Штрафы GDPR в 2025: хостинг-провайдеры, готовьтесь к разборкам
Перемены, которых никто не ждал (хотя следовало предугадать)
Если вы ведёте хостинг с управлением, работаете с данными клиентов из ЕС или предлагаете платформу для обработки информации — присмотритесь. Идея, что вся вина по GDPR лежит на клиентах? Она ушла в прошлое.
С 2018 по 2024 год всё шло по сценарию: утечки данных карались штрафами для тех, кто напрямую общался с пользователями. Хостеры, облачные сервисы, инфраструктура — их упоминали в расследованиях, но били по основному виновнику. Так было семь лет.
В 2025-м правила сломались. Два свежих решения регуляторов — и у руководителей хостингов бессонные ночи обеспечены.
Первый случай: Провал в NHS обошёлся в £3,07 миллиона
В марте 2025-го британский ICO сделал шаг вперёд: оштрафовал напрямую процессора данных. Такого раньше не бывало.
Advanced Computer Software Group обслуживала IT для Национальной службы здравоохранения Великобритании. В августе 2022-го рэнсамвар проник через учётку клиента без multi-factor authentication. Под угрозой — медкарты 900 пациентов на дому, плюс данные 82 946 человек.
Ключевой момент: штраф дали не за владение данными пациентов, а за провал в защите того, что компания взяла на себя по контракту.
Расследование ICO выявило:
- Отсутствие MFA в системах с медданными
- Нет регулярного сканирования уязвимостей
- Слабый patch management
Изначально штраф — £6,1 миллиона. После переговоров и сотрудничества снизили до £3,07 миллиона. Но сигнал ясен: статья 32 UK GDPR требует "соответствующих технических и организационных мер". Если вы процессите данные по договору — отвечаете за меры. Без исключений.
Штраф не NHS. Штраф процессору.
Второй случай: Ловушка с хранением данных стоила €1 миллиона
Через пять месяцев французский CNIL вынес вердикт против Mobius Solutions — британской SaaS-компании, которая вела рекламные данные для стриминга Deezer.
После окончания контракта Mobius пошёл на риск: оставил данные. И даже использовал их для доработки своего сервиса без согласия Deezer.
CNIL насчитал три нарушения:
- Хранение данных после конца контракта (нарушение статьи 28(3)(g))
- Обработка вне инструкций контроллера (статья 28(3)(a))
- Нет записей о обработке (статья 30)
Штраф: €1 миллион.
Для хостингов это важно масштабом — 46 миллионов записей пользователей Deezer. У Mobius не было представительства в ЕС, так что CNIL действовал напрямую, без "one-stop-shop". Три года проверки — с ноября 2022 по декабрь 2025 — и удар по процессору.
Почему это касается вашего хостинга
Это не случайности. Это прецеденты. Что они меняют:
Вы отвечаете за свою безопасность лично. DPA с клиентом перекладывает договорные риски, но не регуляторные. Провалили технические меры — ждите штраф от надзорных органов.
Удаление данных — не прихоть, а правило. Контракт кончился — данные стереть по договорённостям. Хранить "на всякий случай" или для себя — прямой путь к штрафу. Mobius это доказал.
Стандарты защиты обязательны. MFA, управление уязвимостями, патчи, контроль доступа — в 2025-м это не опции. Аудит вскроет дыры, регулятор накажет.
Документация — ваш щит или приговор. У Mobius провал с записями обработки стал отдельным нарушением. Логи, аудиты, политики хранения — это доказательства в деле. Нет документов — нет compliance.
Что делать прямо сейчас
Ваш хостинг, managed services или SaaS с данными ЕС? Вот план:
Проверьте архитектуру безопасности. MFA, шифрование, сегментация сети, сканирование уязвимостей — всё на месте для систем с персональными данными? Нет — вы в зоне риска.
Разберитесь с хранением. Автоматика реально стирает данные по окончании контракта? Или они висят в бэкапах? Зафиксируйте сроки и применяйте.
Доработайте DPA. Укажите чётко обязательства по безопасности, удалению и аудитам. Никаких расплывчатостей.
Внедрите логи и мониторинг. Докажите, какие данные процессите, кто имеет доступ и как защищаете. Это ваша броня.
Оформите cyber insurance. Штрафы растут. Страховка не всё покроет, но входит в стратегию рисков.
Подключите юристов. Прецеденты свежие. Нужны эксперты по техчасти и праву в новом enforcemenте 2025-го.
Горькая правда
Правила прямой ответственности процессоров были в GDPR с мая 2018-го. Регуляторы просто били по контроллерам — проще и заметнее.
В 2025-м они взялись за тех, кто реально держит и охраняет данные. И не остановятся.
Advanced и Mobius — первые. Дальше очередь. Каждый хостер, SaaS, облачный процессор с EU-данными под прицелом.
Вопрос не в "если". Они уже штрафуют. Готовы ли вы?
В NameOcean мы заложили compliance-first в Vibe Hosting, зная эти реалии. Но compliance — не товар. Это база в инфраструктуре, документах и процессах.
Действуйте сегодня. Прецедент создан.