Ответственность должностных лиц (директора, бухгалтера) за нарушение 152-ФЗ

Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» - это главный нормативный акт, регулирующий сбор, хранение, обработку и защиту персональных данных граждан России. Нарушение 152-ФЗ влечет за собой не только административные штрафы для организаций, но и персональную ответственность должностных лиц - генерального директора, бухгалтера, руководителя отдела кадров и иных сотрудников, отвечающих за обработку персональных данных. Нарушение 152 ФЗ нередко становится основанием для привлечения оператора к административной ответственности. Кроме того, нарушение закона 152 ФЗ влечёт разные виды ответственности в зависимости от характера и тяжести проступка. Ответственность за нарушение 152 ФЗ может быть административной, гражданско‑правовой, дисциплинарной и даже уголовной.

В статье разберем, кто является оператором персональных данных, какие виды нарушений 152-ФЗ встречаются чаще всего, какие штрафы грозят должностным лицам, как формируется итоговый размер наказания, а также как снизить санкции и избежать повторных проверок со стороны Роскомнадзора. Нарушение 152 ФЗ о персональных данных - частая причина проверок со стороны Роскомнадзора.

Кто является оператором персональных данных

С 30 мая 2025 года штрафы за нарушения 152-ФЗ выросли в разы, включая оборотные за утечку данных. Ответственность несёт не только компания, но и руководитель и иные должностные лица. При этом ответственность за нарушение закона 152-ФЗ ложится не только на юридическое лицо, но и непосредственно на руководителя и других должностных лиц. Какой штраф предусмотрен за нарушение ФЗ 152 - вопрос, который особенно актуален для операторов персональных данных.

Оператором персональных данных в России признаётся любое лицо - государственный орган, муниципальное образование, юридическое или физическое лицо, которое самостоятельно или совместно с другими лицами организует и (или) осуществляет обработку персональных данных, а также определяет цели обработки, состав данных и совершаемые с ними операции.

Виды нарушений 152 ФЗ

Ответственность за нарушение 152-ФЗ наступает при самых разных нарушениях. Ответственность за нарушение закона 152 ФЗ наступает при несоблюдении правил сбора, хранения, передачи и уничтожения персональных данных. Наиболее распространенные виды нарушений, за которые привлекают должностных лиц:

1. Отсутствие уведомления Роскомнадзора об обработке персональных данных. Оператор обязан уведомить надзорный орган о начале обработки, за исключением случаев, предусмотренных законом. Неподача уведомления - одно из самых частых нарушений. Ответственность за нарушение 152 ФЗ нередко наступает из‑за несвоевременного уведомления Роскомнадзора.

2. Отсутствие политики обработки персональных данных - внутреннего документа, регламентирующего порядок работы с персональными данными. Ответственность за нарушение требований 152 ФЗ грозит, например, при отсутствии политики обработки персональных данных.

3. Незаконный сбор и передача данных третьим лицам - обработка данных без законных оснований или передача их лицам, не имеющим права на их получение. Нарушение 152 ФЗ часто связано с неправомерной передачей персональных данных третьим лицам.

4. Непредоставление документов по запросу Роскомнадзора - отказ или затягивание с предоставлением информации и документов в ходе проверки. Административная ответственность за нарушение 152 ФЗ применяется при игнорировании запросов субъектов персональных данных.

5. Отсутствие согласия субъекта на обработку - обработка персональных данных без письменного согласия гражданина, когда оно требуется по закону. Ответственность за нарушение требований 152 ФЗ распространяется и на случаи обработки данных без согласия субъекта.

6. Утечка персональных данных / инцидент безопасности — нарушение конфиденциальности, несанкционированный доступ к базам данных, хищение или разглашение информации. 152 ФЗ нарушение наказание может включать оборотные штрафы при утечках данных.

7. Нарушение порядка хранения и защиты данных - несоблюдение требований к организации хранения, резервированию, шифрованию и иным мерам защиты. Нарушение закона 152 ФЗ ответственность может повлечь даже при хранении данных за пределами РФ.

При выявлении любого из этих нарушений составляется протокол, и в отношении должностного лица может быть назначен административный штраф. Нарушение 152 ФЗ о персональных данных ответственность предусматривает даже за формальные недочёты в документации. Также нарушение закона 152 ФЗ может повлечь не только штраф, но и предписание об устранении нарушений.

Административная ответственность по КоАП

Штрафы за нарушение 152 ФЗ устанавливаются преимущественно нормами КоАП РФ. Административная ответственность за нарушение 152 ФЗ закреплена в статье 13.11 КоАП РФ.

С 30 мая 2025 года штрафы для должностных лиц за нарушения 152‑ФЗ по статье 13.11 КоАП РФ значительно выросли. Штрафы за нарушение 152 ФЗ существенно различаются для граждан, должностных лиц, ИП и юридических лиц.

Наказание за нарушение 152 ФЗ зависит от состава правонарушения и статуса нарушителя (физлицо, ИП, юрлицо).

• За обработку данных без законных оснований (ч. 1) должностное лицо заплатит 50–100 тыс. рублей, при повторном нарушении в течение года (ч. 1.1) — 100–200 тыс.

• За обработку без письменного согласия субъекта (ч. 2) штраф составляет 100–300 тыс., а при повторном (ч. 2.1) — 300–500 тыс.

Процедурные нарушения наказываются мягче:

• неопубликование политики (ч. 3) - 6-12 тыс.,

• непредоставление информации субъекту (ч. 4) - 8-12 тыс.,

• невыполнение требования об уточнении или блокировании (ч. 5) - 8–20 тыс., повторно (ч. 5.1) - 30-50 тыс.,

• нарушение хранения материальных носителей (ч. 6) - 8-20 тыс.

• за неуведомление Роскомнадзора о начале обработки (ч. 10) - 30-50 тыс.,

• за неуведомление об инциденте утечки (ч. 11) - уже 400-800 тыс.

Самое серьёзное - утечки:

• от 1 до 10 тыс. субъектов (ч. 12) - 200-400 тыс.,

• от 10 до 100 тыс. (ч. 13) - 300-500 тыс.,

• более 100 тыс. (ч. 14) - 400-600 тыс.,

• утечка специальных категорий (ч. 16) - 1-1,3 млн,

• биометрии (ч. 17) - 1,3-1,5 млн.

• повторная утечка (ч. 15 и 18) влечёт штраф 800 тыс. - 1,2 млн.

Ответственность за нарушение требований 152 ФЗ усиливается при нарушении сроков уведомления об инциденте.

Нарушение считается повторным, если совершено в течение года после вступления в силу предыдущего постановления, а 50‑процентная скидка на уплату штрафа по этим составам не применяется.

Как формируется итоговый штраф

При назначении наказания должностному лицу учитываются следующие обстоятельства:

• Количество затронутых субъектов - чем больше граждан, чьи персональные данные были обработаны с нарушением, тем выше штраф. Штрафы за нарушение 152 ФЗ учитывают количество затронутых субъектов и объём скомпрометированных данных.

• Длительность нарушения - если нарушение носило системный характер и продолжалось длительное время, это отягчающее обстоятельство.

• Повторность / систематический характер - повторное совершение аналогичного правонарушения влечет повышенные санкции.

• Тяжесть вреда субъектам - причинение морального или материального вреда гражданам учитывается при определении размера штрафа.

• Смягчающие и отягчающие обстоятельства - добросовестное сотрудничество с Роскомнадзором, оперативное устранение нарушений, принятие мер защиты могут снизить санкции.

За одно и то же нарушение могут быть привлечены как юридическое лицо, так и должностное лицо (например, руководитель). Это не считается нарушением принципа «не дважды за одно и то же» - в подобной ситуации оценивается наличие вины как со стороны организации, так и со стороны должностного лица. Нарушение 152 ФЗ о персональных данных ответственность несёт как оператор, так и конкретные должностные лица.

Ответственность директора за нарушение 152-ФЗ

Генеральный директор как должностное лицо несет персональную ответственность за:

• Организацию обработки персональных данных в компании. Если ответственное лицо не назначено, ответственность автоматически ложится на руководителя.

• Соблюдение требований безопасности - директор обязан обеспечить внедрение организационных и технических мер защиты персональных данных.

• Своевременное уведомление Роскомнадзора о начале обработки персональных данных.

• Контроль за действиями сотрудников, имеющих доступ к персональным данным.

• Реагирование на инциденты - уведомление Роскомнадзора об утечке данных и принятие мер по минимизации последствий.

Концепция «осведомленного директора» предполагает, что регуляторы и суды требуют доказательств того, что руководство компании не только формально утвердило политику, но и предприняло реальные шаги для ее реализации. Незнание закона не освобождает от ответственности.

Ответственность бухгалтера за нарушение 152-ФЗ

Бухгалтер как должностное лицо также может быть привлечен к административной ответственности, поскольку в своей работе он регулярно обрабатывает персональные данные:

• Данные сотрудников - ФИО, паспортные данные, ИНН, СНИЛС, сведения о доходах, банковские реквизиты.

• Конфиденциальная финансовая информация - обработка данных о заработной плате, налоговых вычетах, банковских переводах.

• Документирование операций - ведение кадрового и бухгалтерского учета с соблюдением требований 152-ФЗ.

Нарушение бухгалтером порядка обработки персональных данных (например, передача данных третьим лицам без согласия, несанкционированный доступ к базам, хранение данных в незащищенном виде) влечет административный штраф как на само должностное лицо, так и на организацию.

Уголовная ответственность за нарушение 152-ФЗ

В исключительных случаях за нарушение 152-ФЗ может наступить уголовная ответственность. Уголовный кодекс РФ предусматривает наказание за:

• Незаконное распространение персональных данных - умышленный сбор, передача, хранение, распространение информации о частной жизни лица без его согласия (статья 137 УК РФ).

• Умышленные действия, повлекшие утечку данных в крупном размере.

• Нарушение правил защиты объектов критической информационной инфраструктуры, если должностное лицо использовало служебное положение (статья 274.1 УК РФ).

За незаконный сбор, передачу и хранение персональных данных возможно лишение свободы до четырех лет. В первую очередь это касается тех, кто умышленно продает базы данных или торгует личной информацией. При этом уголовное наказание не отменяет административных штрафов -возможна двойная ответственность.

Проверки Роскомнадзора: порядок и сроки рассмотрения

Роскомнадзор проводит проверки соблюдения требований 152-ФЗ в следующих формах:

• Плановые проверки - проводятся по утвержденному графику не чаще одного раза в три года.

• Выездные проверки - с посещением офиса оператора, осмотром помещений, оборудования, документации.

• Документарные проверки - анализ документов, предоставленных по запросу Роскомнадзора.

• Рассмотрение жалоб граждан - основание для внеплановой проверки.

Нарушение 152 ФЗ нередко фиксируется при проверке соблюдения требований к защите персональных данных в ИСПДн. Для документарной проверки срок не может превышать 10 рабочих дней. Для выездной тоже есть лимит, но в целом сроки зависят от вида мероприятия и могут быть продлены при определённых обстоятельствах.

Как снизить санкции: смягчающие обстоятельства

Законодательство предусматривает возможность снижения штрафа при наличии смягчающих обстоятельств:

• Добросовестное сотрудничество с Роскомнадзором - оперативное предоставление документов, содействие в проведении проверки.

• Устранение нарушений до проверки - если нарушения выявлены и устранены самостоятельно, это может быть смягчающим обстоятельством.

• Подтверждение принятых мер защиты - документальное подтверждение того, что компания вкладывает средства в информационную безопасность (не менее 0,1% выручки за последние три года).

• Первичное нарушение как смягчающее обстоятельство - если нарушение совершено впервые.

• Отсутствие вреда субъектам - если нарушение не повлекло реального ущерба для граждан.

КоАП РФ предусматривает возможность снижения штрафа до десяти раз при выполнении определенных условий. Ответственность за нарушение 152 ФЗ включает обязанность возместить моральный вред субъекту персональных данных.

Как избежать нарушений 152 ФЗ

Чтобы избежать ответственности за нарушение 152-ФЗ, должностным лицам рекомендуется:

1. Провести аудит соответствия

2. Разработать и утвердить документы по персональным данным

3. Назначить ответственного за обработку персональных данных

4. Подать уведомление в Роскомнадзор

5. Получить согласия субъектов на обработку их персональных данных в предусмотренных законом случаях.

6. Внедрить технические меры защиты

7. Вести журнал обработки персональных данных и документировать все операции.

8. Обучить сотрудников правилам работы с персональными данными.

9. Регулярно проводить внутренние проверки и устранять выявленные недостатки.

10. Взаимодействовать с Роскомнадзором при проведении проверок, оперативно предоставлять запрашиваемые документы.

Какая ответственность за нарушение 152 ФЗ - этот вопрос стоит проработать ещё на этапе запуска обработки персональных данных. Выполнение этих мер позволит минимизировать риски привлечения к административной ответственности как организации, так и должностных лиц. Административная ответственность за нарушение 152 ФЗ служит инструментом контроля соблюдения прав субъектов персональных данных.

Чем может помочь НПЦФМ

Нарушение 152-ФЗ - это серьезный риск для бизнеса и лично для руководителя. Чтобы избежать штрафов и уголовной ответственности, рекомендуется обратиться к профессионалам. НПЦФМ предлагает полный комплекс услуг в области 152 ФЗ. Свяжитесь с нами по телефону 8 (800) 511-48-82 или заполните форму обратной связи на сайте.