Утечка клиентской базы как утечка персональных данных: риски по 152-ФЗ — что важно знать и как действовать?
Утечка клиентской базы как утечка персональных данных: риски по 152-ФЗ: риски, документы, правовая позиция, ошибки и порядок действий. Помощь бизнесу, директору и собственнику. Сумма на кону по таким делам — ориентировочно500 тыс.–10 млн+ ₽. Ниже — в чём суть, что проверить в документах, на чём строится защита и какие шаги предпринять.
В чём суть проблемы
Типичный кейс: «Утечка клиентской базы как утечка персональных данных: риски по 152-ФЗ». Ниже — как эта ситуация обычно разворачивается и как её разбирают по шагам: от первой оценки до результата.
Клиентская база почти всегда попадает под два режима одновременно: как коммерческая тайна и как персональные данные. И если про первый собственники думают, то про второй забывают — а с 30 мая 2025 года именно он несёт самые тяжёлые санкции.
Утечка базы к конкуренту — это не только потеря коммерческого преимущества, но и нарушение законодательства о персональных данных. Здесь два разных пострадавших и два разных трека ответственности: убытки компании по линии коммерческой тайны и публично-правовая ответственность перед Роскомнадзором за персданные.
С 2025 года цена ошибки резко выросла: за повторную утечку персональных данных введены оборотные штрафы — процент от годовой выручки. Поэтому защищать клиентскую базу нужно сразу по двум контурам.
Что проверить в документах
В подобных кейсах исход определяют именно эти документы:
- Политика ПДн, согласия субъектов и уведомление РКН
- Приказ о режиме КТ и включение базы в перечень
- Логи доступа и выгрузок из CRM в период инцидента
- Договоры поручения обработки с подрядчиками
- Факт и срок уведомления Роскомнадзора об утечке
- Оценка потерь по обоим контурам (КТ и ПДн)
Документы важны не сами по себе, а тем, какую картину они складывают: даты, подписи, экономический смысл действий. Именно их полнота и непротиворечивость отделяет сильную позицию от уязвимой.
Правовые основания
Как право работает в подобной ситуации:
Первый контур — персональные данные. Клиентская база с именами, телефонами, email — это персональные данные, обработка которых подчиняется ФЗ № 152-ФЗ. За нарушения отвечают по ст. 13.11 КоАП (Кодекс об административных правонарушениях), а Федеральный закон № 420-ФЗ от 30.11.2024 (в силе с 30.05.2025) ввёл за утечку крупные штрафы, а за повторную — оборотные, от 1 до 3% годовой выручки.
Второй контур — коммерческая тайна. Та же база как охраняемая тайна защищается ФЗ № 98-ФЗ, а если она квалифицирована как ноу-хау — главой 75 ГК. Это даёт основание взыскать убытки с того, кто увёл базу к конкуренту (ст. 1472 ГК, ст. 15 ГК).
Важная деталь по 152-ФЗ: при утечке действует обязанность уведомить Роскомнадзор в установленный короткий срок. Пропуск этого срока — самостоятельное нарушение, которое усугубляет положение компании даже как пострадавшей стороны.
ФЗ № 152-ФЗ; ст. 13.11 КоАП РФ (ред. ФЗ № 420-ФЗ от 30.11.2024); ФЗ № 98-ФЗ; ст. 1472 ГК РФ (Гражданский кодекс)
В кейсе с базой два счётчика тикают одновременно: убытки от увода к конкуренту и срок уведомления Роскомнадзора.Макс Лоумен · бизнес-юрист
Доказательства
На чём в таких кейсах держится позиция:
- Оформленный режим ПДн на момент утечки
- Режим КТ на клиентскую базу
- Логи, показывающие, кто и когда выгрузил базу
- Своевременное уведомление РКН об инциденте
- Коммерческая ценность базы (для взыскания)
- Причинная связь между утечкой и потерями
Суд оценивает доказательства в совокупности: один сильный документ не спасёт при противоречиях, а несколько согласованных складываются в убедительную позицию.
Ошибки, которые дорого стоят
Чаще всего подобные кейсы проигрывают на этих промахах:
- Разбирать инцидент только как утечку тайны, забыв 152-ФЗ
- Пропустить срок уведомления Роскомнадзора
- Не сохранить логи выгрузок до их перезаписи
- Не иметь согласий и договоров поручения обработки
- Не установить, кто именно выгрузил базу
- Игнорировать оборотные штрафы при оценке рисков
Большинство таких промахов необратимы: исправить упущенное задним числом почти невозможно — защита и доказательства либо выстроены заранее, либо их нет.
Алгоритм действий
Как обычно строится работа по делу — по шагам:
- Зафиксировать факт и масштаб утечки: логи, скриншоты, объяснения — в первые часы
- Ограничить дальнейший доступ виновного лица, не уничтожая следы для расследования
- Проверить, действовал ли режим коммерческой тайны на момент утечки
- Оценить убытки: упущенная выгода, отток клиентов, стоимость восстановления защиты
- Подготовить и подать заявление в полицию по ст. 183 УК РФ (Уголовный кодекс) при наличии оснований
- Параллельно оценить перспективы гражданского иска о возмещении убытков
- Выстроить защиту от повторения: пересмотреть режим доступа и NDA по итогам инцидента
Мы не действуем вслепую: сначала оценка текущего состояния защиты и рисков, и только потом — активные шаги. Так вы понимаете, за что платите и чего ждать на каждом этапе.
Сроки и последствия
Первые 24–72 часа после обнаружения утечки решают, останутся ли доказательства: логи ротируются, переписка удаляется, а сотрудник успевает подготовить свою версию событий. Поэтому реагирование должно быть незамедлительным и письменным — устные договорённости «остановить и забыть» почти всегда работают против пострадавшей стороны.
Последствия по таким делам выходят за рамки одной ситуации: это и прямые убытки — ориентировочно 500 тыс.–10 млн+ ₽, и репутационные риски, и потеря конкурентного преимущества. Поэтому задача — не «разобраться когда-нибудь», а заранее перевести ситуацию в управляемое русло.
Как развивается ситуация
Ниже — обезличенный сценарий. Он не описывает конкретное лицо и приведён как модель развития ситуации и защиты.
Клиент столкнулся с ситуацией «утечка клиентской базы как утечка персональных данных: риски по 152-ФЗ» и обратился за письменной оценкой рисков и плана действий.
Зафиксировать факт и масштаб утечки: логи, скриншоты, объяснения — в первые часы. Ограничить дальнейший доступ виновного лица, не уничтожая следы для расследования. Проверить, действовал ли режим коммерческой тайны на момент утечки.
Ситуацию удалось перевести в управляемое русло: позиция была подкреплена документами, ключевые риски — закрыты или ограничены, а решение принималось на основе фактов, а не давления.
Сколько можно потерять по делу
Калькулятор возможных потерь
Прикиньте потенциальную экспозицию по ситуации. Точная оценка — в письменном заключении.
Вопросы и ответы
Почему утечка клиентской базы — это нарушение 152-ФЗ?
Потому что база содержит персональные данные клиентов (имена, телефоны, email). Их обработка подчиняется ФЗ № 152-ФЗ, а за утечку с 30.05.2025 действуют крупные и оборотные штрафы по ст. 13.11 КоАП — до 1–3% годовой выручки за повторное нарушение.
Нужно ли уведомлять Роскомнадзор при утечке?
Да, закон обязывает уведомить Роскомнадзор об инциденте в установленный короткий срок. Пропуск этого срока — самостоятельное нарушение, которое ухудшает положение компании, даже если она сама пострадала от утечки.
Можно ли взыскать убытки с того, кто увёл базу?
Да, по линии коммерческой тайны: если база защищена режимом КТ (ФЗ № 98-ФЗ) или квалифицирована как ноу-хау, применяются ст. 1472 и ст. 15 ГК. Для этого нужно доказать режим, ценность базы и факт её использования.
Что такое оборотный штраф за утечку?
Это штраф, рассчитываемый как процент от годовой выручки компании (1–3% за повторную утечку по ст. 13.11 КоАП в редакции ФЗ № 420-ФЗ). В отличие от фиксированного, он может исчисляться десятками и сотнями миллионов рублей.
Чем этот кейс отличается от вашей ситуации?
Каждая ситуация уникальна деталями: составом сведений, оформлением режима, поведением сторон. Разбор показывает логику работы по делу, но выводы по вашему делу зависят от конкретных документов и обстоятельств.
Сколько стоит ваша работа?
Я работаю платными письменными заключениями: второе мнение по делу — от 49 900 ₽, более глубокие форматы (стратегическое заключение, аудит рисков, глубокая проверка) — дороже. При передаче дела в сопровождение стоимость заключения засчитывается. Точная цена зависит от объёма документов, суммы спора и стадии.
Что я получу в результате?
Письменное заключение по вашей ситуации: оценку текущего состояния защиты, слабые места и пошаговый план внедрения или усиления режима коммерческой тайны. Это конкретный документ, на который можно опереться при принятии решения.
Вы работаете лично или передаёте «на младших»?
Лично. Анализ документов и рекомендации по вашей ситуации готовлю сам — без передачи задачи помощникам.
Материал основан на: УК РФ, ГК РФ и практике Верховного Суда РФ. Готовится практикующим юристом, не нейросетью.