Как меняются риски и ответственность бизнеса в 2026 году: исследование рынка защиты персональных данных

Хотя за утечки законом предусмотрены многомиллионные штрафы и даже уголовная ответственность, исследование компании Б‑152 показало, что большинство компаний воспринимают работу с персональными данными как формальную обязанность.

Бизнес боится РКН, а не последствий утечек

77,6% респондентов пугает вероятность проверки Роскомнадзора, что почти в полтора раза выше, чем страх перед самими утечками, в котором признались 57,8% компаний. 67,7% организаций пересматривают процессы после обращения граждан, которые заметили свои данные в открытом доступе или их использование без соглашения. 59,1% компаний усиливают защиту из‑за новых требований законодательства. Репутационные риски от утечек или действия конкурентов волнуют компании значительно меньше.

Если утечка происходит по вине подрядчика, ответственность часто воспринимается как проблема извне, хотя юридические риски остаются у компании. 64,3% компаний вообще не контролируют трансграничную передачу данных, то есть фактически речь идёт о масштабной зоне неопределённости на рынке.

Штрафы бизнес воспринимает как разовые расходы, работа продолжается в прежнем режиме. Утечки уже многие воспринимают как обыденность — после них просто назначают виновного и обременяют ответственного сотрудника дополнительной нагрузкой даже без дополнительного обучения.

И это на фоне троекратного роста кибератак, в том числе с использованием новых ИИ‑инструментов. Ущерб от них составил 1,5 трлн рублей за 2025 год, что свидетельствует о том, что защита российских компаний сильно отстаёт, у многих она осталась на уровне 2018 года.

Как изменилась судебная практика 2022‑2025 годов

С ужесточением ответственности сформировалась новая реальность, игнорировать которую больше невозможно:

1. 601 преступление, связанных с незаконной обработкой ПДн выявлены только за первое полугодие 2025 года.
2. 313 уголовных дел возбуждено.
3. 135 утечек баз данных в 2024 году, в результате которых в открытом доступе оказались более 710 млн записей. В 2025 году Роскомнадзор зафиксировал 118 случаев компрометации баз персональных данных, только за январь–август 2025 в сеть утекли почти 13 млрд строк.
4. на 71% за два года выросло количество судебных споров по ПДн (с 10 256 в 2021 году до 17 497 в 2023 году). В первом квартале 2024 года число подобных дел увеличилось ещё на 17%, что свидетельствует о тенденции укрепления судебной защиты прав субъектов персональных данных.
5. до 500 млн рублей оборотных штрафов (КоАП) и до 10 лет лишения свободы (УК РФ) — наказания за нарушения в области персональных данных.

Многие руководители до сих пор верят, что главная угроза — это хакеры. Но данные говорят о том, что под статью 272.1 УК РФ попадают свои же сотрудники, которые просто забыли закрыть доступ, переслали файл не туда, сохранили документы на личную почту для удобства, не проверили подрядчика или унесли базу при увольнении.

Люди привыкли расценивать подобные действия как халатность, но в 2026 году за это можно получить реальный срок. Один из случаев касается сотрудника банка, который в 2022 году передал клиентские данные третьим лицам за вознаграждение — он осуждён на 2 года лишения свободы условно с штрафом в 150 тыс. рублей. Еще пример — менеджер HR‑отдела компании в 2024 году, распространивший данные сотрудников в соцсетях; суд применил относительно него ст. 13.14 КоАП РФ с переходом в уголовку по ст. 272, итогом стали штраф 300 тыс. рублей и испытательный срок.

Бывший сотрудник Сбербанка скопировал конфиденциальную информацию и после увольнения выставил её на продажу на теневой площадке HYDRA по цене 5 рублей за одну запись, успев сбыть 5 тысяч строк с персональными данными и банковской тайной на сумму 25 тысяч рублей. Суд назначил наказание в виде 2 лет 10 месяцев лишения свободы в колонии‑поселении, полностью удовлетворив гражданский иск Сбербанка о взыскании 25 856 157 рублей в счет возмещения вреда, причиненного деловой репутации банка.

В 2025 году В Московской области осужден бывший сотрудник салона мобильной связи, продававший конфиденциальные данные абонентов. Суд признал его виновным по ч. 3 ст. 272 и ч. 3 ст. 183 УК РФ и назначил наказание в виде 4 лет принудительных работ с удержанием 5% заработной платы в доход государства, а также лишил права заниматься деятельностью в области услуг связи на 3 года.

44,4% компаний всё же признают организационный хаос и человеческий фактор проблемами в регулировании ПДн. Однако лишь 37% организаций используют обучение сотрудников как метрику эффективности, а 63,8% пытаются выйти из ситуации через ужесточение ответственности и штрафов. В итоге под ударом остаются не только руководители, но и сотрудники, так как многие банально не знают, что можно и что нельзя делать с рабочими базами и документацией.

Штрафы новые, а отношение старое

1. 50% компаний оценивают бюджет на ПДн в 10% и менее от ИТ‑бюджета.
2. 41% — вообще не имеют бюджета.
3. Только 19% увеличили расходы в 2025 году.
4. 24% не используют никаких метрик эффективности обработки персданных вообще.

Если кто‑то и проводит аудит, он превращается в ритуал для очередной отчётности и часто не привязан к реальным изменениям в процессах. В результате возникает иллюзия контроля, так как фактически мало кто реально прорабатывает слабые места.

Технические и практические сложности считают значимым трендом 41,4% компаний, но при этом 36,6% говорят о практической невозможности выполнить требования регулятора. То есть требования продолжают расти, а рынок технически отстаёт. Если злоумышленники в 2026 году массово используют ИИ для фишинга под конкретного сотрудника, автоматического поиска уязвимостей в конфигурациях DLP и SIEM и создания deepfake‑голосовых команд от имени руководителей, то руководители чаще рассчитывают на запрет мессенджеров, антивирус и сознательность сотрудников.

При этом рынок ИБ растет на 20–25% в год. Компании готовы покупать «железо» и софт, но не готовы платить за компетенции и выстраивание процессов. Возникает парадокс:

• техника есть — людей нет;
• люди есть — полномочий нет;
• полномочия есть — бюджета нет.

Складывается ощущение, что работа с персональными данными во многих организациях превращается в оборону от регулятора, а не в защиту клиентов и сотрудников. Внутренняя логика направлена на то, чтобы документы были «в порядке», ответы на запросы быстрыми, а риск формального нарушения минимальным. 59,9% компаний оценивают эффективность обработки персональных данных исключительно по критерию соответствия законодательству. То есть защита ПДн не пересекается с бизнес‑задачами, реальные процессы часто даже не совпадают с описанием в политиках. Только 9,5% связывают информационную безопасность со скоростью запуска продуктов.

12% считают, что безопасность персональных данных влияет на бренд, то есть 88% даже не задумываются, сколько стоит репутация. Фокус компаний часто смещается в сторону штрафов, а не оценки долгосрочного влияния на клиентов. Но репутационные риски невозможно хеджировать страховкой — потеряв доверие, клиенты могут уйти к конкурентам и больше не вернуться.

Так в 2025 году одна из сетей частных клиник столкнулась с утечкой персональных данных, включая диагнозы. Последствиями стали отток клиентов и отказ страховых компаний от партнерства.

Кто реально отвечает за безопасность ПДн

Подрядчики остаются в слепой зоне. Компания почти всегда работает с внешними партнёрами, среди которых облачные системы, колл‑центры, HR‑сервисы, маркетинговые подрядчики, интеграторы и т.д. Именно там часто возникает разрыв ответственности, когда данные уже у третьей стороны, но у бизнеса нет представления, кто и как ими пользуется, какие меры защиты стоят, где границы доступа и что произойдет при инциденте. Формально договор может быть подписан идеально, но без регулярной проверки и понятных требований к практике безопасность остаётся на честном слове.

64,3% компаний не осуществляют трансграничную передачу персональных данных, что отражает преобладание локализованных моделей обработки и осторожную позицию бизнеса в условиях усиления регулирования. Ведут трансграничные потоки данных крупные, цифровизированные и международно‑ориентированные организации. 10,9% респондентов даже не знают, передают ли они ПДн за границу, что указывает на сохраняющийся дефицит прозрачности процессов либо недостаточную вовлечённость отдельных специалистов в вопросы международной передачи данных. В совокупности такая статистика подтверждает тренд на ужесточение контроля и повышение регуляторной чувствительности компаний к трансграничным операциям с ПДн.

Чек‑лист: как выстроить работу с ПДн и снизить риски

Проведите аудит текущей ситуации. Часто компании‑операторы собирают избыточные сведения, которые не нужны для заявленной цели обработки персональных данных, либо продолжают их хранить после достижения цели, “на будущее”. Хотя подобный подход может показаться рациональным, но на деле он может привести к жалобам субъектов ПДн, запросам Роскомнадзора и штрафам. В этой связи, рекомендуем:

• провести “инвентаризацию” целей обработки персональных данных;
• определить минимально необходимый объем ПДн для реализации этих целей;
• определить необходимые для обработки ПДн и достижения цели обработки правовые основания (например согласия на обработку ПДн, договор с суюъектом, требования законодательства);
• описать и внедрить процедуру уничтожения данных в случае достижения целей обработки ПДн.

Для чего это необходимо? Это необходимо для избежания штрафов (до 500 тыс. рублей) и утечек, потому как верно отметил Заместитель руководителя Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций Милош Вагнер “Не утекут только те данные, которых нет”. Ведь если апеллировать к практике, довольно часто в компаниях происходят утечки именно тех данных, которые хранились бессрочно и без определенной цели, и в этой связи были “забыты” оператором и надлежащим образом не защищены.

Помимо этого, важно провести внтуренний аудит доступов работников к ПДн: оставьте доступ к файлам, системам и бумажным документам только у тех сотрудников, которым они действительно необходимы для работы. Ключи от шкафов или архива тоже должны быть только у специалиста, который отвечает за хранящиеся там документы.

Обеспечьте контроль за обработкой ПДн вашими подрядчиками: обновите договоры с ними в части поручения на обработку с пунктами об обязательной проверке требований и ответственности.

Составьте реестр процессов обработки персональных данных и систем, с помощью которых они обрабатываются, с указанием категорий обрабатываемых данных — например, в CRM ФИО и телефоны, а в системах кадрового учета — дата и место рождения, пол, занимаемая должность и другие сведения, которые вы используете для рассылок или ведения кадрового учета.

Проведите тестирование сотрудников — знают и они, что можно и что нельзя делать с ПДн? Сохраните документы об обучении.

Составьте Политику и локальные документы по обработке ПДн. Многие компании используют шаблонную политику по обработке персональных данных, но это большая ошибка. Документы должны отражать реальные цели, сроки хранения и список обрабатываемых данных. Соответственно, включите в документ реестр и целей обработки ПДн и в отношении каждой укажите, какие данные вы собираете, зачем, как долго планируете хранить и кому передаёте.

Оптимизируйте сайт. Часто ссылка на политику спрятана в разделах сайта и недоступна для ознакомления, а люди не могут отказаться от маркетинговых рассылок или необязательных cookie‑файлов. Все это является нарушением требований 152‑ФЗ, а не просто тёмными паттернами для манипулирования пользователями.

Добавьте на сайт и в мобильное приложение политику обработки ПДн, чтобы пользователи могли быстро её найти. Для обеспечения правовых оснований обработки персональных данных лучшей практикой является возможность пользователя, перед заполнения формы сбора, ознакомиться с условиями согласия на обработку персональных данных и проставить галочку в соответствующем чек‑боксе.

Проверьте формы регистрации, заказа и рассылки на предмет избыточности собираемых персональных данных. Например, чаще всего для обратной связи нужны только имя и номер телефона, для рассылки — адрес электронной почты.

Добавьте предупреждение о публичности отзывов. Лучшей практикой является настройка cookie‑баннера с разделением на обязательные и необязательные файлы и возможностью отказа от аналитики.

Назначьте приказом ответственного за обработку ПДн. В его обязанности будет входить отправка уведомления о начале обработки в Роскомнадзор, взаимодействие с пользователями, проверка и актуализация документации. В 2026 году обработка ПДн — такой же важный процесс, как ведение бухгалтерского учёта.

Тенденции рынка информационной безопасности

Об обработке персональных данных почти всегда говорят в контексте штрафов или проверок, но редко обсуждают обсуждают языком экономики: сколько реально стоит инцидент, сколько стоит профилактика, где точка окупаемости и почему одни меры снижают риск кратно, а другие создают только иллюзию защиты.

В результате появляются хаотичные закупки, срочные консультанты, перегруз команд и потери времени бизнеса. Это замкнутый круг — когда риски не измерены, ими невозможно управлять, и тогда решения принимаются эмоционально.

Специалист по защите персональных данных (PDO) и руководству необходимо наращивать силу финансового управления. Защита персональных данных— такая же статья управления риском, как непрерывность бизнеса или киберустойчивость, и ей нужен финансовый язык: сценарии, вероятности, стоимость простоя, цена потери доверия, влияние на продажи и HR‑бренд.