С каждым годом требования к защите персональных данных ужесточаются, а нарушители сталкиваются с всё более серьёзными финансовыми санкциями. В данной статье рассмотрим, что считается избыточной обработкой, какие нормы регулируют эту сферу, какие штрафы предусмотрены законодательством и как компаниям минимизировать риски.
Что понимается под избыточной обработкой персональных данных?
Избыточной обработкой считается сбор, хранение, использование или передача персональных данных в объёмах, превышающих те, которые необходимы для достижения заявленной цели. К типичным примерам относятся:
- Сбор данных, не связанных с договором или оказанием услуги (например, запрос паспортных данных при оформлении подписки на новостную рассылку).
- Хранение информации дольше установленного срока без правового основания.
- Передача данных третьим лицам без получения явного согласия субъекта.
- Использование персональных данных для целей, не указанных в политике конфиденциальности (например, маркетинговые исследования без согласия).
Нормативная база в Российской Федерации
Основным законодательным актом, регулирующим обработку персональных данных, является Федеральный закон № 152‑ФЗ «О персональных данных». За нарушение его положений предусмотрена административная ответственность по статье 13.11 Кодекса об административных правонарушениях (КоАП) РФ.
Согласно ч. 1 ст. 13.11 КоАП РФ:
Обработка персональных данных в случаях, не предусмотренных законодательством РФ в области персональных данных, либо без необходимого согласия субъекта данных, влечёт наложение штрафа.
С 30 мая 2025 года размеры штрафов были значительно увеличены, что отражает стремление государства усилить защиту прав граждан.
Размеры штрафов за избыточную обработку
Штрафы различаются в зависимости от категории нарушителя и тяжести нарушения:
- Для граждан (физических лиц) – от 300 000 до 500 000 рублей.
- Для должностных лиц – от 400 000 до 800 000 рублей.
- Для юридических лиц – от 300 000 до 1 500 000 рублей за первое нарушение; при повторном нарушении – до 6 000 000 рублей.
Кроме того, отдельные виды нарушений имеют свои пределы:
- Хранение персональных данных на зарубежных серверах без соответствующего разрешения – до 6 000 000 рублей для юридических лиц.
- Публикация данных соседей в общедомовом чате без их согласия – от 300 000 до 500 000 рублей.
- Нарушение порядка получения согласия на обработку – штраф от 300 000 до 1 500 000 рублей в зависимости от масштаба нарушения.
- В 2025 году получено более 100 000 жалоб от граждан на неправомерную обработку их данных.
- Компания Coupang (Корея) была оштрафована комиссией по защите персональных данных Сеула на 624,6 млн вон (≈ 410 млн руб) за сбор избыточной информации при оформлении заказов.
- Несколько крупных российских интернет‑магазинов получили штрафы в размере 1,2 млн рублей за хранение данных клиентов на серверах, расположенных за пределами РФ, без получения разрешения Роскомнадзора.
- Малый бизнес, публикующий в общедомовых чатах контактные данные жильцов без их согласия, был оштрафован на 450 000 рублей по ч. 1 ст. 13.11 КоАП.
- Определить цель обработки – чётко сформулировать, для чего нужны конкретные данные, и собирать только то, что непосредственно необходимо для достижения этой цели.
- Получать согласие – оформлять согласие в письменной или электронной форме, указывая конкретные цели, сроки хранения и возможности отзыва.
- Ограничивать срок хранения – установить внутренние регламенты, определяющие максимальный срок хранения данных, и регулярно проводить их удаление или анонимизацию по истечении этого срока.
- Обеспечивать безопасность – применять технические и организационные меры защиты (шифрование, контроль доступа, журналы аудита) для предотвращения несанкционированного доступа.
- Проводить внутренний аудит – периодически проверять соответствие обработки данных требованиям 152‑ФЗ и внутренним политикам конфиденциальности.
- Обучать персонал – проводить регулярные тренинги по работе с персональными данными и ответственности за их нарушение.
Примеры из практики
За последние годы Роскомнадзор фиксирует рост количества выявленных нарушений:
Как избежать штрафов за избыточную обработку?
Соблюдение следующих мер поможет минимизировать риски:
При выявлении нарушения важно оперативно устранить его, уведомить Роскомнадзор (если это требуется) и пострадавших субъектов данных, что может смягчить размер штрафа.
Избыточная обработка персональных данных представляет серьёзную угрозу не только правам граждан, но и финансовой стабильности организаций. Ужесточение штрафов с 2025 года демонстрирует решимость государства бороться с нарушениями в этой сфере. Для минимизации рисков компаниям необходимо чётко соблюдать принципы законности, целесообразности и минимизации при работе с персональными данными, а также внедрять эффективные системы контроля и обучения персонала.
Соблюдение этих требований не только защищает от штрафов, но и повышает доверие клиентов, укрепляя репутацию бизнеса на рынке.