Первые штрафы за утечку персональных данных по новым правилам: суды оказались лояльны к бизнесу

Первые штрафы за утечку персональных данных по новым правилам: суды оказались лояльны к бизнесу

Первые дела о привлечении компаний к ответственности за масштабные утечки персональных данных по новым частям статьи 13.11 КоАП РФ наконец дошли до арбитражных судов. Законодательство позволяет назначать за такие нарушения штрафы вплоть до оборотных – в зависимости от объёма утекшей информации, её категории и того, повторное это нарушение или нет. Однако на начальном этапе суды явно не склонны применять жёсткие меры: штрафы либо снижают ниже минимальной планки, либо заменяют предупреждением.

Так, Арбитражный суд г. Москвы рассмотрел дело онлайн-школы, у которой утекло около полумиллиона строк с персональными данными клиентов и сотрудников. Несмотря на квалификацию по ч. 14 ст. 13.11 КоАП РФ, суд назначил штраф ниже низшего предела размером 400 тыс. рублей. Основанием для смягчения послужил статус микропредприятия, что позволило применить льготные правила начисления санкций.

Ещё более мягкое решение вынес Арбитражный суд г. Санкт-Петербурга и Ленинградской области в отношении цифровой платформы инвестпроектов. После хакерской атаки у компании утекли данные 70 тыс. субъектов. Суд согласился с квалификацией по ч. 13 ст. 13.11 КоАП РФ (штраф от 5 млн рублей), но штраф налагать не стал, ограничившись предупреждением. Ключевым аргументом стало то, что нарушение совершено впервые.

«Первые решения судов действительно выглядят лояльными к нарушителям, но это не повод расслабляться. Вина оператора доказана, если он не принял всех мер-  это суды уже подтвердили. Статус МСП или первое нарушение могут смягчить наказание, но не отменяют ответственности. Кроме того, нужно делать поправку на подсудность.  Дела об утечках успели перейти из ведения мировых судов в арбитраж и обратно и все в течение одного года. Непонятно, будут ли судьи общей юрисдикции ориентироваться на позиции своих коллег. Но рано или поздно практика устоится, а пока бизнесу лучше не ждать милости и начать выстраивать комплексную защиту персональных данных» - отмечает старший юрист Юридической компании «Центральный округ» Арина Стёпина.

Упомянутые решения:

• Решение АС г. Москвы от 5 марта 2026 г. по делу № А40-351064/2025;
• Решение АС г. Санкт-Петербурга и Ленинградской области от 10 марта 2026 г. по делу № А56-4733/2026.