Почему микропредприятие получило штраф, хотя само сообщило об утечке?

Компания исполнила обязанность сообщить, но не доказала достаточные меры защиты. Статус микропредприятия учли при размере штрафа; предупреждение не применили.

Civius, юридическая компания Мария Кузнецова, старший юрист; правовая позиция на 2026-03-24

Короткий ответ

Потому что сообщение об инциденте и обязанность обеспечить защиту данных – разные вопросы. В деле ООО «ЮКИДС», описанном 24 марта 2026 года, компания сама уведомила Роскомнадзор о несанкционированном доступе, но не представила доказательств принятия достаточных защитных мер.

Суд назначил штраф 400 тысяч рублей. Статус микропредприятия учли по статье 4.1.2 КоАП РФ, однако заменить штраф предупреждением суд отказался.

Какие обстоятельства имели значение

По разбору утечка затронула более трёхсот тысяч людей. Посторонние получили имена, телефоны и электронную почту зарегистрированных пользователей. Суд оценил отсутствие доказательств того, что оператор принял все зависящие от него меры для соблюдения требований.

Предупреждение не применили с учётом характера нарушения и посягательства на права людей. При этом сообщение самой компании не было признано способом автоматически освободиться от ответственности за исходную организацию обработки.

Этот вывод не означает, что уведомлять не нужно. Обязанность сообщить сохраняется, а скрытие инцидента может создать самостоятельные проблемы. Правильная реакция и доказательства безопасности должны существовать вместе.

Практически полезно сохранять документы о мерах, результатах контроля и действиях при обнаружении: одного утверждения «у нас всё было защищено» недостаточно.

Решение АС Москвы от 5 марта 2026 года по делу № А40-351064/2025 показывает оценку конкретных фактов. Сумма 400 тысяч не является универсальным пределом для всех микропредприятий и утечек.

Если нужно применить ответ к Вашей ситуации или документам, Проверить сайт на соответствие 152-ФЗ: юрист проверит вводные и учтёт обстоятельства, которые короткий ответ не охватывает.