Привет, Хабр! Наш экспертно-аналитический центр подготовил очередной отчёт, на этот раз — про штрафы за утечки персональных данных по миру и в России (2025–2026).

Небольшой спойлер — тот самый оборотный штраф, о котором столько говорят, пока ещё никому не прилетел. Зато суммы штрафов за утечки персданных, назначаемые организациям, выросли в 10 раз.

Под катом — более подробная статистика с разбивкой по отраслям и странам и полная версия отчёта.

Всего с начала 2025 года по конец первого полугодия 2026 в мире зарегистрировали 339 штрафов за утечки персданных. Из них на Россию пришлось 35 штрафов. 

С января по июнь 2026 в России собрали таких штрафов на 2 195 000 рублей, это больше, чем за весь 2025. Тут стоит отметить, что история с утечками персданных — всегда довольно тонкая тема для компаний, как в плане репутации (для тех, кто о ней думает), так теперь и в плане штрафов, так что можно предположить, что не все данные о взломах компаний или утечках попадают в публичное поле.

Примерно четверть из этих утечек в России произошла по вине персонала компаний, а не из-за кибератак. В мире картина похожая: треть таких штрафов — вина персонала (с умыслом или без), остальное — кибератаки.

Что поменялось в законодательстве

Было два значимых события.

Во-первых, зафиксировали первый случай применения наказания по свежим изменениям КоАП (в силе с 30 мая 2025 — там про зависимость наказания от количества пострадавших субъектов, статуса оператора персданных и наличия рецидива). 

Во-вторых, впервые штраф за утечку персданных россиян получила иностранная компания. 

Объем штрафов за утечки персональных данных в России увеличился, однако новая правоприменительная практика только набирает ход. Можно ожидать, что более массовые штрафы по новым правилам последуют после наработки практики с 2027 года. Оборотные штрафы за утечки пока не применялись, но это только вопрос времени.

Андрей Арсентьев

руководитель направления аналитики и спецпроектов ЭАЦ InfoWatch

Кого штрафуют чаще других

В мировом топе за начало 2026 — госорганизации, компании из сфер IT и инфобеза, а также финтех.  У нас же — IT и ИБ, промышленность и торговля. Мировая статистика в разбивке: 70% штрафов — на европейских компаниях, каждый пятый штраф — на азиатских.

А вот как обстоит ситуация в разрезе стран.

Самый большой штраф — 409 млн долларов — получил южнокорейский маркетплейс Coupang. У ребят утекло персданных 33 миллионов потребителей, этот штраф равен оперприбыли маркетплейса за год.

Второе место в табличке — итальянский банк. Масштаб утечки — данные сразу нескольких тысяч клиентов. Вишенкой тут ещё то, что местный регулятор выкатил такой значимый штраф (36,5 млн) с учётом пассивности самого банка: там два года не замечали, как один и тот же клерк регулярно сливает данные пользователей и роется в конфиденциальной информации, включая довольно известных персон.

Если говорить именно про отрасли, то мировой топ представлен вот так.

А вот российский.

«Наказание компаний за утечку данных не должно быть формальным, но при этом не должно “убивать” бизнес, особенно если он несет важную социальную миссию и имеет стратегическое значение для государства. Да, противодействие актуальным киберугрозам может оказаться сложным, особенно для малого и среднего бизнеса, но это не повод снисходительно относиться к нарушениям, пренебрежению организационными мерами и нормами обучения персонала, ведь утекшие данные используются для мошенничества, буквально захлестнувшего мир», — отмечает Андрей Арсентьев.

В условиях участившихся и усложнившихся кибератак, многие из которых организуются и проводятся с использованием ИИ-инструментов, компании вынуждены соблюдать более высокие требования безопасности, внедрять современные средства защиты информации, что далеко не всегда может соотноситься с возможностями малого и среднего бизнеса.

Но это не повод снисходительно относиться к нарушениям, к пренебрежению организационными мерами и обучению персонала, ведь утекшие данные ПДн остаются ключевым источником информации для мошенничества в сфере ИКТ, де-факто захлестнувшего мир.

Полная версия отчёта — вот здесь.