Утечка клиентской базы как утечка персональных данных: риски по 152-ФЗ — что важно знать и как действовать?
Утечка клиентской базы как утечка персональных данных: риски по 152-ФЗ: риски, документы, правовая позиция, ошибки и порядок действий. Помощь бизнесу, директору и собственнику. Сумма на кону по таким делам — ориентировочно 500 тыс.–10 млн+ ₽. Ниже — в чём суть, что проверить в документах, на чём строится защита и какие шаги предпринять.
В чём суть проблемы
Разбираем ситуацию «Утечка клиентской базы как утечка персональных данных: риски по 152-ФЗ» как услугу: оцениваем текущую защиту, находим слабые места и выстраиваем линию защиты под ваш случай — с опорой на закон и практику.
Клиентская база почти всегда попадает под два режима одновременно: как коммерческая тайна и как персональные данные. И если про первый собственники думают, то про второй забывают — а с 30 мая 2025 года именно он несёт самые тяжёлые санкции.
Утечка базы к конкуренту — это не только потеря коммерческого преимущества, но и нарушение законодательства о персональных данных. Здесь два разных пострадавших и два разных трека ответственности: убытки компании по линии коммерческой тайны и публично-правовая ответственность перед Роскомнадзором за персданные.
С 2025 года цена ошибки резко выросла: за повторную утечку персональных данных введены оборотные штрафы — процент от годовой выручки. Поэтому защищать клиентскую базу нужно сразу по двум контурам.
Что проверить в документах
Чтобы оценить позицию, важно собрать и проанализировать ключевые документы:
- Политика обработки персональных данных и согласия субъектов
- Уведомление в Роскомнадзор об обработке персональных данных
- Приказ о режиме коммерческой тайны и перечень с клиентской базой
- Регламент доступа к CRM и логи выгрузок/экспорта базы
- Договоры поручения обработки ПДн с подрядчиками (ст. 6 152-ФЗ)
- Внутренний регламент реагирования на инцидент утечки (уведомление РКН в срок)
Документы важны не сами по себе, а тем, какую картину они складывают: даты, подписи, экономический смысл действий. Именно их полнота и непротиворечивость отделяет сильную позицию от уязвимой.
Правовые основания
Что говорит закон и как это применить в вашем случае:
Первый контур — персональные данные. Клиентская база с именами, телефонами, email — это персональные данные, обработка которых подчиняется ФЗ № 152-ФЗ. За нарушения отвечают по ст. 13.11 КоАП (Кодекс об административных правонарушениях), а Федеральный закон № 420-ФЗ от 30.11.2024 (в силе с 30.05.2025) ввёл за утечку крупные штрафы, а за повторную — оборотные, от 1 до 3% годовой выручки.
Второй контур — коммерческая тайна. Та же база как охраняемая тайна защищается ФЗ № 98-ФЗ, а если она квалифицирована как ноу-хау — главой 75 ГК. Это даёт основание взыскать убытки с того, кто увёл базу к конкуренту (ст. 1472 ГК, ст. 15 ГК).
Важная деталь по 152-ФЗ: при утечке действует обязанность уведомить Роскомнадзор в установленный короткий срок. Пропуск этого срока — самостоятельное нарушение, которое усугубляет положение компании даже как пострадавшей стороны.
ФЗ № 152-ФЗ; ст. 13.11 КоАП РФ (ред. ФЗ № 420-ФЗ от 30.11.2024); ФЗ № 98-ФЗ; ст. 1472 ГК РФ (Гражданский кодекс)
Клиентская база — это две мишени в одной: увели у конкурента и не уследили перед Роскомнадзором. Защищать нужно оба фланга.Макс Лоумен · бизнес-юрист
Доказательства
Что реально укрепляет вашу позицию:
- Оформленный режим ПДн: политика, согласия, уведомление РКН
- Режим КТ на клиентскую базу: приказ, перечень, гриф
- Логи доступа и выгрузок из CRM — кто и когда экспортировал базу
- Договоры поручения обработки с подрядчиками, имевшими доступ
- Фиксация факта утечки и своевременное уведомление Роскомнадзора
- Доказательства коммерческой ценности базы (для взыскания убытков)
Суд оценивает доказательства в совокупности: один сильный документ не спасёт при противоречиях, а несколько согласованных складываются в убедительную позицию.
Ошибки, которые дорого стоят
В такой ситуации особенно дорого обходятся следующие промахи:
- Защищать базу только как коммерческую тайну, забыв про 152-ФЗ
- Не уведомить Роскомнадзор об утечке в установленный срок
- Хранить базу с открытым для всех сотрудников экспортом без логирования
- Не оформить согласия субъектов и договоры поручения обработки
- Не вести учёт выгрузок — нет данных, кто именно слил базу
- Игнорировать оборотные штрафы, которые считаются от выручки всей компании
Большинство таких промахов необратимы: исправить упущенное задним числом почти невозможно — защита и доказательства либо выстроены заранее, либо их нет.
Алгоритм действий
Как обычно строится работа по делу — по шагам:
- Зафиксировать факт и масштаб утечки: логи, скриншоты, объяснения — в первые часы
- Ограничить дальнейший доступ виновного лица, не уничтожая следы для расследования
- Проверить, действовал ли режим коммерческой тайны на момент утечки
- Оценить убытки: упущенная выгода, отток клиентов, стоимость восстановления защиты
- Подготовить и подать заявление в полицию по ст. 183 УК РФ (Уголовный кодекс) при наличии оснований
- Параллельно оценить перспективы гражданского иска о возмещении убытков
- Выстроить защиту от повторения: пересмотреть режим доступа и NDA по итогам инцидента
Мы не действуем вслепую: сначала оценка текущего состояния защиты и рисков, и только потом — активные шаги. Так вы понимаете, за что платите и чего ждать на каждом этапе.
Сроки и последствия
Первые 24–72 часа после обнаружения утечки решают, останутся ли доказательства: логи ротируются, переписка удаляется, а сотрудник успевает подготовить свою версию событий. Поэтому реагирование должно быть незамедлительным и письменным — устные договорённости «остановить и забыть» почти всегда работают против пострадавшей стороны.
Последствия по таким делам выходят за рамки одной ситуации: это и прямые убытки — ориентировочно 500 тыс.–10 млн+ ₽, и репутационные риски, и потеря конкурентного преимущества. Поэтому задача — не «разобраться когда-нибудь», а заранее перевести ситуацию в управляемое русло.
Разобрать вашу ситуацию
Опишите вашу ситуацию — отвечу лично и предложу понятный следующий шаг. Конфиденциально, без передачи «на младших».
Если по итогу понадобится платная работа — подскажу форматы и стоимость. Форматы и цены →
Оцените свой риск за минуту
Экспресс-оценка риска
Короткий тест из 6 вопросов покажет текущий уровень риска и какой формат письменного заключения уместен в вашей ситуации. Тест носит информационный характер и не заменяет юридический анализ материалов.
Вопросы и ответы
Почему утечка клиентской базы — это нарушение 152-ФЗ?
Потому что база содержит персональные данные клиентов (имена, телефоны, email). Их обработка подчиняется ФЗ № 152-ФЗ, а за утечку с 30.05.2025 действуют крупные и оборотные штрафы по ст. 13.11 КоАП — до 1–3% годовой выручки за повторное нарушение.
Нужно ли уведомлять Роскомнадзор при утечке?
Да, закон обязывает уведомить Роскомнадзор об инциденте в установленный короткий срок. Пропуск этого срока — самостоятельное нарушение, которое ухудшает положение компании, даже если она сама пострадала от утечки.
Можно ли взыскать убытки с того, кто увёл базу?
Да, по линии коммерческой тайны: если база защищена режимом КТ (ФЗ № 98-ФЗ) или квалифицирована как ноу-хау, применяются ст. 1472 и ст. 15 ГК. Для этого нужно доказать режим, ценность базы и факт её использования.
Что такое оборотный штраф за утечку?
Это штраф, рассчитываемый как процент от годовой выручки компании (1–3% за повторную утечку по ст. 13.11 КоАП в редакции ФЗ № 420-ФЗ). В отличие от фиксированного, он может исчисляться десятками и сотнями миллионов рублей.
Сколько стоит ваша работа?
Я работаю платными письменными заключениями: второе мнение по делу — от 49 900 ₽, более глубокие форматы (стратегическое заключение, аудит рисков, глубокая проверка) — дороже. При передаче дела в сопровождение стоимость заключения засчитывается. Точная цена зависит от объёма документов, суммы спора и стадии.
Что я получу в результате?
Письменное заключение по вашей ситуации: оценку текущего состояния защиты, слабые места и пошаговый план внедрения или усиления режима коммерческой тайны. Это конкретный документ, на который можно опереться при принятии решения.
Вы работаете лично или передаёте «на младших»?
Лично. Анализ документов и рекомендации по вашей ситуации готовлю сам — без передачи задачи помощникам.
Материал основан на: УК РФ, ГК РФ и практике Верховного Суда РФ. Готовится практикующим юристом, не нейросетью.