После обнаружения утечки персональных данных оператору недостаточно устранить ее последствия. О произошедшем необходимо своевременно сообщить Роскомнадзору.

Компания может получить штраф до 3 млн рублей, если не сообщит Роскомнадзору об утечке персональных данных в установленный срок. Об этом «Клерку» рассказала руководитель юридического отдела компании «Хелп Консалтинг» Наталия Рагулина.

По ее словам, оператор должен сообщить об утечке в Роскомнадзор в течение 24 часов.

«Если оператор не сообщает об утечке в РКН в срок 24 часа, это также самостоятельное основание для ответственности по ч. 11 ст. 13.11 КоАП РФ, штраф до 3 миллионов рублей», — пояснила Рагулина.

При этом ответственность за несвоевременное уведомление регулятора существует отдельно от санкций непосредственно за утечку.

Наиболее серьезные последствия предусмотрены при повторных утечках. В таком случае для организации может применяться оборотный штраф от 1 до 3% годовой выручки компании, но не менее 20 млн рублей, отметила эксперт.

По словам Рагулиной, по данным Роскомнадзора, озвученным на дне открытых дверей 14 августа 2026 года, случаев назначения оборотных штрафов по ч. 15 ст. 13.11 КоАП РФ за повторные утечки пока не зафиксировано.

Эксперт рекомендует компаниям не ограничиваться формальным оформлением документов по персональным данным. Бизнесу необходимо обеспечить реальную защиту информации сотрудников, клиентов и контрагентов, а при возникновении инцидента — соблюсти установленный порядок уведомления Роскомнадзора.