Утечка персональных данных: что делать владельцу сайта

Коротко: слова утечка в разобранных нормах нет. Закон 152-ФЗ описывает событие как неправомерную или случайную передачу (предоставление, распространение, доступ) данных, которая повлекла нарушение прав людей, и называет его инцидентом. Оператор уведомляет уполномоченный орган дважды: в течение двадцати четырёх и в течение семидесяти двух часов с момента выявления. Штрафы названы в статье 13.11 КоАП, суммы собраны в двух таблицах.

Это разбор норм. Юридического заключения здесь нет, образца уведомления тоже. В конце - вопросы подрядчику и хостингу.

Редакции на 11.10.2026: 152-ФЗ - от 26.07.2026, КоАП и УК - от 04.08.2026.

Пример вымышленный: интернет-магазин чая example.ru. Заказы принимает страница example.ru/zakaz/, записи ложатся в базу сайта, сам сайт размещён у стороннего хостинга, а в панели управления работает подрядчик.

Что закон называет утечкой персональных данных?

Коротко: слово утечка в разобранных статьях закона, КоАП и УК не встречается. Норма описывает событие двумя признаками: передача, которая неправомерна или случайна, и нарушение прав человека, которое она повлекла.

Утечка - слово из запроса читателя, в разобранных нормах его нет. В ч.3.1 ст.21 событие описано так: «неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов персональных данных». Саму ситуацию норма называет инцидентом (закон).

Скобки поясняет ст.3. Распространение (пункт 5) - «действия, направленные на раскрытие (...) неопределенному кругу лиц». Предоставление (пункт 6) - «действия, направленные на раскрытие (...) определенному лицу или определенному кругу лиц». Слову «доступ» отдельного пункта в списке понятий нет (закон).

Похожее выражение есть в статье о мерах защиты: «компьютерных инцидентах, повлекших неправомерную передачу (предоставление, распространение, доступ) персональных данных». Эта норма отдельная: она записана в ч.12 ст.19.

Почему это касается владельца сайта?

Коротко: обязанность лежит на операторе, то есть на том, кто сам решает, какие сведения собирает сайт. Относится ли это к вашей компании, выясняет юрист.

Пункт 2 статьи 3 называет оператором государственный или муниципальный орган, юридическое или физическое лицо, которое «самостоятельно или совместно с другими лицами» организует и (или) осуществляет обработку и определяет её цели, состав сведений и действия (закон, ст.3). Форма заявки, регистрация и заказ собирают сведения о человеке. Если компания или ИП сама решает, какие поля стоят в форме и куда уходят записи, это те самые цели, состав и действия. Пример на форме сайта разобран в статье о политике конфиденциальности для сайта, форма как место сбора - в статье о форме обратной связи.

Записи могут лежать у подрядчика или у хостинга. Ответственность закон оставляет оператору: при поручении обработки другому лицу «ответственность перед субъектом персональных данных за действия указанного лица несет оператор» (закон, ч.5 ст.6). Поручение и порядок, по которому подрядчик сообщает об инциденте, разобраны в статье о поручении на обработку персональных данных.

Что оператор обязан сделать при инциденте и в какие сроки?

Коротко: уведомлений два: первое в течение двадцати четырёх часов, второе в течение семидесяти двух. Оба идут от одного момента - выявления инцидента.

Обязанность записана в ч.3.1 ст.21:

«В случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов персональных данных, оператор обязан с момента выявления такого инцидента оператором, уполномоченным органом (...) или иным заинтересованным лицом уведомить уполномоченный орган (...): 1) в течение двадцати четырех часов о произошедшем инциденте, о предполагаемых причинах, повлекших нарушение прав субъектов (...), и предполагаемом вреде, нанесенном правам субъектов (...), о принятых мерах по устранению последствий соответствующего инцидента, а также предоставить сведения о лице, уполномоченном оператором на взаимодействие с уполномоченным органом (...), по вопросам, связанным с выявленным инцидентом; 2) в течение семидесяти двух часов о результатах внутреннего расследования выявленного инцидента, а также предоставить сведения о лицах, действия которых стали причиной выявленного инцидента (при наличии).»

• закон, ст.21, часть 3.1

Слова о моменте отсчёта стоят до двоеточия, поэтому оба пункта читаются после них: для двадцати четырёх и семидесяти двух часов момент один. Выявить инцидент по тексту могут трое: оператор, уполномоченный орган и иное заинтересованное лицо.

Первый пункт просит сведения о лице, которое оператор уполномочил общаться с уполномоченным органом. Значит, оператору нужно знать, кто это, до того как пойдут часы.

Слов о том, что подрядчик или хостинг сообщают владельцу, и о сроке такого сообщения в ч.3.1 нет. Ч.3 статьи 6 требует указать в поручении «требование об уведомлении оператора о случаях, предусмотренных частью 3.1 статьи 21»; срока в ней тоже нет. Как закрепить его письменно, показывает статья о поручении.

За невыполнение или несвоевременное выполнение этой обязанности штраф назван в ч.11 ст.13.11 КоАП: для юридических лиц от 1 до 3 млн ₽, суммы в этой части - из текста статьи.

Кому направляется уведомление об утечке и чем оно отличается от другого уведомления?

Коротко: адресата часть 3.1 называет по функции, а порядок взаимодействия Роскомнадзора с операторами по учёту инцидентов утверждён приказом N 187. Уведомление об инциденте и уведомление о намерении обрабатывать данные - два разных документа.

Адресата ч.3.1 называет словами «уполномоченный орган по защите прав субъектов персональных данных»; название ведомства в этой норме не приведено. Порядок взаимодействия с операторами по учёту инцидентов утвердила Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) приказом от 14.11.2022 N 187. В названии приказа сказано: «(...) в рамках ведения реестра учета инцидентов в области персональных данных». Приказ зарегистрирован 28.12.2022 под номером 71851 (приказ).

Уведомление о намерении обрабатывать данные - другой документ, его подают «до начала обработки» (закон, ст.22, ч.1), а уведомление об инциденте - после события. Уведомление о намерении разбирает статья об уведомлении в Роскомнадзор об обработке персональных данных, там же штраф по ч.10 ст.13.11.

Что такое информирование о компьютерных инцидентах по части 12 статьи 19?

Коротко: это отдельная обязанность оператора с другим адресатом. Порядок определяет федеральный орган в области обеспечения безопасности.

Текст нормы (закон):

«Оператор обязан в порядке, определенном федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности, обеспечивать взаимодействие с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации, включая информирование его о компьютерных инцидентах, повлекших неправомерную передачу (предоставление, распространение, доступ) персональных данных.»

• закон, ст.19, ч.12

Дальше в статье сказано, что эта информация «передается федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности, в уполномоченный орган по защите прав субъектов персональных данных» (ч.13), а порядок передачи устанавливают совместно оба органа (часть 14).

Четыре обязанности с адресатами и сроками сведены в таблицу:

Какие меры защиты названы в статье 19?

Коротко: ст.19 задаёт общую обязанность принимать меры и перечень «в частности». Уровни защищённости и состав мер она передаёт другим актам.

Общая обязанность записана в ч.1:

«Оператор при обработке персональных данных обязан принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий (...).»

• закон, статья 19, ч.1

Часть 2 открывается словами «Обеспечение безопасности персональных данных достигается, в частности:» и продолжается перечнем. В разговоре с подрядчиком и хостингом пригодятся три пункта:

• пункт 6: «обнаружением фактов несанкционированного доступа к персональным данным и принятием мер»;
• пункт 7: «восстановлением персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним»;
• пункт 8: «установлением правил доступа к персональным данным, обрабатываемым в информационной системе (...), а также обеспечением регистрации и учета всех действий, совершаемых с персональными данными (...)».

Среди остальных пунктов - определение угроз, применение организационных и технических мер, нужных для выполнения требований к защите, оценка эффективности мер до ввода системы в эксплуатацию, учёт машинных носителей, средства защиты, прошедшие оценку соответствия, и контроль за принимаемыми мерами.

Ч.3 поручает Правительству установить «уровни защищенности персональных данных» и требования к защите. Ч.4 отдаёт состав и содержание мер для каждого уровня двум федеральным органам: уполномоченному в области обеспечения безопасности и уполномоченному в области противодействия техническим разведкам и технической защиты информации. К какому уровню относится ваш сайт и какие меры ему положены, ст.19 не говорит.

Какие штрафы назвала статья 13.11 КоАП за неуведомление и за утечку?

Коротко: за неуведомление, за саму передачу и за повторное нарушение названы разные суммы. Слов оборотный штраф в тексте статьи нет: доля выручки стоит только в ч.15 и 18.

Суммы взяты из текста статьи (КоАП, части 11-18). Для каждой части названы три категории: граждане, должностные лица, юридические лица. Кого статья имеет в виду под последними двумя, сказано в примечаниях 1-3 к статье 13.11.

Первая таблица - неуведомление и неправомерная передача по числу субъектов и идентификаторов. Диапазоны означают нижнюю и верхнюю границу штрафа.

Вторая таблица - специальные категории, биометрия и повторность.

Ч.12-14 описывают «Действия (бездействие) оператора, повлекшие неправомерную передачу (предоставление, распространение, доступ) информации, включающей персональные данные». Части 16 и 17 начинаются так же, до слова «включающей». Для частей 12-14 в тексте стоит условие: «если эти действия (бездействие) не содержат признаков уголовно наказуемого деяния». Пороги соединены словами «и (или)», то есть субъекты и идентификаторы названы как две единицы счёта.

Ч.15 касается лица, которое совершило нарушение из частей 12-14, будучи ранее наказанным за нарушения из частей 12-14, 16-18 или из самой части 15. Ч.18 устроена так же для частей 16 и 17: прежнее наказание могло быть назначено за нарушения из частей 12-17 или из самой части 18. Доля выручки в ч.15 определена так:

«от 1 до 3 процентов совокупного размера суммы выручки, полученной от реализации всех товаров (работ, услуг), за календарный год, предшествующий году, в котором было выявлено административное правонарушение (...), но не менее двадцати миллионов рублей и не более пятисот миллионов рублей»

• КоАП РФ, ст.13.11, часть 15

В пропущенном месте названы ещё две расчётные базы: часть календарного года, предшествующая дате выявления нарушения, если правонарушитель не реализовывал товары (работы, услуги) в предыдущем году, и размер собственных средств (капитала) кредитной организации. Ч.18 повторяет эти слова с нижней границей в двадцать пять миллионов рублей и той же верхней в пятьсот миллионов.

Как читать идентификаторы, ИП, должностное и юридическое лицо в статье 13.11?

Коротко: четыре примечания объясняют, как отвечают ИП, кого статья называет должностным и юридическим лицом и что такое идентификатор.

Индивидуальные предприниматели названы в примечании 1:

«За административные правонарушения, предусмотренные частями 1.1, 8 - 18 настоящей статьи (...), индивидуальные предприниматели несут административную ответственность как юридические лица.»

• КоАП РФ, статья 13.11, примечание 1

Для частей 11-18 это значит, что ИП смотрит столбец юридических лиц. Применение к конкретному предпринимателю - вопрос юристу.

Должностное и юридическое лицо в ч.10-18 определяют примечания 2 и 3:

«В частях 10 - 18 настоящей статьи под должностным лицом понимается должностное лицо государственного или муниципального органа либо некоммерческой организации.»

• КоАП РФ, ст.13.11, примечание 2

«В частях 10 - 18 настоящей статьи под юридическим лицом понимается оператор - юридическое лицо, не являющееся государственным или муниципальным органом либо некоммерческой организацией.»

• КоАП РФ, ст.13.11, примечание 3

Коммерческая организация-оператор подходит под примечание 3, и для неё читается последний столбец таблиц. Сколько заплатит конкретная компания, статья не считает.

Идентификатор определяет примечание 4:

«(...) под идентификатором понимается уникальное обозначение сведений о физическом лице, содержащееся в информационной системе персональных данных оператора и относящееся к такому лицу.»

• КоАП РФ, ст.13.11, примечание 4

Что такое специальные категории и биометрические данные в частях 16 и 17?

Коротко: ч.16 и 17 выделяют отдельные суммы для информации со специальной категорией или с биометрическими данными. Что к ним относится, определяют статьи 10 и 11 закона.

Ст.10 называет специальные категории в части 1: это данные, касающиеся «расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни» (закон).

Ст.11 определяет биометрические данные в ч.1 как «Сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность (биометрические персональные данные) и которые используются оператором для установления личности субъекта персональных данных» (закон).

Перечня полей формы в обеих статьях нет. Форма заказа в example.ru собирает имя, телефон и адрес. Поле формы, где покупатель пишет о здоровье, стоит показать юристу.

Что говорит статья 272.1 УК РФ?

Коротко: это норма об уголовной ответственности за незаконные действия с такой информацией. Применима ли она к чьей-либо ситуации, эта статья не решает.

В ч.1 ст.272.1 названы «Незаконные использование и (или) передача (...), сбор и (или) хранение компьютерной информации, содержащей персональные данные, полученной путем неправомерного доступа (...) либо иным незаконным путем». Ч.6 описывает создание и (или) обеспечение функционирования информационного ресурса, «заведомо предназначенного для незаконных хранения, передачи (...) компьютерной информации, содержащей персональные данные, полученной незаконным путем». Примечание 1 исключает обработку персональных данных физическими лицами исключительно для личных и семейных нужд (УК).

Статья обращена к тому, кто совершает перечисленные деяния. Оговорка частей 12-14 статьи 13.11 о признаках уголовно наказуемого деяния ставит применение этих частей КоАП в зависимость от их отсутствия; какие нормы УК она имеет в виду, оговорка не называет. Санкции ст.272.1 здесь не приводятся.

Что в тексте норм не сказано?

Коротко: шесть вопросов текст оставляет без ответа. Их стоит задать юристу заранее.

Ответов на эти вопросы в разобранных статьях нет:

1. Что считать нарушением прав субъектов: часть 3.1 ст.21 называет это условие и не определяет его.
2. Что считать выявлением инцидента и кого относить к иным заинтересованным лицам: часть перечисляет участников и не расшифровывает их.
3. Как считаются двадцать четыре и семьдесят два часа: к слову «часов» уточнений нет.
4. Какие обозначения в базе подходят под идентификатор: примечание 4 даёт определение и перечня не содержит.
5. Какой уровень защищённости и какие меры относятся к вашему сайту: ст.19 отсылает к другим актам.
6. Как оформить уведомление: форма, адрес и способ подачи здесь не описаны.

Как эти нормы читаются на примере магазина example.ru?

Коротко: пример вымышленный и показывает порядок вопросов к нормам. Итог для реальной ситуации определяет юрист.

В понедельник покупательница сообщает магазину: по присланной ей ссылке открывается файл со списком заказов, где видны имена, телефоны и адреса доставки. Вопросы идут в таком порядке.

Для шага 5 предположим, что в файле 1 200 разных людей. Это значение лежит в диапазоне ч.12: «от одной тысячи до десяти тысяч субъектов». Предположение условное: как считать записи и идентификаторы в реальной базе, решает юрист.

Что решить до запуска сайта и что спросить у подрядчика и хостинга?

Коротко: ст.19 не перечисляет настройки сайта. До запуска стоит записать, где лежат заявки и заказы, у кого к ним доступ и кто сообщит владельцу об инциденте.

Записи для example.ru можно сложить в таблицу и приложить к договору с подрядчиком:

Вопросы для письменных ответов:

Вопросы юристу:

1. Оператор ли ваша компания по пункту 2 ст.3 и какие формы сайта это определяют?
2. Какие сведения собирает каждая форма и есть ли среди них специальные категории (статья 10) или биометрические (ст.11)?
3. Что для вашей ситуации считается выявлением инцидента и нарушением прав субъектов по части 3.1 ст.21?
4. Как направляется уведомление и как организовано информирование по ч.12 ст.19?
5. Как к вашей компании или к вам как ИП применяются ч.11-18 статьи 13.11 и примечания 1-3?

Источники

Состояние страниц - 11.10.2026.

• Статья 21. Обязанности оператора по устранению нарушений законодательства, допущенных при обработке персональных данных, по уточнению, блокированию и уничтожению персональных данных \ КонсультантПлюс - часть 3.1.
• Статья 19. Меры по обеспечению безопасности персональных данных при их обработке \ КонсультантПлюс - части 1-4, 12-14.
• Статья 22. Уведомление об обработке персональных данных \ КонсультантПлюс - часть 1.
• Статья 3. Основные понятия, используемые в настоящем Федеральном законе \ КонсультантПлюс - пункты 2, 3, 5, 6.
• Статья 6. Условия обработки персональных данных \ КонсультантПлюс - части 3, 5.
• Статья 10. Специальные категории персональных данных \ КонсультантПлюс - часть 1.
• Статья 11. Биометрические персональные данные \ КонсультантПлюс - часть 1.
• КоАП РФ Статья 13.11. Нарушение законодательства Российской Федерации в области персональных данных \ КонсультантПлюс - части 11-18, примечания 1-4.
• УК РФ Статья 272.1. Незаконные использование и (или) передача, сбор и (или) хранение компьютерной информации, содержащей персональные данные, а равно создание и (или) обеспечение функционирования информационных ресурсов, предназначенных для ее... \ КонсультантПлюс - части 1, 6, примечание 1.
• Приказ Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций от 14.11.2022 № 187 ∙ Официальное опубликование правовых актов - название, регистрация.

Обсудить проект в Telegram: t.me/billioniks