Как бизнес нарушает Закон о персональных данных

Сбор и использование данных без согласия

Любая обработка персональных данных, в том числе их сбор и использование, допускается с согласия субъекта или в предусмотренных законом случаях без такового, когда есть иные основания для обработки (ч. 1 ст. 6 Закона о персональных данных).

Несоблюдение компанией или индивидуальным предпринимателем этого правила влечет ответственность в виде штрафа в размере от 50 000 до 300 000 рублей (ч. 1 ст. 13.11 Кодекса РФ об административных правонарушениях (далее – КоАП РФ)). За повторное нарушение оштрафуют на 300 000 – 500 000 рублей (ч. 1.1 ст. 13.11 КоАП РФ).

Пример. Коллекторское агентство наказали на 150 000 рублей за сбор и использование данных должников из открытых источников. При этом договор с заказчиком не предусматривал передачу таких сведений (УИД: 77MS0345-01-2025-002498-64).

Пример. Предпринимателя оштрафовали на 300 000 рублей, потому что он собирал данные граждан без их согласия. На сайте не было соответствующего функционала. Но был подключен сервис для сбора и анализа информации о посетителях (УИД: 77MS0455-01-2025-005918-76).

Реклама без согласия

Рассылать рекламу допустимо только при наличии отдельного согласия на это, даже если у компании есть договор с клиентом (ч. 1 ст. 6, ч. 1 ст. 15 Закона о персональных данных). В противном случае грозит штраф до 300 000 рублей (ч. 1 ст. 13.11 КоАП РФ).

Пример. Негосударственный пенсионный фонд наказали на 150 000 рублей за email-рассылку рекламы без согласия клиента (УИД: 77MS0410-01-2025-000596-94).

Передача данных без согласия

Компания, получившая доступ к персональным данным, не должна раскрывать их третьим лицам без согласия субъекта, если иное не предусмотрено законом (ст. 7 Закона о персональных данных). Иначе последует наказание по ч. 1 ст. 13.11 КоАП РФ.

Пример. Банк оштрафовали на 150 000 рублей за то, что он передал данные одного клиента другому. Ссылка на ошибку сотрудника при отправке документов не помогла (УИД: 77MS0348-01-2025-002940-34).

Нарушение локализации данных

Компании обязаны собирать персональные данные россиян на серверах, расположенных в России (ч. 5 ст. 18 Закона о персональных данных). За нарушение этого требования могут наказать на сумму до 6 000 000 рублей (ч. 8 ст. 13.11 КоАП РФ).

Пример. Ассоциации дайверов назначили штраф в размере 2 000 000 рублей, поскольку она собирала данные граждан РФ на зарубежном сервере (УИД: 77MS0422-01-2024-001441-11).