Мы маленькая компания. Нам нужно соблюдать 152-ФЗ?

Да. Оператором считается любой бизнес или ИП с сотрудниками, клиентской базой или формой заявки на сайте. Штрафы за утечку начинаются от 3 млн рублей.

Что делать в первые сутки после утечки персональных данных?

Сообщить в Роскомнадзор в течение 24 часов, сохранить логи и доказательства, ограничить доступ к системе, в течение 72 часов направить результаты расследования.

Можно ли удалить свои данные из слитой базы?

Полностью нельзя, но можно убрать данные из Telegram-ботов, каналов, сайтов и поисковой выдачи через жалобы, обращения в РКН, хостинг-провайдерам и заявление в полицию.

Какой штраф за утечку персональных данных в 2026 году?

Для компаний от 3 до 15 млн рублей в зависимости от объёма, до 20 млн за биометрию, при повторной утечке 1–3% выручки, но не менее 20 и не более 500 млн рублей.

[персональные данные][152-ФЗ · КоАП 13.11][по всей россии]

Защищаем тех,
кому доверяют.

Аудит
Сайт и cookie
Документы
Уведомление РКН
Утечки

Обсудить задачу — 15 минут → Диагностика — 25 000 ₽

Помогаем бизнесу привести работу с персональными данными в соответствие с 152-ФЗ. Проводим аудит, проверяем сайт, готовим комплект документов и уведомление Роскомнадзора, настраиваем правила доступа, хранения и передачи данных. Если утечка уже произошла — быстро берем ситуацию под контроль.

Доверие строят годами. Мы помогаем его сохранить — выстраиваем защиту данных, которая работает каждый день.

[01]24 ч

чтобы сообщить в Роскомнадзор об утечке. Полный отчёт — за 72 часа

[02]3–15 млн

штраф за утечку данных от 1 000 человек, в зависимости от объёма

[03]500 млн

при повторной утечке: 1–3% годовой выручки, минимум 20 млн ₽

[04]4 года

лишения свободы по ст. 272.1 УК РФ за незаконный оборот персданных

Все штрафы Роскомнадзора

Статья 13.11 КоАП РФ в редакции 420-ФЗ, действует с 30 мая 2025 года. Суммы для юридических лиц.

Нарушение	Норма	Штраф
Не подали уведомление об обработке ПД	ч. 10 ст. 13.11	100–300 тыс. ₽
Не сообщили в РКН об утечке	ч. 11 ст. 13.11	1–3 млн ₽
Утечка данных 1 000–10 000 человек	ч. 12 ст. 13.11	3–5 млн ₽
Утечка данных 10 000–100 000 человек	ч. 13 ст. 13.11	5–10 млн ₽
Утечка данных более 100 000 человек	ч. 14 ст. 13.11	10–15 млн ₽
Утечка специальных категорий (здоровье и др.)	ч. 16 ст. 13.11	10–15 млн ₽
Утечка биометрических данных	ч. 17 ст. 13.11	15–20 млн ₽
Повторная утечка	ч. 15, 18 ст. 13.11	1–3% выручки, 20–500 млн ₽

в результате работы
с нами вы:

увидите весь путь данных — от формы на сайте до CRM, архива и подрядчиков;
сотрудники будут понимать, какие данные можно передавать, кому и каким способом;
сайт, договоры, внутренние документы и реестр Роскомнадзора перестанут противоречить друг другу;
будете знать, что делать в первые 24 часа после утечки

Где данные стоят дороже всего

[кому особенно нужно]

Медицина[01]

Клиники, стоматологии, лаборатории

Диагнозы, анализы, история лечения и биометрия. Выстроим правила, которые защищают пациента и репутацию клиники.

Проверить клинику →

Образование[02]

Частные школы, лицеи, детские сады, кружки

Данные детей, фото, чаты и пропускные системы. Наведём порядок, чтобы школа сохраняла доверие родителей.

Проверить школу →

Бренды и e-commerce[03]

Интернет-магазины, шоурумы, маркетплейсы

Адреса, телефоны, история покупок, рассылки и cookie. Проверим согласия и передачу данных доставке и CRM.

Проверить магазин →

Красота и спорт[04]

Салоны, фитнес, студии

Фото «до и после», камеры, вход по лицу. Если изображение идентифицирует человека — это уже биометрия.

Проверить салон →

Работодатели[05]

HR, кадры, подрядчики

Паспорта, СНИЛС, анкеты и медосмотры. Резюме в общем чате — классический источник утечки.

Проверить кадры →

IT и сервисы[06]

Приложения, SaaS, онлайн-школы

Локализация баз, трансграничная передача, договоры с хостингом и подрядчиками.

Проверить сервис →

[срочно]

Данные уже в сети? Берём ситуацию под контроль

Оценим инцидент, подготовим уведомления Роскомнадзора, зафиксируем обстоятельства и начнём работу с площадками, хостингами и поисковой выдачей.

Первый этап реагирования — от 150 000 ₽

Срочно обсудить инцидент →

Конфиденциально. Начало работы и доступность команды подтверждаем после первичной оценки ситуации.

Как проходит реагирование

Снижаем доступность данных и ограничиваем распространение. Фиксируем нарушение, направляем требования площадкам и хостинг-провайдерам, работаем с поисковой выдачей и подключаем государственные органы, когда для этого есть основания.

01ФиксируемСкриншоты, ссылки, нотариальный или онлайн-протокол осмотра. Саму базу не скачиваем и не храним: её хранение тоже может подпадать под ст. 272.1 УК РФ.
02Уведомляем РКНОт имени оператора, если утекла ваша база. Это и обязанность, и законный способ запустить блокировку ресурсов.
03Telegram и хостингиЖалобы на ботов и каналы через официальные формы, требования к хостинг-провайдерам и регистраторам доменов.
04ПоисковикиЗапросы в Яндекс и Google на удаление ссылок из выдачи.
05ПолицияЗаявление по ст. 272.1 УК РФ. Возбуждённое дело помогает быстрее блокировать ресурсы.
06Минимизируем вредМеняем пароли и доступы, предупреждаем клиентов о звонках мошенников, перевыпускаем то, что можно перевыпустить.

Включено в первый этап:

первичная правовая оценка инцидента;
уведомления в Роскомнадзор за 24 и 72 часа;
документы внутреннего расследования;
координация фиксации доказательств;
первичные обращения к площадкам и хостинг-провайдерам;
рекомендации по коммуникации с клиентами, пациентами или родителями.

Отдельно оцениваются: длительное сопровождение, судебная защита, взаимодействие с правоохранительными органами, большое количество претензий и масштабная работа по ограничению распространения информации.

Не платите за «скрытие»Боты «пробива» предлагают убрать вас из выдачи за деньги или по скану паспорта. Так вы финансируете нарушителя и отдаёте ему ещё больше данных.

Как работаем

[три шага]

Находим риски

Сайт, системы, подрядчики и сотрудники.

Приводим в порядок

Документы, Роскомнадзор и процессы.

Помогаем внедрить

Инструкции, обучение и сопровождение.

[кто ведёт проект]

Экспертиза партнёра — на каждом этапе.

Проводим аудит, формируем правовую архитектуру проекта и контролируем внедрение решений. Анализируем не только документы, но и фактический путь данных, роли сотрудников и используемые системы — чтобы требования законодательства работали в реальных процессах компании.

Арина Нечаева-Внутских Управляющий партнёр ALEF-LEGAL Юрист по интеллектуальной собственности и персональным данным

КейсЧастный лицей: документы и порядок после утечки

[кейс][образование]

Частный лицей: выстроили работу с данными учеников

В сети обнаружили имена и телефоны учеников и сведения об их одноклассниках. Мы добились удаления данных, а дальше занялись тем, чтобы история не повторилась: разобрали, кто и как работает с данными детей, подготовили политику обработки, согласия родителей, положение о персональных данных и приказы о доступе. Разграничили доступы, провели обучение для сотрудников и закрепили порядок действий на случай нового инцидента.

Результат: данные удалены из открытого доступа, а лицей получил понятные правила их хранения, передачи и защиты.

КейсМедицинский центр: реагирование на утечку за 72 часа

[кейс][медицина]

Медицинский центр: отработали инцидент и уведомили Роскомнадзор

Из клиентской базы клиники в открытый доступ попали ФИО, телефоны и сведения о записях пациентов. В первые сутки мы направили уведомление в Роскомнадзор через форму на сайте ведомства, провели внутреннее расследование, установили источник утечки и составили акт расследования инцидента. В течение 72 часов передали в РКН результаты расследования. Параллельно ограничили доступы, сменили учётные данные, добились удаления данных из открытых источников и подготовили для администраторов порядок общения с пациентами.

Результат: сроки уведомления Роскомнадзора соблюдены, источник утечки закрыт, а у клиники есть акт расследования и порядок действий на случай нового инцидента.

Форматы работы и стоимость.

Можно начать с диагностики или сразу с комплексного проекта. Итоговая стоимость зависит от числа юридических лиц, сайтов, информационных систем, подрядчиков и категорий данных.

Начать с диагностики[01]

Диагностика

25 000 ₽

найдём основные риски;
проверим сайт и реестр;
дадим дорожную карту и стоимость проекта.

Что входит полностью ↓

один установочный созвон до 60 минут;
проверка одного сайта и открытых сведений в реестре операторов;
предварительный разбор основных процессов обработки данных;
перечень выявленных рисков и приоритетов;
дорожная карта и фиксированная оценка дальнейшего проекта.

При заказе комплексного проекта от 150 000 ₽ в течение 10 дней зачтём стоимость диагностики в его оплату.

Заказать диагностику →

Порядок[02]

Привести данные в порядок

от 55 000 ₽

проверим сайт и процессы;
подготовим необходимый комплект документов;
подадим уведомление Роскомнадзора.

Что входит полностью ↓

проверка одного сайта, форм, cookie, метрик и виджетов;
проверка сведений в реестре операторов;
карта основных процессов и движения персональных данных;
политика обработки персональных данных и согласия для форм сайта;
положения, приказы, обязательства и формы для сотрудников;
базовые условия для договоров с подрядчиками;
подготовка уведомления или изменений для Роскомнадзора;
правила доступа, хранения, передачи и удаления данных;
перечень правок для разработчика сайта;
рекомендации по внедрению;
два раунда правок.

Стоимость 55 000 ₽ действует для одной компании с одним сайтом и стандартными процессами. Клиники, школы, биометрия, специальные категории данных, несколько юридических лиц и сложные информационные системы рассчитываются после диагностики. Не входит: техническая настройка сайта и аудит информационной безопасности.

Навести порядок →

Под ключ

от 150 000 ₽

проведём полный аудит;
выстроим документы и процессы;
обучим команду и проконтролируем внедрение.

Что входит полностью ↓

аудит сайта и процессов;
карта данных, систем и подрядчиков;
документы для сайта и внутренний комплект;
уведомление Роскомнадзора;
настройка ролей, доступов и внутренних процедур;
регламент действий при инциденте;
инструктаж команды;
контроль внедрения в согласованном объёме.

Для клиник, школ, групп компаний и организаций, обрабатывающих специальные категории данных, стоимость определяется после диагностики.

Обсудить проект под ключ →

Один проект — один согласованный объём; дополнительные юридические лица, сайты и системы рассчитываются отдельно.

[частые вопросы]

Вопросы о персданных

Мы маленькая компания. Нам это вообще нужно?

Да. Оператором считается любой бизнес или ИП, у которого есть хотя бы один сотрудник, клиентская база или форма заявки на сайте. Роскомнадзор не делает скидку на размер, а штрафы за утечку начинаются от 3 млн ₽.

Что делать в первые сутки после утечки?

Сообщить в Роскомнадзор в течение 24 часов, сохранить логи и доказательства, ограничить доступ к скомпрометированной системе, в течение 72 часов направить результаты расследования. Не удалять следы и не вступать в переговоры с тем, кто выложил данные.

Можно ли полностью удалить данные из слитой базы?

Полностью — нет, копии расходятся по разным людям. Реально убрать данные из Telegram-ботов, каналов, сайтов и поисковой выдачи, то есть из мест, где их находят за минуту. Этого достаточно, чтобы резко снизить риск мошенничества.

Какие данные считаются особо чувствительными?

Сведения о здоровье, религиозных и политических взглядах, судимости — специальные категории. Биометрия — отдельная категория. Данные детей формально не выделены, но суды и РКН относятся к ним строже, а согласие дают родители.

Нужно ли уведомлять РКН, если мы обрабатываем только данные сотрудников?

Исключения есть, но они узкие, и после поправок 2022 года большинство компаний обязаны подать уведомление. Проверим вашу ситуацию на первой консультации.

Вы работаете по всей России?

Да, работаем с клиентами по всей России онлайн. Документы подписываем электронно, встречи проводим по видеосвязи.