В эпоху стремительной цифровизации вопросы кибербезопасности и защиты персональных данных приобретают первостепенное значение. Расширение спектра цифровых сервисов, повсеместное внедрение информационных технологий и накопление огромных массивов данных создают не только новые возможности для развития общества и экономики, но и существенные риски — от утечек персональных данных до кибератак на критически важную инфраструктуру.

Утечки персональных данных приобретают в России системный характер. По данным Роскомнадзора, в 2024 году зарегистрировано 135 случаев массового распространения баз персональных данных, содержащих более 710 млн записей [9]. Количество официальных уведомлений об утечках снизилось (200 уведомлений в 2024 г. против 380 в 2023 г.) [12]. Аналитики отмечают большие объемы информации: по оценкам, в 2024 г. в утечках было раскрыто около 397 млн строк личных данных (против 1,4 млрд в 2022 г.) [9]. Наиболее уязвимы оказались сектора ритейла, услуг, здравоохранения и образования.

Действующие нормы прямо устанавливают обязанности операторов персональных данных. Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» (ст.6,7) требует обеспечения безопасности данных, а ст.21 вводит обязанность уведомлять Роскомнадзор в случае утечки [3]. КоАП РФ (ст.13.11) теперь подразделяет правонарушения на несколько категорий по количеству утекших записей (части 12–15) с базовым диапазоном штрафов для компаний от 5 до 15 млн руб. [2]. Уголовный кодекс (ст.272.1 УК РФ) предусматривает наказание за несанкционированный сбор или передачу данных — вплоть до 4 лет лишения свободы [6]. Несмотря на ужесточение норм, практика показывает слабое правоприменение: первое решение по крупной утечке (70 тыс. записей в марте 2026 года) ограничилось предупреждением, хотя исходная квалификация предполагала штраф [11]. При этом в нормативных актах остаются пробелы: например, нет прямых норм о компенсации жертвам, а сами штрафы на практике оказываются чрезмерно малы и редко назначаются. Это указывает на необходимость доработки существующих мер.

Основные проблемы регулирования сферы кибербезопасности в российской правовой системе заключаются в следующем:

1. Невозмездность операторов. В Федеральном законе «О персональных данных» отсутствует обязанность компенсировать пострадавшим причинённый ущерб (материальный или моральный). Операторы мотивированы лишь административными штрафами, которые нередко оборачиваются для них формальным предупреждением [3].
2. Недостаточная судебная практика. Несмотря на крупные утечки, суды зачастую смягчают наказания (часто вместо штрафа выносят предупреждение) [10] [11]. Это снижает сдерживающий эффект закона.
3. Фрагментарность мер. Требование об уведомлении РКН и новые штрафы введены, но отсутствуют механизмы проверки соответствия заявленному уровню безопасности. Например, нет обязательного аудита или сертификации систем у операторов, а полномочия регулятора по контролю ограничены.

В связи с этим в рамках исследования предлагается внести в российское законодательство следующие конкретные изменения:

1) Поправка в Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»: дополнить статью 24 пунктом 3 следующего содержания:

«3. Оператор персональных данных в случае утечки обязан выплатить субъекту персональных данных компенсацию сверх возмещения вреда, причинённого вследствие нарушения требований настоящего Федерального закона. Размер компенсации, порядок определения факта утечки персональных данных, а также процедура выплаты компенсации устанавливается в зависимости от категории персональных данных Правительством Российской Федерации».

Обоснование: введение прямой нормы о компенсации позволит систематизировать порядок выплат по возмещению вреда пострадавшим и перевести выплаты в беззаявительный характер.

2) Поправка в Уголовный кодекс Российской Федерации: предусмотреть установление уголовной ответственности за незаконное хранение или распространение персональных данных, полученных легальным путём, но обработанных с нарушением закона. Дополнить статью 272.1 УК РФ частью 7 следующего содержания:

«7. Незаконное хранение или распространение компьютерной информации, содержащей персональные данные, полученной законным путём, но обработанной с нарушением требований законодательства о персональных данных, если эти действия повлекли нарушение конституционных прав и свобод граждан, наказываются штрафом в размере от ста до трёхсот тысяч рублей или в размере заработной платы или иного дохода осуждённого за период до одного года с лишением права занимать определённые должности или заниматься определённой деятельностью на срок до 3 лет».

Обоснование: ответственность за незаконное хранение или распространение персональных данных, полученных законным путём, но обработанных с нарушением закона, устраняет пробел в текущем регулировании, где ответственность предусмотрена только для данных, изначально полученных незаконно.

3) Дополнение в статью 13 Федерального закона от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»:

«8. Операторы государственных информационных систем и коммерческие организации обязаны регулярно проводить аудиты безопасности, внедрять сертифицированные средства защиты информации и резервировать критические данные».

Обоснование: поправка закрепляет на уровне базового закона требования к аудитам безопасности, использованию сертифицированных средств защиты информации и резервированию критических данных. Это систематизирует существующие разрозненные нормы из отраслевых приказов ФСТЭК и ФСБ, делая их более доступными и понятными для операторов.

Дополнительные меры: помимо поправок в конкретные статьи, необходимо усилить институциональные механизмы контроля: развивать единый реестр киберинцидентов (под надзором Роскомнадзора), предусмотреть систему страхования киберрисков для операторов персональных данных, повысить квалификацию сотрудников регуляторов и создать специализированные подразделения в МВД/ФСБ для расследования массовых утечек. Эти меры помогут обеспечить реальную ответственность и снизить число инцидентов.

Предложенные изменения призваны закрыть выявленные пробелы в правовом регулировании. Их реализация снизит риски утечек информации и повысит гарантии защиты прав граждан в цифровом пространстве.

Литература:

1. Уголовный кодекс Российской Федерации от 13.06.1996 г. № 63‑ФЗ: ред. от 23.03.2026 г.
2. Кодекс Российской Федерации об административных правонарушениях от 30 декабря 2001 года № 195-ФЗ (ред. от 23 марта 2026 года)
3. Федеральный закон от 27.07.2006 г. № 152‑ФЗ «О персональных данных» (ред. от 24.06.2025 г.)
4. Федеральный закон от 27.07.2006 г. № 149‑ФЗ «Об информации, информационных технологиях и о защите информации» (ред. от 29 декабря 2025 г.)
5. Федеральный закон от 26.07.2017 г. № 187‑ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации» (ред. от 7 апреля 2025 г.)
6. Федеральный закон от 30.11.2024 г. № 421‑ФЗ «О внесении изменений в Уголовный кодекс Российской Федерации»
7. Федеральный закон от 26.07.2017 г. № 187‑ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации» (ред. от 07.04.2025 г.)
8. Утекание и наказание. Как компании штрафуют за утечку персональных данных / Коммерсантъ. — 2026. — 5 апреля. — URL: https://www.kommersant.ru/doc/8569285 (дата обращения: 07.04.2026).
9. РКН выявил 135 утечек… / РБК. — 2024. — URL: https://www.rbc.ru/life/news/67889c599a794776102ecd92 (дата обращения: 07.04.2026).
10. Первые штрафы за крупные утечки персональных данных: новые требования ст. 13.11 КоАП РФ / АКГ «Деловой профиль». — 2026. — URL: https://delprof.ru/press-center/law-news/pervye-shtrafy-za-krupnye-utechki-personalnykh-dannykh-novye-trebovaniya-st-13–11-koap-rf/ (дата обращения: 07.04.2026).
11. Суд не стал штрафовать владельца платформы… / SecPost. — 2026. — Март. — URL: https://secpost.ru/sud-ne-stal-shtrafovat-vladelcza-platformy-investiczionnye-proekty-za-utechku-dannyh-70-tys-klientov?ysclid=mnrc0phak1573216857 (дата обращения: 07.04.2026).
12. Отчёты Роскомнадзора за 2023–2025 гг.: официальные сообщения о количестве инцидентов.