Бизнес пока избегает оборотных штрафов за утечки персональных данных: с начала 2025 года Роскомнадзор не выявил ни одного повторного инцидента. При этом нарушения в работе с данными пользователей нашлись у большинства проверенных ресурсов — в 135 тыс. из 159 тыс. случаев. Участники рынка объясняют такую статистику увеличением бюджетов на ИБ и адаптацией рынка к новому законодательству.

Роскомнадзор не выявил ни одной повторной утечки персональных данных с 1 января 2025 года, заявил заместитель главы ведомства Милош Вагнер на Дне открытых дверей, посвященном работе в сфере персональных данных 14 августа. Он рассказал, что за полтора года ведомство провело 52 административных расследования, выписало 40 протоколов и назначило штрафов на 2,6 млн руб. По словам господина Вагнера, Роскомнадзор провел 159 тыс. проверок сайтов и на 135 тыс. выявил нарушения. Также он заявил, что ведомственная система по поиску нарушений в области персональных данных в 90% случаев выявляла нарушения.

В 2025 году в России вступило в силу ужесточение ответственности за нарушения в сфере персональных данных. Размер штрафа за утечки данных пользователей начал зависеть от их объема, а при повторных нарушениях штрафы увеличатся до 600 тыс. руб. для граждан и до 1,2 млн руб. для должностных лиц, штрафы для компаний за повторную утечку персональных данных предусмотрены в размере от 1% до 3% от оборота за год, но не менее 25 млн руб. и не более 500 млн руб.

Ранее “Ъ” писал, что за первое полугодие 2026 года ИБ-аналитики обнаружили в открытом доступе 54 базы данных с актуальностью 2026 года, содержащие в совокупности 24,3 млн строк, при этом за аналогичный период 2025 года было выявлено в четыре раза больше баз, а их объем был больше в 22 раза (см. “Ъ” от 13 июля).

Цифры по расследованиям и штрафам показывают, что регулятор действует точечно, считает Аналитик центра мониторинга киберугроз «Спикател» Святослав Макаров. Количество расследований и протоколов на фоне 159 тыс. проверок сайтов — это десятые доли процента, что «говорит скорее о выборочном, рискориентированном подходе, чем о тотальном контроле», отмечает эксперт.

Скрыть крупную утечку бизнесу достаточно сложно: после компрометации базы начинают распространяться в даркнете, закрытых сообществах, Telegram-каналах и на специализированных площадках, говорит руководитель сервиса Smart Business Alert (SBA) компании ЕСА ПРО (входит в ГК «Кросс технолоджис») Сергей Трухачев: «Поэтому повторное появление данных с высокой вероятностью попало бы в поле зрения мониторинговых команд».

При этом рынок украденных данных стал менее публичным: каналы в Telegram быстрее закрывают, форумы тоже «частично прикрыли», поясняет техдиректор ИТ-компании HFLabs Никита Назаров: «Поэтому даже если базы и появляются, они распространяются в даркнете не так широко, как раньше. Их не публикуют на широкую аудиторию, а либо передают в узком кругу, либо используют для вымогательств».

Также на отсутствии зафиксированных повторных утечек может сказываться то, что с «момента ужесточения прошло не так много времени», чтобы у части компаний, допустивших утечку в 2025 году, случился повторный инцидент, говорит он.

«Чтобы утечка была признана повторной, по первому инциденту должно быть вынесено судебное решение, вступившее в законную силу. Судебные разбирательства и административные расследования часто длятся месяцами»,— объясняет господин Макаров.

С момента вступления в силу закона об оборотных штрафах еще не прошло полутора лет, соглашается господин Назаров. «При этом повторной считается утечка у оператора, который ранее подвергался административному наказанию. Если бы у нас уже случились такие цепочки, это означало бы, что утечки идут безумным темпом. Поэтому правильнее сказать, что это молодость практики, а не реальная победа над утечками», — говорит он.

Отсутствие повторных утечек за полтора года может быть результатом ужесточения ответственности, а именно введения оборотных штрафов, считает господин Макаров: «При такой цене риска бизнесу может быть выгоднее инвестировать в профилактику инцидента». Кроме того, после первого инцидента многие операторы персональных данных проводят «базовые гигиенические процедуры по защите инфраструктуры, и этого нередко оказывается достаточно», чтобы повторных случаев не возникало, добавляет директор по развитию сервисного портфеля ГК «Солар» Дмитрий Иванов.

«Если всего пару лет назад мы много говорили о „бумажной безопасности", то сейчас все больше компаний видят необходимость в реальных мерах и способах защиты данных. Все чаще компании не просто используют средства защиты информации, чтобы соответствовать требованиям, но и системно оценивают, какие задачи и риски конкретные средства защиты позволяют закрыть»,— объясняет руководитель направления по защите баз данных компании «Гарда» Дмитрий Ларин.

Алексей Жабин