Неправильная обработка ПДн и уголовные дела – примеры

Немного статистики: за первое полугодие 2025 года МВД было выявлено 601 нарушение правил обработки ПДн, и по 313 из них возбуждены уголовные дела.

Это 100 нарушений в месяц, грубо, чтобы оштрафовать все компании в РФ нужно примерно 573,75 лет. Шутка.

Данные касаются новой статьи – 272.1 УК РФ «Незаконное использование ... информации, содержащей персональные данные…» — она вступила в силу с декабря 2024 года.

По следам статьи на Хабре хочу немного попугать вас и поделиться нескольким кейсами:

❗Cookie на сайте без согласия

Digital-агентство из Екатеринбурга устанавливало на всех лендингах клиентов пиксели Facebook и Яндекс.Метрику без cookie-баннера.

Результат проверки РКН: каждый лендинг — отдельное нарушение. 47 лендингов × 300 тыс. рублей = 14,1 млн рублей штрафа.

❗Лид-формы без DPA

В компании «Небо» лиды поступали из ВКонтакте в CRM-систему. Соглашение о передаче персональных данных (DPA) с CRM не было подписано.

Результат проверки РКН: передача ПДн без поручения клиентов нарушает статью 6 ФЗ №152. Штраф 700 тыс. рублей + предписание прекратить обработку всех данных.

❗Биометрия в маркетинге

Ритейлер в торговом центре установил камеры с подсчетом посетителей по лицам для отчетов по digital-рекламе.

Результат проверки РКН: обработка биометрических данных без специального согласия. Штраф 15 млн рублей, возбуждение уголовного дела по статье 272.1 УК РФ в отношении директора.

❗Google Analytics на сайте

Федеральная сеть фитнес-клубов использовала Google Analytics на своих региональных сайтах.

Результат проверки РКН: 25 городов × 1 млн. рублей = 25 млн. штрафа.

❗Принудительная ликвидация бизнеса

По Федеральному закону №115-ФЗ банки получили право инициировать ликвидацию бизнеса.

Предприятие с оборотом 120 млн рублей в год оплатило ИП за год в сумме 15 млн. Банк заподозрил компанию в транзитных переводах. Компания направила стандартный ответ, но не предоставила детальных разъяснений.

Результат: банк инициировал ликвидацию бизнеса. При принудительной ликвидации по инициативе банка у компании есть всего 6 месяцев на то, чтобы «обелить» себя. В отличие от ликвидации по инициативе ИФНС, там процедура проще.

Что с этим делать

✅ Провести аудит использования ПДн: какие данные, куда передаются, где хранятся, кто отвечает. Тут я писал про классы ИСПДн, а тут про новые законы

✅ Проверить контрактную базу: есть ли DPA, как оформлены согласия, учитывается ли биометрия

✅ Проверить сайты на предмет использования зарубежных сервисов
Про это, кстати, есть хорошая народная мудрость: «берегите ваши и чужие ПДн смолоду».

#ПДн #152ФЗ #ИСПДН