Суды Петербурга снижают штрафы за утечки персональных данных компаний

В Петербурге и Ленинградской области арбитражные суды начали рассматривать дела о крупных утечках персональных данных по новым частям ст. 13.11 КоАП. Несмотря на ужесточение законодательства, судьи пока не спешат применять максимальные санкции. Компании, допустившие утечки, зачастую отделываются предупреждениями или штрафами, которые заметно ниже минимальных значений, установленных законом.

С мая 2025 года в России действует обновленная система ответственности за утечки персональных данных. Теперь размер штрафа зависит от числа пострадавших, типа информации и повторности инцидента. скажем, если данные утекли у более 100 тысяч человек, компании грозит штраф от 10 до 15 миллионов рублей. При повторных нарушениях сумма может достигать 3% от годовой выручки. впрочем, как отмечает Петербург2, на практике такие суммы пока не назначаются.

Юристы объясняют это тем, что рынок только начал адаптироваться к новым требованиям. Суды учитывают статус компании, наличие смягчающих обстоятельств и впервые совершенное нарушение. Так, онлайн-академия для детей ООО «Юкидс» допустила утечку данных более 300 тысяч пользователей, но вместо положенного штрафа в 5-10 миллионов рублей суд ограничился взысканием в 400 тысяч рублей, сославшись на статус микропредприятия.

В других случаях суды и вовсе заменяют штрафы на предупреждения. скажем, когда у «ПКР Аналитика» произошла утечка данных 70 тысяч клиентов, арбитражный суд Санкт-Петербурга ограничился предупреждением, поскольку компания нарушила закон впервые. Аналогичная ситуация произошла с компаниями Gaskar Group: несмотря на публикацию анкет сотрудников в открытом доступе, суд квалифицировал нарушение по старой части статьи и назначил минимальные санкции.

Согласно данным Петербург2, Роскомнадзор не фиксирует роста числа жалоб на утечки данных после вступления в силу новых правил. За второе полугодие 2025 года ведомство составило 31 протокол по фактам утечек, что сопоставимо с аналогичным периодом прошлого года.

Эксперты подчеркивают, что теперь ответственность предусмотрена не только за саму утечку, но и за несвоевременное уведомление Роскомнадзора. Компании обязаны сообщить о факте утечки в течение суток, иначе им грозит отдельный штраф до 3 миллионов рублей. При этом суды продолжают рассматривать дела по старым и новым правилам одновременно, что затрудняет формирование единой практики.

Верховный суд России недавно подтвердил: оператор персональных данных несет ответственность за защиту информации, даже если утечка произошла из-за действий подрядчика. Это решение стало важным сигналом для всех участников рынка.

Юристы отмечают, что для смягчения наказания компаниям важно не только быстро реагировать на инциденты, но и иметь подтверждение внедрения всех необходимых мер по информационной безопасности. Ключевую роль играют наличие сертифицированных средств защиты, четкое разграничение доступа и внутренние регламенты. Также суды учитывают признание вины, статус малого бизнеса и отсутствие повторных нарушений.

Впрочем, ситуация может измениться уже во второй половине 2026 года. По оценке Петербург2.ру, по мере завершения переходного периода и накопления судебной практики, суммы штрафов за утечки персональных данных в Петербурге и Ленобласти могут существенно вырасти. Кроме того, с января 2026 года дела вновь переданы мировым судьям, что может привести к новым подходам в рассмотрении подобных споров.