Сумма штрафов за утечки персональных данных в России за первое полугодие 2026 года составила 2,195 млн рублей — это в полтора раза больше, чем за весь 2025 год. Всего в мире за 2025 год и первую половину 2026 года было зарегистрировано 339 штрафов, из которых 35 пришлись на Россию. Таковы данные отчёта экспертно-аналитического центра (ЭАЦ) ГК InfoWatch.

За первое полугодие 2026 года в России вынесено 13 штрафов за утечки персональных данных против 15 за аналогичный период 2025 года. Однако денежные санкции оказались значительно выше: 2,195 млн рублей против 725 тыс. рублей годом ранее. При этом около четверти штрафов в России были назначены за нарушения по вине персонала.

За исследованный срок в правоприменительной практике произошло два значимых события: зафиксирован первый случай применения наказания согласно изменениям в КоАП, которые вступили в силу 30 мая 2025 года (теперь наказание зависит от количества пострадавших субъектов, статуса оператора и наличия рецидива), а также впервые был вынесен штраф иностранной компании за утечку персональных данных россиян.

Иностранной компанией оказалась китайская платформа Taobao (входит в Alibaba Group). Её оштрафовали на 1 млн рублей после того, как хакеры получили доступ к данным сотрудников и около 100 соискателей. Компания подала апелляцию. В InfoWatch называют это дело прецедентным: ранее иностранные сервисы наказывали главным образом за отказ локализовать данные россиян, теперь регулятор добрался и до самих утечек.

Более 70% штрафов за утечки персональных данных за указанный период назначены европейским компаниям, а каждый пятый штраф пришёлся на компании из Азии. В мире за первое полугодие 2026 года чаще штрафовали государственные организации, компании из сферы ИТ/ИБ и отрасли финансов. В России большинство штрафов пришлось на ИТ/ИБ, промышленность и торговлю.

Самый большой штраф в мире за этот период — 409 млн долларов — получил южнокорейский маркетплейс Coupang. Регулятор оштрафовал платформу за утечку данных примерно 33 млн пользователей, что стало крупнейшим инцидентом в истории страны.

«Объём штрафов за утечки персональных данных в России увеличился, однако новая правоприменительная практика только набирает ход. Можно ожидать, что более массовые штрафы по новым правилам последуют после наработки практики с 2027 года. Оборотные штрафы за утечки пока не применялись, но это только вопрос времени», — отмечает руководитель направления аналитики и спецпроектов ЭАЦ InfoWatch Андрей Арсентьев.

Напомним, что с 30 мая 2025 года в России действуют оборотные штрафы за повторные утечки персональных данных — до 3% годовой выручки компании (но не менее 25 млн и не более 500 млн рублей). По словам замглавы Роскомнадзора Милоша Вагнера, такие санкции пока не применялись.

«Наказание компаний за утечку данных не должно быть формальным, но при этом не должно "убивать" бизнес, особенно если он несёт важную социальную миссию и имеет стратегическое значение для государства. Ведь утекшие данные используются для мошенничества, буквально захлестнувшего мир», — добавил Арсентьев.