С 30 мая 2025 года вступили в силу поправки к Федеральному закону 420‑ФЗ от , внесшие изменения в статью 13.11 КоАП РФ. Эти поправки напрямую касаются деятельности организаций, находящихся под надзором Ростехнадзора, и устанавливают более строгие финансовые санкции за нарушения в сфере защиты персональных данных (ПДн).

Что изменилось в законодательстве?

• Увеличение размеров штрафов. Минимальный штраф за утечку ПДн вырос с 100 000 руб. до 300 000 руб., а максимальный – с 500 000 руб. до 2 000 000 руб. (в зависимости от тяжести последствий и категории нарушителя).
• Обязательное уведомление Ростехнадзора. Организации теперь обязаны сообщать о любом инциденте, связанном с утечкой ПДн, в течение 24 часов после его обнаружения. Несвоевременное уведомление влечёт отдельный штраф от 50 000 до 200 000 руб.
• Расширение субъектов ответственности. Штрафы могут быть наложены не только на юридическое лицо, но и на его должностных лиц (руководителей, ответственных за информационную безопасность).

Кому применяются новые санкции?

Нормы статьи 13.11 КоАП РФ применяются к:

1. Предприятиям и организациям, осуществляющим деятельность в сфере промышленной безопасности, ядерной и радиационной безопасности, надзора за объектами повышенной опасности (это традиционная сфера компетенции Ростехнадзора).
2. Подрядным организациям, выполняющим работы на объектах, находящихся под надзором Ростехнадзора, если в ходе работ происходит обработка персональных данных сотрудников, подрядчиков или посетителей.
3. Организациям, эксплуатирующим информационные системы, связанные с обеспечением безопасности производственных процессов (SCADA, системы мониторинга выбросов, системы контроля доступа и т.п.), где хранятся или передаются ПДн.

Примеры нарушений, влекущих штрафы

• Несанкционированный доступ к базе данных сотрудников предприятия из‑за отсутствия многофакторной аутентификации.
• Утечка персональных данных при передаче файлов через незащищённые каналы (например, открытый FTP‑сервер).
• Невыполнение требований по шифрованию персональных данных при хранении на мобильных носителях.
• Отсутствие актуального внутреннего регламента по обработке ПДн и отсутствие обучения персонала.

Как подготовиться к новым требованиям?

Чтобы минимизировать риск получения штрафа, организациям рекомендуется выполнить следующие шаги:

1. Провести аудит информационной безопасности. Выявить все места хранения и обработки ПДн, оценить уровень защиты;
2. Обновить внутренние политики и процедуры. Внедрить регламенты по сбору, хранению, передаче и уничтожению персональных данных, соответствующие требованиям ФЗ‑152 «О персональных данных».
3. Внедрить технические меры защиты. Использовать шифрование данных «в покое» и «в передаче», многофакторную аутентификацию, системы предотвращения утечки данных (DLP).
4. Обучить персонал. Регулярно проводить тренинги по информационной безопасности и обработке ПДн, фиксировать результаты обучения.
5. Настроить процесс уведомления. Назначить ответственного за своевременное информирование Ростехнадзора о любых инцидентах, разработать шаблоны уведомления и журнал регистрации инцидентов.
6. Запланировать регулярные проверки. Проводить внутренние аудиты и penetration‑testing хотя бы раз в полгода.

Последствия несоблюдения

Нарушение новых требований может привести не только к финансовым штрафам, но и к:

• Приостановке деятельности объекта до устранения нарушений (по решению Ростехнадзора).
• Потере доверия со стороны партнёров и клиентов, что может негативно сказаться на репутации и коммерческих показателях.
• Возможному привлечению к уголовной ответственности в случае, если утечка ПДн привела к тяжким последствиям (например, использованию данных для мошенничества).

Изменения в статье 13.11 КоАП РФ, вступившие в силу с 30 мая 2025 года, значительно ужесточили ответственность за утечки персональных данных в сфере надзора Ростехнадзора. Организациям, работающим в условиях повышенной опасности, необходимо пересмотреть свои практики защиты данных, усилить технические и организационные меры, а также выстроить прозрачный процесс информирования регулятора. Соблюдение новых требований не только поможет избежать крупных штрафов, но и повысит общий уровень информационной безопасности предприятия.