За полгода российский бизнес заплатил штрафов за утечки данных на 2,2 млн рублей

Российские организации получили 13 штрафов на 2,195 млн рублей за утечки персональных данных в первом полугодии 2026 года. Это примерно в 1,6 раза больше, чем компании заплатили за весь 2025 год, когда сумма взысканий составила 1,385 млн рублей. Статистику представили аналитики InfoWatch, которые изучили, как за компрометацию информации наказывают в России и других странах.

По подсчётам InfoWatch, за первое полугодие 2026 года в мире зафиксировали 115 подобных взысканий, и 13 из них, или около 11%, пришлись на российские организации. С начала 2025 года по июнь 2026 года компании в России получили 35 штрафов, а суммы распределялись неравномерно:

• первое полугодие 2025 года принесло 725 тыс. рублей взысканий;
• второе полугодие 2025 года добавило 660 тыс. рублей;
• первое полугодие 2026 года дало 2,195 млн рублей, что превышает итог всего предыдущего года.

Примерно четверть российских наказаний связана с ошибками самих сотрудников. Причиной разбирательства становятся не только уязвимости и действия хакеров, но и неосторожность персонала, ошибки при работе с информацией и несоблюдение внутренних правил. В списке нарушителей преобладали ИТ-компании, промышленные предприятия и торговые организации, у которых хранятся огромные массивы сведений о клиентах, сотрудниках и партнёрах, поэтому одна ошибка способна затронуть тысячи людей.

За исследованный период впервые назначили наказание по обновлённым нормам КоАП, которые действуют с 30 мая 2025 года, и впервые оштрафовали иностранную организацию за компрометацию данных россиян. Ею стала торговая платформа Taobao, входящая в Alibaba Group.

Во сколько обходится утечка

Федеральный закон № 420-ФЗ от 30 ноября 2024 года изменил статью 13.11 КоАП РФ, и теперь размер штрафа зависит от числа пострадавших граждан, количества утёкших идентификаторов и характера сведений. Для организаций установлены следующие диапазоны:

• от 3 до 5 млн рублей при утечке данных от 1 тыс. до 10 тыс. граждан или от 10 тыс. до 100 тыс. идентификаторов;
• от 5 до 10 млн рублей при утечке данных от 10 тыс. до 100 тыс. человек или от 100 тыс. до 1 млн идентификаторов;
• от 10 до 15 млн рублей при утечке данных более 100 тыс. человек, свыше 1 млн идентификаторов или специальных категорий сведений;
• от 15 до 20 млн рублей при утечке биометрии.

За несвоевременное уведомление Роскомнадзора об утечке организации грозит штраф от 1 до 3 млн рублей. Повторная утечка обойдётся дороже, и оборотный штраф составит от 1% до 3% годовой выручки, но не меньше 25 млн и не больше 500 млн рублей. Для маркетплейсов и торговых сетей это способно оказаться значительно больше фиксированных сумм, хотя применить норму можно только после вступления в силу решения по первому нарушению.

Меньше утечек, но не меньше риска

По данным Роскомнадзора, в 2025 году зафиксировали 118 компрометаций баз данных и более 52 млн записей в открытом доступе. Годом ранее было 135 инцидентов и свыше 710 млн записей, то есть число утечек сократилось примерно на 13%, а объём данных уменьшился почти в 14 раз. InfoWatch оценил масштаб проблемы за последние годы в цифрах:

• с 2023 по 2025 год в России утекло около 4,5 млрд записей, а в мире более 100 млрд;
• в 2025 году на каждую российскую утечку приходилось в среднем около 3,27 млн записей, что на 25,8% больше результата 2024 года и на 44% выше показателя 2023 года;
• с 2021 по 2025 год в торговом секторе России зарегистрировали 711 утечек и более 610 млн скомпрометированных записей покупателей;
• в 2025 году в торговле произошло 188 инцидентов против 13 в 2021 году, и более половины пришлись на маркетплейсы и интернет-магазины.

Даже 52 млн записей хватает мошенникам для адресного фишинга и звонков от имени банков и госорганов. Для россиян это означает сообщения и звонки, где аферисты называют настоящие имена, телефоны и адреса почты. Часть похищенных баз расходится через закрытые площадки, а некоторые попадают в продажу спустя долгое время после взлома, поэтому число публикаций нельзя приравнивать к числу новых атак.

Почему оборотные штрафы пока не применяют

В августе 2026 года заместитель руководителя Роскомнадзора Милош Вагнер сообщил, что с начала 2025 года ведомство не выявило ни одного повторного инцидента, подпадающего под нормы об оборотных штрафах. Работа Роскомнадзора за этот период дала следующие результаты:

• проведено 52 административных расследования;
• составлено 40 протоколов;
• назначено штрафов на 2,6 млн рублей;
• организовано пять внеплановых проверок;
• проверено 159 тыс. интернет-ресурсов, и на 135 тыс. из них нашли нарушения требований о персональных данных.

Руководитель направления аналитики и специальных проектов InfoWatch Андрей Арсентьев отметил, что массовое применение новых санкций начнётся после накопления решений по первым делам, а заметный рост оборотных штрафов стоит ожидать с 2027 года.

Как отметил Кирилл Тимофеев, руководитель ИТ-департамента «ОБИТ», в комментарии для CISOCLUB, на его взгляд, важен не только сам факт ужесточения штрафов за утечку данных, но и формирование единообразной практики применения. Пока нормы только проверяются на прочность, и новые прецеденты будут показательными. Очевидно одно: цена системных недоработок будет сопоставима с серьезными финансовыми последствиями, нужно быть готовыми к этому.

Эксперты CISOCLUB отметили, что рост штрафов за полугодие объясняется не только числом инцидентов, но и тем, что регулятор начал применять новые нормы КоАП в реальных делах. Для компаний с большой клиентской базой главным риском остаётся повторная утечка, ведь оборотный штраф до 500 млн рублей способен перевесить годовые расходы на защиту данных. Уведомление Роскомнадзора в установленный срок обходится заметно дешевле штрафа от 1 до 3 млн рублей, поэтому прятать инцидент невыгодно.

Около четверти российских наказаний приходится на ошибки сотрудников, и этот источник проблем закрывается обучением и жёстким разграничением прав доступа. Первое решение об оборотном штрафе, скорее всего, изменит отношение бизнеса к срокам хранения и объёмам собираемых персональных данных. Компаниям стоит сократить хранимые массивы, пересмотреть доступы и заранее подготовить порядок уведомления регулятора, пока заметный рост проверок и взысканий не наступил.

Ранее сообщалось, что южнокорейский регулятор назначил крупнейшей торговой платформе страны Coupang штраф в размере 624,6 млрд вон, что эквивалентно примерно 409 млн долларов. Поводом стала масштабная утечка персональных данных, затронувшая более 37 млн пользователей сервиса. Комиссия по защите персональных данных Южной Кореи (PIPC) в ходе расследования обнаружила серьёзные недостатки в системе информационной безопасности компании.