Утечка персональных данных: что делать за 24 часа и какие штрафы с 2025 года
Коротко: если данные клиентов утекли — через взломанный сайт, выгрузку из CRM или забытую таблицу в открытом доступе, — компания обязана сообщить в Роскомнадзор в течение 24 часов. С 30 мая 2025 года штраф за саму утечку — от 3 до 15 млн рублей в зависимости от числа пострадавших, а за повторную — процент от годовой выручки.
Что считается утечкой
Любой случай, когда персональные данные оказались у тех, у кого их быть не должно. Для небольшого бизнеса это чаще всего:
- взлом сайта и кража заявок из формы или базы;
- таблица с клиентами в открытом доступе по ссылке;
- уволенный сотрудник сохранил доступ к CRM или выгрузил базу;
- файлы с данными лежат на сайте в открытой папке (выгрузки, резервные копии);
- рассылка, в которой все адреса видны всем получателям.
Что делать, если утечка произошла
- В течение 24 часов — уведомить Роскомнадзор: что случилось, какие данные затронуты, что уже сделано (ч. 3.1 ст. 21 152-ФЗ).
- В течение 72 часов — сообщить результаты внутреннего расследования и кто виноват, если удалось установить.
- Закрыть причину: сменить пароли, отключить доступы, удалить открытые файлы, обновить сайт.
Штрафы за утечку
| Сколько человек затронуто | Штраф для компании |
|---|---|
| от 1 000 до 10 000 | 3 – 5 млн ₽ |
| от 10 000 до 100 000 | 5 – 10 млн ₽ |
| более 100 000 | 10 – 15 млн ₽ |
| повторная утечка | процент от годовой выручки, от 20 млн ₽ |
Как снизить риск утечки через сайт
- Обновлять движок, плагины и PHP — большинство взломов идёт через старые версии с известными уязвимостями.
- Не хранить заявки на сайте дольше, чем нужно: передавать в CRM и удалять.
- Включить HTTPS — без него данные из форм передаются открытым текстом.
- Убрать из открытого доступа резервные копии и выгрузки.
- Отключать доступы сотрудникам в день увольнения.
Наша проверка показывает то, что видит любой посетитель, в том числе потенциальный взломщик: устаревшие версии программ, отсутствие защищённого соединения и признаки уже случившегося взлома.
Проверьте свой сайт бесплатно
Введите адрес — за минуту покажем, есть ли на сайте эти нарушения и какие штрафы за них грозят.
Статья — общая информация, а не юридическая консультация. Суммы штрафов указаны по ст. 13.11 КоАП РФ в редакции, действующей с 30 мая 2025 года. Решение о штрафе принимает Роскомнадзор или суд.