Это подтверждает судебная практика. Если получили письмо якобы от Роскомнадзора о нарушениях на сайте компании — проверьте адрес отправителя. Такие письма рассылают мошенники (информация на rkn.gov.ru от 29.04.2026 и от 06.05.2026).
Например, Роскомнадзор обнаружил, что компания разместила на сайте формы для сбора персданных посетителей: Ф. И. О., адрес электронной почты, номер телефона, должность и место работы. На сайте вели обработку персональных данных через счетчики «Яндекс Метрика» и Google Analytics. Компании выписали три штрафа:
— 50 000 руб. — за то, что не сообщили в Роскомнадзор о намерении обрабатывать персданные;
— 30 000 руб. — за отсутствие на сайте политики по обработке персданных;
— 75 000 руб. — за сбор данных без согласия.
Владелец сайта пробовал оспорить штрафы или снизить их. Он ссылался на то, что Роскомнадзор не выносил предупреждений, а нарушение совершено впервые, оно не причинило вреда и компания его уже устранила. Доводы суд не принял. Он подчеркнул, что компания сама по закону обязана соблюдать требования к работе с персданными и предупреждения не требуются (постановления Арбитражного суда г. Москвы от 04.02.2026 № А40-342666/25-93-2864, от 05.02.2026 № А40-342669/25-145-2654, от 06.03.2026 № А40-342668/2025).
Убедитесь, что получили согласия сотрудников или клиентов на обработку персданных, и проверьте содержание этих документов. Например, ...
Информационный источник публикации Актион МЦФЭР
Источник изображения Magnific
