С 30 мая 2025 года вступили в силу новые санкции, касающиеся защиты персональных данных, и теперь утечка даже одной записи при обращении в органы опеки может обернуться для оператора штрафом до 20 млн рублей. В этом материале мы разберём, кто именно несёт ответственность, какие штрафы грозят за разные нарушения и какие меры нужно принять уже сегодня, чтобы избежать репутационных и финансовых потерь.
Почему именно «опека» — особая зона риска
В органах опеки и попечительства фиксируются специальные категории персональных данных: биометрия, сведения о здоровье, доходах, семейных обстоятельствах. Утечка такой информации квалифицируется по повышенному тарифу:
- до 3 млн руб. за неуведомление о факте утечки;
- до 20 млн руб. при утечке биометрических данных;
- до 300 000 руб. за неподачу уведомления о начале обработки.
Это значит, что даже единичная заявка в органы опеки, оформленная через ваш сайт или мобильное приложение, обязывает соблюдать все требования 152-ФЗ.
Кто считается «оператором» в схеме «гражданин — опека»
Согласно постановлению Верховного Суда (дело 5-АД25-119-К2), оператором признаётся тот, кто определяет цели и условия обработки ПД, даже если технический доступ к данным обеспечивает подрядчик.
Типичные схемы опеки и распределение ответственности:
- Родитель подаёт заявление через портал госуслуг.
Оператор — орган опеки, портал выступает как оператор-процессор (подрядчик). - Коммерческий центр помощи семьям собирает документы и передаёт их в опеку.
Коммерческий центр — оператор; опека, третья сторона, условия передачи фиксируются договором. - Школьный психолог направляет в опеку заключение о ребёнке.
Школа — оператор, ответственность несёт директор как представитель юрлица.
Дифференцированные штрафы и меры ответственности
| Нарушение | Должностное лицо | Компания/ИП | Юр. основание |
|---|---|---|---|
| Неуведомление об утечке | 50 000 – 100 000 ₽ | 1 – 3 млн ₽ | ст. 13.14 КоАП (в ред. 420-ФЗ) |
| Утечка биометрических ПД | 100 000 – 300 000 ₽ | до 20 млн ₽ | ст. 13.14 КоАП, п. 2.2 |
| Отсутствие политики конфиденциальности на сайте | 10 000 ₽ | 100 000 ₽ | ст. 13.13 КоАП |
Повышенные требования для «больших» операторов
Если вы обрабатываете более 1 млн записей (например, крупная сеть центров «Мои документы» по оформлению опеки над детьми-сиротами), то с 2026 года должны:
- иметь статус российского юридического лица;
- держать в штате не менее 5 сертифицированных специалистов по защите информации;
- ежегодно проходить независимый аудит безопасности и публиковать его результаты.
Что делать прямо сейчас: 5 шагов для безопасной работы с опекой
- Карта данных. Уточните, какие именно ПД вы собираете при обращении в опеку, где храните и кто имеет доступ.
- Обновлённая политика. Разместите на сайте актуальный документ «Политика обработки ПД» с упоминанием целей передачи в органы опеки.
- Подрядчики. Проверьте договоры с ИТ-компаниями: наличие технических мер, обязанности уведомлять об инцидентах и ответственности за утечку.
- Уведомление в Роскомнадзор. Если вы впервые начали обработку ПД для направления в опеку — подайте уведомление в течение 10 рабочих дней.
- Тренинги. Проведите внутренний инструктаж сотрудников: как реагировать на обращения граждан, чтобы не нарушить закон.
Ответственность за «молчание» о факте утечки
ФЗ-152 обязывает оператора в течение 24 часов сообщить в Роскомнадзор о любом инциденте. Пренебрежение этим сроком грозит:
- для должностного лица — до 300 000 ₽;
- для компании — до 3 млн ₽;
- повторное нарушение в течение года — «оборотные» штрафы до 15 млн ₽.
Реальные кейсы
Кейс 1. В конце 2025 года школа-интернат не сообщила о хакерской атаке, в результате которой утекли анкеты детей, направляемых в органы опеки. Роскомнадзор оштрафовал учреждение на 7 млн рублей, директора, на 200 000 рублей.
Кейс 2. Коммерческий «Центр помощи семьям» при оформлении опеки над дедушкой с деменцией не разместил на сайте политику конфиденциальности. После жалобы заявительницы Мировой суд оштрафовал ИП на 100 000 рублей и обязал устранить нарушение.
- ✓ Проверьте, попадаете ли вы под статус «большого оператора» (>1 млн записей).
- ✓ Убедитесь, что уведомление о начале обработки подано.
- ✓ Подготовьте план реагирования на инцидент: 24 часа на Роскомнадзор, 72 часа — на субъектов ПД;
- ✓ Закрепите в договоре с подрядчиком неустойку за утечку не менее 50 % от суммы возможного штрафа.
Запомните: ответственность за утечку при обращении в опеку нельзя переложить на государственные органы или технических подрядчиков — её несёт тот, кто организовал сбор и передачу данных. Подготовьтесь заранее, и штрафы останутся только в теории.