Из статьи вы узнаете, какие составы нарушений предусматривает статья 13.11 КоАП, почему одна ошибка стоит компаниям по-разному и какие законные инструменты помогают снизить штраф при разбирательстве в суде.
Ответственность за нарушение закона о персональных данных бывает четырёх видов: дисциплинарная, гражданско-правовая, административная и уголовная. Для бизнеса, как правило, на первом плане административная ответственность по статье 13.11 КоАП РФ. Размер штрафа зависит от того, кто нарушил (гражданин, должностное лицо, ИП или организация), что именно нарушено и было ли нарушение повторным. Самые жёсткие санкции — за утечки, особенно повторные.
Дальше разберём, как устроена эта система, почему одинаковая на первый взгляд ошибка обходится компаниям по-разному и какие законные инструменты помогают уменьшить наказание. Без запугивания: большую часть рисков можно закрыть до того, как к вам придут с запросом.
Одна оговорка. Конкретные суммы штрафов в этой статье сознательно не приводятся: штрафы по 152-ФЗ несколько раз менялись, и перед любым решением их нужно сверять с действующей редакцией КоАП. Здесь — логика и механика, без которых цифры всё равно ничего не объясняют.
Закон о персональных данных (152-ФЗ) сам штрафов не устанавливает. Он задаёт обязанности оператора, а наказание за их невыполнение предусматривают другие кодексы. Статья 24 152-ФЗ предусматривает, что лица, виновные в нарушении требований закона, несут ответственность в соответствии с законодательством РФ, а субъект персональных данных вправе требовать возмещения убытков и компенсации морального вреда. Отсюда четыре уровня. Дисциплинарный — для сотрудников, которые нарушили внутренние правила работы с данными: от замечания до увольнения за разглашение охраняемой законом тайны по Трудовому кодексу. Гражданско-правовой — иск человека, чьи данные обработали незаконно. Административный — штрафы по КоАП, прежде всего по статье 13.11, а ещё по статье 19.7 за непредставление сведений (сюда попадает, например, неподанное уведомление об обработке). Уголовный — для физических лиц, когда речь идёт о незаконном сборе, использовании и передаче данных. Компания как юрлицо в России уголовно не отвечает, но её руководитель или сотрудник — может.
Полезно видеть картину целиком, потому что одно нарушение способно запустить сразу несколько механизмов. Утечка базы клиентов — это и административное дело против оператора, и потенциальные иски от клиентов, и дисциплинарные последствия для того, кто допустил выгрузку; так выглядит утечка персональных данных: ответственность наступает сразу по нескольким направлениям.
| Вид ответственности | Правовое основание | Кто отвечает | Чем грозит |
|---|---|---|---|
| Дисциплинарная | Трудовой кодекс РФ, локальные акты оператора | Сотрудник | Замечание, выговор, увольнение |
| Гражданско-правовая | Ст. 24 152-ФЗ, Гражданский кодекс РФ | Оператор | Возмещение убытков, компенсация морального вреда |
| Административная | Ст. 13.11, 19.7 КоАП РФ | Гражданин, должностное лицо, ИП, организация | Штраф, предупреждение; для утечек — повышенные штрафы |
| Уголовная | Ст. 137, 272.1 УК РФ | Физическое лицо | Штраф, принудительные работы, лишение свободы |
И ещё момент, о котором вспоминают поздно: привлечение организации к ответственности не освобождает от неё виновное должностное лицо, и наоборот (ч. 3 ст. 2.1 КоАП РФ). Компания платит свой штраф, директор — свой.
Статья 13.11 КоАП РФ предусматривает несколько составов нарушений в области персональных данных (по частям статьи), а не один; именно поэтому статья 13.11 КоАП так часто встречается в делах об обработке данных. Логика простая: чем дальше нарушение от формальной ошибки и ближе к реальному вреду для людей, тем выше штраф. Базовые составы касаются обработки данных без законного основания или несовместимо с заявленными целями, обработки без согласия либо с согласием, в котором нет обязательных сведений, отсутствия опубликованной политики обработки персональных данных, отказа или задержки с предоставлением субъекту информации о его данных, невыполнения требования уточнить, заблокировать или уничтожить данные. Отдельно наказывается нарушение требования о локализации, то есть о первичном сборе данных граждан России с использованием баз, расположенных в России. И наконец, самый тяжёлый блок — утечки: неуведомление Роскомнадзора об инциденте и сам факт неправомерной передачи данных. Здесь санкция зависит от объёма утёкших записей и категории данных, а за повторные утечки для организаций предусмотрены повышенные штрафы, в ряде случаев рассчитываемые от выручки.
Что это значит на практике? Форма на сайте, которая собирает телефон без отдельного согласия, и утечка клиентской базы — нарушения одного закона, но совершенно разного масштаба.
К базовым составам бизнес приближается незаметно. Вот типичные точки, где оператор нарушает закон, сам того не замечая:
Ни один пункт сам по себе не катастрофа. Но вместе они дают инспектору сразу несколько составов в одной проверке. Кстати, разобрать все эти расхождения можно до запроса регулятора: аудит бизнеса по 152-ФЗ показывает, где документы, реестр и реальные процессы не совпадают.
Размер наказания за нарушение 152-ФЗ определяется не только составом статьи, но и тем, кто его совершил и при каких обстоятельствах. КоАП разделяет субъектов ответственности: граждане, должностные лица, индивидуальные предприниматели и юридические лица. Для организаций санкции всегда выше, чем для граждан, а должностное лицо (руководитель, ответственный за обработку данных) может быть оштрафовано параллельно с компанией. Дальше в дело вступают обстоятельства. По утечкам значение имеют число затронутых субъектов или записей и категория данных: специальные категории (здоровье, убеждения) и биометрия наказываются строже обычных контактов. Повторность влечёт повышенные штрафы, в ряде случаев рассчитываемые от выручки. Плюс работают общие правила КоАП: смягчающие обстоятельства по статье 4.2 и отягчающие по статье 4.3, имущественное положение, последствия нарушения. Протокол составляет Роскомнадзор, а штраф по большинству составов назначает суд — и у суда есть пространство для оценки.
Вот тут и начинается самое интересное. Две компании с одинаковым нарушением выходят из процесса с разными решениями не потому, что кому-то повезло. Одна пришла с исправленными документами, доказательствами устранения и аргументами. Другая — с объяснением «мы не знали».
Незнание закона, кстати, смягчающим обстоятельством не считается. Зато считается многое из того, что делается после выявления нарушения. Об этом — следующий раздел.
Проверьте сайт до регулятора. Сайт — первое, что видит инспектор: формы, согласия, политика, cookie и сторонние сервисы. Найдём расхождения и дадим рекомендации, как привести обработку персональных данных в соответствие закону. Заказать анализ сайта по 152-ФЗ
Аудит показывает, где политика, согласия, уведомление и реальная обработка не совпадают, и помогает закрыть типовые расхождения до проверки инспектора.
Снизить штраф Роскомнадзора за персональные данные можно только через инструменты, которые прямо предусмотрены КоАП, и работают они тем лучше, чем раньше оператор начинает действовать. Формально штраф назначает суд по протоколу Роскомнадзора, поэтому речь идёт о позиции в деле: что оператор сделал после выявления нарушения и чем это подтверждено. Согласно ст. 4.2 КоАП, смягчающими могут признаваться, в частности, добровольное прекращение противоправного поведения, добровольное возмещение ущерба или устранение причинённого вреда, добровольное сообщение о нарушении, содействие органу, ведущему производство. Согласно ст. 4.1.1 КоАП, субъектам малого и среднего предпринимательства штраф за впервые совершённое нарушение может быть заменён предупреждением, если нарушение не причинило вреда и не создало угрозы вреда, а также не причинило имущественного ущерба (есть исключения). Согласно ч. 3.2 ст. 4.1 КоАП, суд в ряде случаев может назначить штраф ниже низшего предела при исключительных обстоятельствах, связанных с характером правонарушения и личностью нарушителя. Согласно ст. 2.9 КоАП, при малозначительности правонарушения судья, орган или должностное лицо могут освободить от административной ответственности и ограничиться устным замечанием. А для некоторых штрафов ст. 32.2 КоАП предусматривает скидку при своевременной оплате (в половинном размере); условия нужно проверять в постановлении. Ни один инструмент не срабатывает автоматически: каждый нужно обосновать.
Теперь подробнее — где эти механизмы реально помогают, а где на них рассчитывать не стоит.
Устранение до рассмотрения дела. Самый недооценённый ход. Если к заседанию согласие уже переписано, политика обновлена, уведомление подано, а данные из зарубежного сервиса перенесены, — это аргумент, а не просто хорошее намерение. Подкреплять его нужно документами: новыми редакциями, приказами, скриншотами, датами изменений.
Предупреждение вместо штрафа. Возможно для МСП при первом нарушении и при соблюдении условий статьи. Но с утечками сложнее: при неправомерной передаче данных вред, как правило... нет, точнее так — вред уже налицо по самой природе инцидента, а отсутствие вреда — одно из условий замены. Поэтому для утечек этот путь крайне ненадёжен.
Оборотные штрафы и расходы на защиту. Принятые оператором меры по защите информации в ряде случаев могут быть учтены как иное смягчающее обстоятельство, но это решается индивидуально судом или контролирующим органом и не гарантируется, поэтому подтверждающие документы (договоры, акты, сведения о выполнении требований к защите) лучше собирать заранее, а не после второго инцидента.
Процессуальные основания. Неправильное извещение, ошибки в протоколе, истечение срока давности по статье 4.5 КоАП — законные поводы для прекращения дела. Не лазейка, а нормальная часть защиты.
А теперь о том, что обычно замалчивают. Есть ситуации, где снизить наказание почти невозможно: повторная утечка спецкатегорий данных, сокрытие инцидента от Роскомнадзора, игнорирование предписания. Здесь нарушение уже не формальное, и суд это видит.
Используйте чек-лист для самостоятельной проверки: сопоставьте сайт, сведения в реестре Роскомнадзора, документы и фактические процессы работы с персональными данными.
При получении запроса, требования или предписания Роскомнадзора, а также при обнаружении утечки персональных данных главное — уложиться в установленные сроки и не давать регулятору новых поводов для претензий. Пропущенный срок ответа сам по себе становится нарушением, а неуведомление об инциденте наказывается отдельно от самой утечки. Поэтому действовать стоит по порядку: сначала зафиксировать, что именно требуют или что произошло, затем определить срок, собрать фактические сведения о процессах и системах, исправить то, что можно исправить сразу, и только потом готовить ответ. Согласно ч. 3.1 ст. 21 152-ФЗ, в случае утечки оператор обязан уведомить Роскомнадзор об инциденте (первичное уведомление — в течение 24 часов), а затем сообщить о результатах внутреннего расследования (в течение 72 часов) — два этапа, и оба проверяются. Ответ, в котором написано одно, а на сайте и в реестре операторов видно другое, работает против компании. Принцип простой: сайт, реестр Роскомнадзора, документы и реальные процессы должны совпадать.
Порядок действий при запросе короткий, но пропускать шаги нельзя:
При утечке к этому добавляется юридическая часть реагирования: оценка состава данных, круга затронутых лиц, содержания уведомлений. Техническое расследование — отдельная задача для специалистов по информационной безопасности.
Спойлер: самый частый провал — не сама ошибка в документах, а попытка ответить «на скорую руку» без сверки с реальностью.
Полностью исключить риск административной ответственности по 152-ФЗ нельзя: проверка может быть инициирована жалобой субъекта, а требования закона меняются, и вчерашний комплект документов завтра может перестать им соответствовать. Зато можно убрать типовые нарушения, на которых строится большинство дел, и подготовить основу для защиты, если претензия всё-таки появится. Для этого у оператора должны быть: поданное и актуальное уведомление об обработке персональных данных (если нет оснований для освобождения по ст. 22 152-ФЗ), политика, описывающая реальные цели и процессы, корректные согласия там, где они нужны (а не везде подряд), внутренние приказы и назначенный ответственный, договоры с подрядчиками, которым передаются данные, понимание, где физически хранятся базы. Один комплект документов не равен соблюдению закона — он лишь фиксирует то, что компания делает. Если процессы поменялись (новая CRM, новый сервис рассылок, выход на зарубежную платформу), документы нужно менять вслед за ними. Иначе формально всё «есть», а по факту — расхождение.
И последнее. Тот, кто обещает отсутствие штрафов, обещает то, что от него не зависит. Честная задача — снизить вероятность претензий и сделать так, чтобы при их появлении у компании были аргументы.
Актуальные размеры санкций по каждому составу собраны в отдельном материале: штрафы за персональные данные в 2026 году.
Пришёл запрос или предписание? Разберём требование, сверим его с вашими процессами и подготовим ответ Роскомнадзору, который не создаёт новых рисков. Подготовить ответ на требование Роскомнадзора
Роскомнадзор выявляет нарушение, проводит контрольные мероприятия и составляет протокол об административном правонарушении. Решение о штрафе по большинству составов статьи 13.11 КоАП принимает суд. Это важно для защиты: у суда есть право учитывать смягчающие обстоятельства, малозначительность и процессуальные ошибки, поэтому позицию и доказательства устранения нарушения стоит готовить заранее, а не в день заседания.
Да. Согласно ч. 3 ст. 2.1 КоАП, привлечение организации не освобождает от ответственности виновного руководителя или назначенного ответственного за обработку персональных данных. На практике это означает два отдельных штрафа по одному нарушению. Поэтому назначение ответственного приказом и чёткое распределение обязанностей — не формальность, а часть управления рисками.
Индивидуальный предприниматель является оператором персональных данных наравне с организацией и обязан выполнять те же требования 152-ФЗ: как правило, уведомить Роскомнадзор о начале обработки (за исключениями, предусмотренными ст. 22 152-ФЗ), опубликовать политику (ст. 18.1 152-ФЗ), получать согласия, обеспечивать защиту данных. Размер санкций для ИП определяется КоАП отдельно, и порядок его применения стоит проверять по действующей редакции. Освобождения «по малости бизнеса» закон не предусматривает, хотя замена штрафа предупреждением для МСП возможна.
За повторные утечки персональных данных для организаций предусмотрены повышенные штрафы, в ряде случаев рассчитываемые от выручки, а не в фиксированной сумме. Для крупного бизнеса это принципиально иной уровень риска. Принятые меры по защите информации в ряде случаев могут быть учтены как иное смягчающее обстоятельство, но это решается индивидуально и не гарантируется. Подтверждающие документы лучше собирать заранее, до любого инцидента.
Согласно ст. 4.1.1 КоАП, субъектам малого и среднего предпринимательства штраф за впервые совершённое нарушение может быть заменён предупреждением, если нарушение не причинило вреда и не создало угрозы такого вреда, а также имущественного ущерба (есть исключения). Для формальных нарушений вроде неполной политики шанс есть. Для утечек — минимальный: при неправомерной передаче данных вред субъектам уже причинён самим инцидентом, и условие замены не выполняется.
Уголовная ответственность в России применяется только к физическим лицам, не к компаниям. Статья 137 УК РФ («Нарушение неприкосновенности частной жизни») устанавливает ответственность за незаконные сбор или распространение сведений о частной жизни лица, составляющих его личную или семейную тайну, без его согласия. Статья 272.1 УК РФ предусматривает ответственность за незаконные использование и передачу (распространение, предоставление, доступ), а также сбор и хранение компьютерной информации, содержащей персональные данные, полученной путём неправомерного доступа или иным незаконным способом. Под риском оказываются сотрудники, выгружающие или продающие базы, и те, кто незаконно получает и распространяет чужие данные.
Поможет как смягчающее обстоятельство, но не отменит само нарушение. Согласно ст. 4.2 КоАП, смягчающими могут признаваться добровольное прекращение противоправного поведения и добровольное устранение причинённого вреда. Если к рассмотрению дела согласия переписаны, политика обновлена, сторонние сервисы приведены в порядок, это подтверждается документами и скриншотами с датами. Такие доказательства влияют на решение суда заметно сильнее, чем устные объяснения.
Если нужно понять, какие из перечисленных составов касаются именно вашего бизнеса, начните с проверки сайта и процессов: анализ сайта по 152-ФЗ покажет расхождения до того, как их найдёт инспектор. «Роском 24» — коммерческий сервис, не Роскомнадзор и не его представитель; работаем онлайн по всей России.
Сайт — первое, что видит инспектор: формы, согласия, куда передаются данные, сторонние сервисы. Анализ покажет расхождения и подготовит основу для защиты при проверке Роскомнадзора.
