Какие компании могут получить штрафы за нарушения правил обработки персональных данных в 2025 году

Нецелевая обработка персональных данных

Организации и ИП могут запрашивать у физлиц их персональные данные исключительно в ограниченных законом целях (например, для заключения трудового договора, для оформления и исполнения гражданско-правового договора, для представления в контролирующие органы обязательной отчетности и т.д.). 

Нецелевые сбор и обработка персональных данных запрещены (ч.2 ст.5 Федерального закона от 27.07.2006 №152-ФЗ «О персональных данных»). Например, при трудоустройстве запрещается требовать у работника раскрытия информации о вероисповедании, беременности, национальности. При этом получаемая для трудоустройства информация может использоваться только в целях оформления трудовых отношений и ведения кадрового учета. Использовать полученные от соискателя сведения в других целях (например, рекламных) работодатели не могут. 

Несоблюдение данных ограничений в части нецелевого сбора и использования персональных данных влечет наложение административного штрафа по ч.1 ст.13.11 КоАП РФ. С 30 мая 2025 года штрафы по данному составу правонарушения будут повышены и составят:

• от 10 000 до 15 000 рублей – для граждан (сейчас от 2 000 до 6 000 рублей);
• от 50 000 до 100 000 рублей – для индивидуальных предпринимателей (сейчас от 10 000 до 20 000 рублей);
• от 50 000 до 100 000 рублей – для должностных лиц организаций (сейчас от 10 000 до 20 000 рублей);
• от 150 000 до 300 000 рублей – для организаций (сейчас от 60 000 до 100 000 рублей).

Обработка персональных данных физлица без его согласия

Прежде, чем приступить к сбору и обработке персональных данных, компания обязана запросить у физлица письменное разрешение (ч. 4 ст. 9 Федерального закона от 27.07.2006 №152-ФЗ). 

Получать и обрабатывать персональные данные без такого разрешения можно только в случаях, прямо указанных в ч.2 ст.9 Федерального закона от 27.07.2006 №152-ФЗ. В частности, без согласия можно обрабатывать персональные данные, обработка которых необходима для исполнения договора, стороной которого выступает сам субъект персональных данных. 

Во всех других случаях обработка персональных данных без согласия влечет ответственность по ч.2 ст.13.11 КоАП РФ. Данная норма предусматривает следующие штрафы (с 30 мая эти штрафы не поменяются):

• от 10 000 до 15 000 рублей – для граждан;
• от 100 000 до 300 000 рублей – для индивидуальных предпринимателей;
• от 100 000 до 300 000 рублей – для должностных лиц организаций;
• от 300 000 до 700 000 рублей – для организаций. 

Отсутствие политики обработки персональных данных

Все компании должны утверждать, размещать в открытом доступе и знакомить любых желающих физлиц со своей политикой обработки персональных данных (ч.2 ст.18.1 Федерального закона от 27.07.2006 №152-ФЗ). Неутверждение такой политики и неразмещение ее в открытом доступе, в том числе, в интернете, влечет наложение административного штрафа по ч.3 ст.13.11 КоАП РФ в размере (с 30 мая штрафы не поменяются):

• от 1 500 до 3 000 рублей – для граждан;
• от 10 000 до 20 000 рублей – для индивидуальных предпринимателей;
• от 6 000 до 12 000 рублей – для должностных лиц организаций;
• от 30 000 до 60 000 рублей – для организаций.

Игнорирование запросов физлиц по вопросам обработки их персональных данных

Компании по первому запросу физлиц обязаны раскрывать все сведения, касающиеся обработки их персональных данных. В частности, должны разъяснять, на каком основании получили доступ к персональным данным лица, в каких целях используют эти данные, и в течение какого срока будет происходить обработка персданных. Также физлица вправе требовать предоставления ФИО и адреса лица, непосредственного осуществляющего обработку их персональных данных (ч.7 ст.14 Федерального закона от 27.07.2006 №152-ФЗ). 

Непредоставление такой информации грозит штрафами по ч.4 ст.13.11 КоАП РФ. Штрафы по указанной норме назначают в размерах (с 30 мая штрафы не поменяются):

• от 2 000 до 4 000 рублей – для граждан;
• от 20 000 до 30 000 рублей – для индивидуальных предпринимателей;
• от 8 000 до 12 000 рублей – для должностных лиц организаций;
• от 40 000 до 80 000 рублей – для организаций.

Непрекращение обработки персональных данных по требованию физлица

Компании должны блокировать и прекращать действия с персональными данными, обработка которых осуществляется неправомерно, по первому требованию субъекта таких персональных данных (ч.1 ст.21 Федерального закона от 27.07.2006 №152-ФЗ). Непрекращение неправомерной обработки персональных данных влечет наложение штрафов по ч.5 ст.13.11 КоАП РФ в размере (с 30 мая штрафы не изменятся):

• от 2 000 до 4 000 рублей – для граждан;
• от 8 000 до 20 000 – для должностных лиц организаций;
• от 20 000 до 40 000 рублей – для индивидуальных предпринимателей;
• от 50 000 до 90 000 рублей – для организаций.

Неподача уведомления об обработке персональных данных

Перед началом обработки персональных данных любая компания/ИП должны направить в Роскомнадзор уведомление о такой обработке на основании ст.22 Федерального закона от 27.07.2006 №152-ФЗ. Неисполнение данной обязанности с 30 мая 2025 года может повлечь наложение штрафов по ч.10 ст.13.11 КоАП РФ в размере (до 30 мая штрафы назначают в размере от 3 000 до 5 000 по ст.19.7 КоАП РФ):

• от 5 000 до 10 000 рублей – для физлиц;
• от 100 000 до 300 000 рублей – для индивидуальных предпринимателей;
• от 30 000 до 50 000 рублей – для должностных лиц организаций;
• от 100 000 до 300 000 рублей – для организаций.

Неподача уведомления об утечке персональных данных

В течение 24 часов компании должны уведомлять Роскомнадзор об утечке персональных данных (ч. 3.1 ст. 21 Федерального закона от 27.07.2006 №152-ФЗ). Неисполнение данной обязанности, равно как и нарушение сроков ее исполнения с 30 мая 2025 года повлечет наложение штрафов в следующих размерах (до указанного момента штрафы назначают по ст.19.7 КоАП РФ в размере от 3 000 до 5 000 рублей):

• от 50 000 до 100 000 рублей – для физлиц;
• от 1 до 3 млн рублей – для индивидуальных предпринимателей;
• от 400 000 до 800 000 рублей – для должностных лиц организаций;
• от 1 до 3 млн рублей – для организаций.

В материале использованы фото: FAMILY STOCK / Shutterstock / Fotodom.