В заголовках СМИ и в поисковых запросах это дело уже окрестили «оборотным штрафом». Но термин здесь не совсем точен, и разница важна. Ниже — что случилось на самом деле, сколько заплатили компании и почему «оборотный» — это скорее газетный ярлык, чем точная юридическая квалификация. И главное — что это значит для обычного сайта с формой заявки.
Что случилось: дело AIDA International в 2026 году
8 мая 2026 года, по данным Интерфакса и audit-it.ru, мировой судья судебного участка №422 Таганского района Москвы признал виновными сразу две иностранные организации — и назначил каждой штраф 6 млн ₽. Итого — 12 млн ₽ на двоих.
Речь не о технологическом гиганте и не об IT-корпорации. Это важно понять сразу:
- AIDA International (Association Internationale pour le Développement de l'Apnée) — международная некоммерческая ассоциация фридайвинга, основана в 1992 году
- International Training (ITI) — международное агентство сертификации и обучения дайверов, работает с 1994 года
Обе организации связаны со спортивным и учебным дайвингом, а не с обработкой больших данных в промышленных масштабах. И это ключевой урок кейса: под удар попадают не только техногиганты, а любая организация с базой данных россиян — независимо от размера бизнеса.
Суть нарушения: локализация ПДн — не утечка
Важно не путать две разные истории. Компании оштрафовали не за утечку данных — в материалах СМИ по этому делу компрометация базы вообще не упоминается. Их наказали за то, где физически хранились данные клиентов.
Норма звучит так: часть 5 статьи 18 152-ФЗ обязывает оператора при сборе персональных данных россиян, в том числе через интернет, обеспечивать запись, систематизацию, накопление, хранение, уточнение и извлечение этих данных с использованием баз, физически расположенных на территории РФ — за отдельными исключениями (пп. 2, 3, 4, 8 ч. 1 ст. 6 152-ФЗ).
Применительно к AIDA International и ITI это означает: данные российских спортсменов-фридайверов и курсантов сертификации хранились и обрабатывались не на серверах в России. Сколько именно человек затронуло нарушение — источники не уточняют, поэтому точную цифру мы называть не будем.
Само требование локализации действует уже больше десяти лет — с 1 сентября 2015 года (в обиходе — закон о локализации персональных данных, 242-ФЗ). А вот административная ответственность за его нарушение появилась позже: части 8 и 9 статьи 13.11 КоАП ввёл Федеральный закон №405-ФЗ со 2 декабря 2019 года. То есть в 2026 году это далеко не новая норма — просто контроль за её соблюдением заметно усилился.
Не уверены, где физически хранятся данные ваших клиентов и есть ли у сайта похожие уязвимости? Бесплатная проверка сайта на штрафы РКН покажет это за пару минут.Бесплатный аудит по 16 требованиям РКН за пару минут.
Проверить сайтШтрафы Роскомнадзора 2026: сколько заплатили и почему именно столько
Юридически обеим организациям вменили часть 9 статьи 13.11 КоАП — «повторное совершение» нарушения, описанного в части 8 той же статьи. Слово «повторное» здесь ключевое: значит, ранее компании уже привлекались за то же самое и не устранили нарушение.
Диапазон санкции по части 9 для юрлиц — от 6 до 18 млн ₽. Суд назначил обеим компаниям именно нижнюю границу — 6 млн ₽. То есть могло быть в 2–3 раза больше: это не разовая случайность правоприменителя, а нижний порог за системное игнорирование требования.
Чтобы посмотреть штрафы Роскомнадзора по каждому сценарию — от первичной ошибки до повторной нелокализации, — вот сводная таблица:
| Нарушение | Юрлицо | Статья |
|---|---|---|
| Нелокализация ПДн, первичное | 1–6 млн ₽ | ч. 8 ст. 13.11 КоАП |
| Нелокализация ПДн, повторное (кейс AIDA International / ITI) | 6–18 млн ₽ | ч. 9 ст. 13.11 КоАП |
| Для сравнения — EA, Take-Two Interactive, Battlestate Games, NetEase (апрель 2026) | 2 млн ₽ каждой | ч. 8 ст. 13.11 КоАП (предположительно первичное) |
В апреле 2026 года тот же судебный район Москвы уже штрафовал по 2 млн ₽ издателей видеоигр EA, Take-Two Interactive, Battlestate Games и NetEase — вероятно, за первичное нарушение. Это не изолированный кейс, а часть более широкой картины, о которой — в следующем разделе.
Это не тот самый «оборотный штраф»: честно разбираем термин
Дело уже прозвали в СМИ «оборотным штрафом» — так его и ищут читатели. Но по существу это неточный ярлык, и разница важна, чтобы правильно оценить собственный риск.
Настоящий оборотный штраф — в процентах от годовой выручки компании — предусмотрен частью 15 статьи 13.11 КоАП. Норму ввёл 420-ФЗ, действует с 30 мая 2025 года. Но эта норма — про повторную УТЕЧКУ персональных данных, а не про то, где физически лежит база.
Штраф AIDA International и ITI назначен по совсем другой статье — части 9 — и это фиксированная сумма 6–18 млн ₽ для юрлиц, без всякой привязки к выручке компании.
Важно: в СМИ дело AIDA International часто называют «оборотным штрафом» — это разговорный ярлык. По факту это фиксированная сумма 6–18 млн ₽ за повторную нелокализацию (ч. 9 ст. 13.11 КоАП), а не процент от выручки. Настоящий оборотный штраф в 2026 году — отдельная норма (ч. 15 ст. 13.11 КоАП, до 500 млн ₽), и она про повторную утечку данных, а не про то, где физически лежит база.
Почему это важно для вас: риск утечки и риск нелокализации — два разных сценария нарушения, и меры защиты для них тоже разные. Прежде чем пугаться «процентов от выручки», стоит понять, какой из двух рисков реально касается именно вашего сайта.
Не единичный случай: волна исков к международным компаниям в 2026 году
AIDA International и ITI — не единственные, кого в 2026 году штрафуют за локализацию ПДн. В апреле 2026 года тот же Таганский район Москвы взыскал штрафы с издателей видеоигр — Electronic Arts, Take-Two Interactive, Battlestate Games и NetEase, по 2 млн ₽ с каждой. А в мае 2026 года Роскомнадзор подал новые иски — уже к Epic Games, Digital Extremes и Embracer Group.
Один и тот же судебный район в обеих группах дел — не совпадение, а признак того, что контроль за локализацией данных весной 2026 года заметно активизировался.
Проверка сайта под штрафы в 2026 году особенно актуальна для компаний, которые уже получали замечания от РКН и рассчитывают, что во второй раз «пронесёт».
Предупреждение: если ваша компания уже получала предписание Роскомнадзора об устранении нарушения (в том числе по локализации ПДн) и не устранила его — при повторной проверке штраф вырастет в разы: с диапазона 1–6 млн ₽ (первичное, ч. 8) до 6–18 млн ₽ (повторное, ч. 9). Именно так выросла санкция для AIDA International и International Training.
Кто в зоне риска в 2026 году: не только техногиганты
Главный урок кейса AIDA International — под удар попадают далеко не только технологические гиганты. В зоне риска — любая организация с базой данных россиян, которая работает через иностранное юрлицо, ассоциацию или франшизу. Как мы уже увидели выше, это системная тенденция 2026 года, а не разовая акция против одной компании.
- международные ассоциации и федерации с российскими членами — как в этом кейсе
- франшизы с зарубежным головным офисом, который ведёт единую CRM для всех стран
- компании на иностранных SaaS/CRM без российского контура — Salesforce, HubSpot и подобные
- НКО с международным членством, ведущие единый реестр участников
- агентства сертификации и обучения с трансграничными базами клиентов — аналог ITI
Чтобы понять, входит ли ваш сайт в зону риска, полезен быстрый аудит сайта на штрафы — а не гадание по аналогии с чужими кейсами.
Проверка сайта на риски штрафов: что делать прямо сейчас
Не хотите оказаться следующим прецедентом в подборке СМИ — проверьте сайт, пока это можно сделать бесплатно и без последствий.
Три вопроса для самопроверки:
- Где физически хранится ваша база клиентов — на каком сервисе, CRM или хостинге и в какой юрисдикции
- Зафиксировано ли согласие на трансграничную передачу данных, если часть инфраструктуры расположена за рубежом
- Было ли у вас когда-либо предписание или замечание от Роскомнадзора — и закрыто ли оно официально документами, а не «на словах»
Проверить штраф Роскомнадзора по своему сайту и получить аудит сайта на штрафы можно за пару минут: сервис проверяет типовые точки риска, включая косвенные признаки нелокализации и сторонние сервисы без российского контура.
Если хотите разобраться в матчасти локализации подробнее — что именно требует 242-ФЗ и как проверить, где физически лежит база, — читайте отдельный разбор: Локализация ПДн (242-ФЗ): где законно хранить базы.
Материал носит информационный характер и не является юридической консультацией.