Штрафы за утечку персональных данных в 2026 году: сколько теперь стоит беспечность

Если в вашей CRM есть хотя бы тысяча клиентов с телефонами — этот материал про вас. С 30 мая 2025 года в России действуют новые штрафы за утечку персональных данных (Федеральный закон № 420-ФЗ), и они кардинально изменили цену вопроса.

Что изменилось

Раньше штраф за утечку для компании редко превышал 100 тысяч рублей — дешевле было заплатить, чем выстраивать защиту. Теперь лестница выглядит так:

| Масштаб утечки | Первый случай | Повторный | | --- | --- | --- | | До 10 тыс. записей | 150–300 тыс. ₽ | 300–500 тыс. ₽ | | 10–100 тыс. записей | 3–5 млн ₽ | 1–3% выручки | | 100 тыс. – 1 млн записей | 5–10 млн ₽ | 1–3% выручки | | Более 1 млн записей | 10–15 млн ₽ | 1–3% выручки | | Специальные категории данных | 10–15 млн ₽ | 1–3% выручки |

Ключевое слово — «оборотные»: повторная утечка стоит процент от выручки, независимо от того, сколько вы заработали на самих данных.

Почему утечки — это чаще всего не хакеры

По опыту расследований, большинство инцидентов устраивают не «злые гении» извне, а собственные сотрудники: менеджер копирует клиентскую базу перед увольнением, бухгалтер пересылает документы на личную почту «чтобы поработать из дома», закупщик делится условиями поставок с «дружественным» поставщиком.

Внешний периметр можно закрыть файрволом. Внутренние риски файрвол не видит.

Что делать бизнесу 50–300 компьютеров

Крупные компании держат отдел информационной безопасности. Малому и среднему бизнесу это не по карману — и не нужно. Рабочая альтернатива — аутсорсинг ИБ:

Навести порядок в данных. Понять, где лежат персональные данные, кто имеет к ним доступ и зачем. Часто уже на этом шаге находятся папки «для всех» с паспортными данными клиентов.
Поставить контроль каналов утечки. Почта, мессенджеры, флешки, облака, печать — DLP-система видит, что и куда уходит.
Назначить ответственного. Не «сисадмина по совместительству», а специалиста, который разбирает события и ведёт расследования.

Важный бонус защиты: если утечка всё же произошла, система помогает доказать вину конкретного человека — и снять ответственность с компании.

С чего начать

Мы разворачиваем защиту на решениях «СёрчИнформ» и даём бесплатный тест на 30 дней: за месяц вы увидите реальную картину того, что происходит с данными в вашей компании. Обычно она сильно отличается от ожиданий.