Расклад на сентябрь 2026 года такой: по новым «утечечным» частям ст. 13.11 КоАП есть четыре дела, где публично раскрыты и квалификация, и итог. В одном назначен штраф 400 тыс. ₽, в трёх суд ограничился предупреждением. Ниже — каждое дело с номером и мотивировкой и два механизма КоАП, которые превращают миллионы из текста закона в сотни тысяч рублей или в ноль.
Оборотный штраф за утечку: что это и что это точно не
«Оборотный» штраф — это не любой штраф за утечку, а санкция именно за повторную утечку: 1–3% годовой выручки, минимум 20–25 млн ₽ и до 500 млн ₽ (ч. 15 и ч. 18 ст. 13.11 КоАП). Эти нормы ввёл 420-ФЗ от 30.11.2024 — они вступили в силу 30 мая 2025 года и обратной силы не имеют: утечки до этой даты судят по старым правилам.
Первая утечка, даже крупная, — это не процент от выручки, а фиксированная вилка в миллионах рублей (ч. 12–14 либо ч. 16–17). Про такие дела — вся практика ниже. Полную механику расчёта мы разбирали в материале «Оборотные штрафы за утечку персональных данных: кому и сколько грозит»; здесь — только то, что из этого реально взыскано.
Это не про WhatsApp, Facebook или Ome.TV. Эти компании оштрафованы за другое — за хранение данных россиян на серверах за рубежом (нелокализация, ч. 8–9 ст. 13.11), а не за утечку. Разборы этих дел — отдельные материалы в блоге.
Штрафы Роскомнадзора 2026 за утечки: сколько на самом деле взыскали
Закон обещает до 500 млн ₽ за повторную утечку. На практике самый крупный из публично раскрытых штрафов по новым нормам — 400 тысяч рублей, а оборотный штраф (процент от выручки по ч. 15 или ч. 18) не применялся ни разу: по данным РКН, протоколы по ч. 15 ст. 13.11 КоАП не составлялись вовсе. Регулятор сообщил это в середине августа 2026 года (заявление замглавы РКН Милоша Вагнера 14 августа, публикации — 17 августа): протоколы шли по пяти другим составам — ч. 1, 12, 13, 14 и 16, а повторных утечек с начала 2025 года не выявлено, то есть основание для оборотной санкции не возникало. Общая статистика надзора — в обзоре «Штрафы за утечки персональных данных: свежая практика 2026 года»; здесь — разбор того, как суды приходят к конкретным суммам.
Дел, где раскрыты и квалификация, и итог, четыре: онлайн-школа Ukids (ч. 14, решение от 5 марта 2026 года), «ПКР Аналитика» (ч. 13, 10 марта 2026 года), оператор связи «Орион Телеком» (ч. 13, май 2026 года) и ООО «Комлайн» из той же группы (ч. 12, 28 апреля 2026 года). Дел на самом деле больше: по компаниям группы «Орион Телеком» разбирательства шли минимум в четырёх регионах — Иркутская и Кемеровская области, Красноярский край (№ А33-31137/2025) и Хакасия (№ А74-10378/2025); профильный разбор практики насчитывает утечки у семи компаний группы, от 10 до 100 тысяч субъектов, но их итоги раскрыты не полностью. Все решения ниже арбитражные: дела, начатые в 2025 году, арбитражные суды досматривают до конца (ст. 39 АПК).
Дело Ukids: как 10–15 млн ₽ по закону превратились в 400 тысяч на практике
Онлайн-школа «ЮКИДС» (Ukids) — дело № А40-351064/2025, Арбитражный суд города Москвы, решение от 5 марта 2026 года. Утечка произошла в июне 2025 года: в открытом доступе оказалась база клиентов — ФИО, телефоны, email и служебные комментарии менеджеров.
Порог ч. 14 ст. 13.11 КоАП — утечка данных свыше 100 000 субъектов ПДн и (или) свыше 1 000 000 идентификаторов. По данным источников, база насчитывала около 500 тысяч строк, а затронуто более 100 тысяч субъектов — отсюда квалификация по ч. 14 и вилка для юрлица 10–15 млн ₽. (Часть пересказов пишет о «более чем 300 тысячах человек»: источники расходятся, но порог ч. 14 перекрыт в любом варианте.)
Ukids с 2021 года числится в реестре МСП как микропредприятие, и суд применил ст. 4.1.2 КоАП — норму о смягчении наказания для малого бизнеса. По данным источников, суд исходил из вилки ч. 14 для должностного лица (400 000–600 000 ₽) и назначил её нижнюю границу — 400 000 ₽. Это в 25 раз меньше минимума для юрлица.
Две детали. Суд прямо отказал компании в замене штрафа на предупреждение — смягчение сработало частично, а не «всё сошло с рук». И это решение первой инстанции: по данным СМИ, компания подала апелляцию, публично подтверждённого итога нет.
Не знаете, какие персональные данные собирает ваш сайт и как они защищены? Бесплатный аудит сайта на штрафы РКН занимает пару минут.Бесплатный аудит по 16 требованиям РКН за пару минут.
Проверить сайт«ПКР Аналитика», «Орион Телеком» и «Комлайн»: три предупреждения вместо миллионов
ООО «ПКР Аналитика» — владелец цифровой платформы инвестиционных проектов, дело № А56-4733/2026, Арбитражный суд Санкт-Петербурга и Ленинградской области, решение от 10 марта 2026 года. После хакерской атаки в интернете оказались данные 70 000 человек: ФИО, должность, служебные email и телефоны.
Объём укладывается в ч. 13 ст. 13.11 КоАП (от 10 000 до 100 000 субъектов) — вилка для юрлица 5–10 млн ₽. Но суд заменил штраф на предупреждение по ст. 4.1.1 КоАП: нарушение впервые, доказанного имущественного вреда нет. Итог — 0 ₽ вместо миллионов.
Важный нюанс для тех, кто рассчитывает на аргумент «нас взломали»: атака извне сама по себе оператора не спасла — состав правонарушения суд признал, просто выбрал самое мягкое наказание.
Похожий итог — у оператора связи «Орион Телеком», дело № А19-25808/2025, Арбитражный суд Иркутской области, ч. 13 (те же 5–10 млн ₽ по закону). Доступ злоумышленник получил через учётную запись уволенного сотрудника с паролем, не менявшимся с 2019 года. Итог — предупреждение; апелляцию рассматривал Четвёртый арбитражный апелляционный суд (заседание 30 июня 2026 года), её результат в открытых источниках не подтверждён. Оговорка по цифрам: юридические обзоры пишут об утечке данных 36 тысяч абонентов, часть источников относит к этому делу утечку по всей группе — около 500 тысяч абонентов после атаки BO Team; дата решения в источниках тоже расходится — 8 или 12 мая 2026 года.
И дело ООО «Комлайн» — «дочки» той же группы: № А27-23786/2025, Арбитражный суд Кемеровской области, решение от 28 апреля 2026 года. Утечка данных 4,2 тысячи абонентов, ч. 12 ст. 13.11 КоАП, санкция до 5 млн ₽. Суд учёл статус МСП, первичность нарушения и отсутствие вреда жизни и здоровью — снова предупреждение вместо штрафа.
Ещё три дела: от 30 тысяч рублей до предупреждения
Помимо четырёх дел по новым частям статьи, по данным юридической аналитики известны ещё три: № А40-360975/25 — утечка 81 записи, штраф 30 000 ₽; № А40-347593/2025 — 36 записей, 60 000 ₽; № А56-91242/2025 — 849 записей, предупреждение без штрафа.
Часть статьи источники не раскрывают, и приписать её по одной лишь сумме нельзя: 30 000 и 60 000 ₽ не укладываются даже в вилку ч. 1 для юрлица (150 000–300 000 ₽). Оговорка по терминам: 81, 36 и 849 — это «записи» из пересказа, а пороги ч. 12–14 считаются по субъектам ПДн и идентификаторам. Но даже если считать записи субъектами, все три дела ниже порога ч. 12 — к «утечечной» шкале они отношения не имеют.
Сводим закон и факт в одну таблицу:
| Дело | Вилка по закону (юрлицо) | Реально присуждено | Механизм снижения |
|---|---|---|---|
| «ЮКИДС» (Ukids), № А40-351064/2025, ч. 14 | 10–15 млн ₽ | 400 000 ₽ (первая инстанция; по данным СМИ, подана апелляция) | Ст. 4.1.2 КоАП: наказание по нормам для должностного лица |
| «ПКР Аналитика», № А56-4733/2026, ч. 13 | 5–10 млн ₽ | Предупреждение (0 ₽) | Ст. 4.1.1 КоАП: замена штрафа предупреждением |
| «Орион Телеком», № А19-25808/2025, ч. 13 | 5–10 млн ₽ | Предупреждение (0 ₽), итог апелляции не подтверждён | Ст. 4.1.1 КоАП: замена штрафа предупреждением |
| «Комлайн» (группа «Орион Телеком»), № А27-23786/2025, ч. 12 | 3–5 млн ₽ | Предупреждение (0 ₽) | Ст. 4.1.1 КоАП: учтены статус МСП, первичность, отсутствие вреда |
| № А40-360975/25 — 81 запись | Часть статьи в источниках не раскрыта (объём — ниже порога ч. 12) | 30 000 ₽ | нет данных |
| № А40-347593/2025 — 36 записей | Часть статьи в источниках не раскрыта (объём — ниже порога ч. 12) | 60 000 ₽ | нет данных |
| № А56-91242/2025 — 849 записей | Часть статьи в источниках не раскрыта (объём — ниже порога ч. 12) | Предупреждение (0 ₽) | нет данных |
Почему суды снижают штрафы: два законных механизма — и когда они не срабатывают
Механизм первый — льгота для малого бизнеса (ст. 4.1.2 КоАП). Она распространяется на юрлиц из реестра МСП со статусом малого или микропредприятия и на социально ориентированные НКО; средние предприятия льготу не получают. Такому нарушителю штраф назначают в размере, который статья предусматривает для ИП, а если размера для ИП нет — от половины минимального до половины максимального штрафа юрлица (по ч. 14 это было бы 5–7,5 млн ₽).
Со ст. 13.11 арифметика льготы неоднозначна: примечание 1 приравнивает ИП по ч. 8–18 к юридическим лицам, то есть отдельного, более мягкого «размера для ИП» в этих частях просто нет. Суд в деле Ukids пошёл по мягкому пути — назначил наказание в вилке для должностного лица. Рассчитывать на такой же результат как на правило нельзя: это решение конкретного суда, а не устоявшаяся формула. И сами ИП по ст. 13.11 послаблений не получают — по частям 8–18 они отвечают как юридические лица.
Механизм второй — замена на предупреждение (ст. 4.1.1 КоАП): для впервые совершённого нарушения без доказанного вреда жизни, здоровью или имуществу. Статья 13.11 КоАП не входит в перечень исключений этой нормы — формально предупреждение вместо штрафа за утечку допустимо. Именно это сработало в делах «ПКР Аналитика», «Орион Телеком» и «Комлайн». Оба механизма — универсальные нормы КоАП, а не специальные льготы для утечек.
Важно: автоматом это не срабатывает. Суд сам оценивает, было ли нарушение первым и не создало ли оно вреда или угрозы вреда (ч. 2 ст. 3.4 КоАП), — и может в льготе отказать, как отказал Ukids в замене штрафа на предупреждение. А у компании без статуса малого предприятия шансы получить штраф ближе к вилке закона (5–15 млн ₽) заметно выше.
Что решает исход дела — и почему чужие кейсы вам не гарантия
Два часто цитируемых кейса — РЖД и Минтруд — идут не по «утечечной» шкале, а по общему составу ст. 13.11, и показывают весь разброс исходов. Штраф РЖД в 150 тыс. ₽ за утечку 17 млн строк (дело № А40-263206/2025 по данным СМИ) апелляция отменила в феврале 2026 года, а кассация отмену подтвердила: регулятор не доказал, какие именно обязательные меры компания должна была внедрить. Штраф Минтруду в 100 тыс. ₽ за утечку на стороне подрядчика, наоборот, устоял вплоть до Верховного Суда РФ (постановление от 21 января 2026 года № 5-АД25-119-К2) — он назначен по редакции ст. 13.11, действовавшей до 30 мая 2025 года, отсюда сумма ниже нынешней вилки ч. 1. Оба дела подробно разобраны в обзоре свежей практики по утечкам, а на кого ложится ответственность, когда данные потерял подрядчик, — в материале «Кто отвечает за утечку персональных данных».
Не путайте: кейс РЖД — это отменённый штраф 150 тыс. ₽ по общему составу ч. 1, а не по оборотной шкале. Оборотный штраф не был даже оспорен в суде — просто потому что он ни разу не назначался: протоколы по ч. 15 ст. 13.11 КоАП, по данным РКН на середину августа 2026 года, не составлялись вовсе.
Главный вывод практикующих юристов (аналитика pravo.ru, июнь 2026): суды всё чаще смотрят не на сам факт утечки, а на то, что компания делала до инцидента — были ли внедрены базовые меры защиты и оформлены документы. Заявленные в законе суммы массово не взыскиваются в полном объёме, но это не гарантия: где-то штраф снижают в 25 раз, а где-то он проходит все инстанции без изменений. И честная оговорка: практика по новым частям ст. 13.11 сложилась меньше чем за год, исход по конкретной утечке предсказать нельзя — при инциденте разумнее сразу подключать юриста, а не примерять на себя чужой кейс из новостей. Что считается повторным нарушением — в материале «Повторные штрафы Роскомнадзора 2026».
Риск получить штраф или хотя бы предупреждение реален для любого сайта, который не может подтвердить базовые меры защиты — политику конфиденциальности, формы согласия, статус оператора ПДн. Начать проще всего с бесплатной проверки сайта на 152-ФЗ и риск штрафов: она за пару минут покажет, какие пункты у вас формально не закрыты.