Статья рассказывает, за что штрафуют по 152-ФЗ, как проходят проверки Роскомнадзора и что делать при нарушениях. Вы поймёте логику ответственности и сможете снизить риски своего бизнеса.
Штрафы за нарушение обработки персональных данных назначают по статье 13.11 КоАП РФ. Она наказывает за обработку без согласия, за избыточный сбор, за ненадлежащую защиту и за неподанное уведомление. Сумма зависит от того, кто нарушил: должностное лицо, ИП или организация. Важно и то, какой состав вменили и повторное ли это нарушение. Если не уверены, где у вас слабое место, начните с аудита бизнеса по 152-ФЗ. Он дешевле любого штрафа.
Штрафы назначают по статье 13.11 КоАП РФ и смежным нормам. В ней много частей: от обработки без согласия до невыполнения обязанности по уведомлению Роскомнадзора.
Суммы зависят от трёх вещей. Первое — кто нарушил: гражданин, должностное лицо, ИП или юридическое лицо. Второе — какой состав вменяется. Третье — не повторное ли это нарушение.
Главный источник — статья 13.11 КоАП РФ в КонсультантПлюс. Цифры нужно сверять именно там. Редакция менялась, а ужесточение, которое обычно связывают с 2025 годом, сделало многие старые таблицы устаревшими.
Мы сознательно не приводим суммы «по памяти». Цифра из прошлогодней статьи вводит в заблуждение. Штрафы за персональные данные 2026 года нужно сверять с действующей редакцией. Зато можно разобраться в логике: за что наказывают, кого и как это выглядит на практике.
Федеральный закон №152-ФЗ «О персональных данных» остаётся основным актом в этой сфере. Ответственность за его нарушение предусмотрена законодательством (ст. 24 закона). Конкретные санкции по КоАП РФ, в частности по ст. 13.11, сверяйте по тексту кодекса.
Один нюанс сразу. Штраф — это не «один платёж за всё». Составы складываются. Нет согласия на форме, нет политики на сайте, нет уведомления в реестре — это разные нарушения. Протоколов может быть несколько.
На практике нарушения группируются вокруг нескольких типовых ситуаций. Почти все они видны снаружи: достаточно открыть сайт.
Первая ситуация — обработка персональных данных в случаях, которые закон не предусматривает, либо несовместимая с целями сбора. Это часть 1 статьи 13.11, текст нормы доступен в ГАРАНТе.
Вторая — если федеральный закон требует письменного согласия (ч. 4 ст. 9 152-ФЗ), обработка без него считается нарушением. Она может повлечь административную ответственность по КоАП РФ. Получение согласия должен доказать оператор.
Третья — невыполнение обязанности обеспечить сохранность материальных носителей при неавтоматизированной обработке. Нарушение считается, если это привело к неправомерному доступу (разбор ответственности в ГАРАНТе).
Добавьте сюда несвоевременное уведомление Роскомнадзора, отсутствие опубликованной политики и нарушение порядка обработки биометрии. Список длинный, но суть одна. Закон требует, чтобы документы совпадали с реальной работой. У большинства штрафуемых они расходятся.
Что встречается особенно часто, если смотреть на типичный сайт:
Последний пункт многих удивляет. Кажется, что «у нас просто заявки с сайта». Но сбор имён и телефонов через формы на сайте — уже обработка персональных данных по 152-ФЗ. Как правило, оператор обязан уведомить Роскомнадзор о начале обработки. Сведения вносятся в реестр операторов на основании уведомления. Случаи, когда уведомление не требуется, уточняйте по ст. 22 152-ФЗ.
Подробнее о том, кто обязан подавать, — в материале про регистрацию в Роскомнадзоре в 2026 году.
КоАП различает адресатов штрафа: гражданин, должностное лицо, ИП и юридическое лицо. Для каждой категории действует своя шкала. Для организации она, как правило, самая тяжёлая.
Это значит, что за одно нарушение на сайте могут привлечь и компанию, и директора как должностное лицо. Для ИП отдельная шкала. Самозанятый, собирающий данные клиентов, тоже оператор. Он не освобождён от обязанностей автоматически.
| Что нарушено | Где закреплено | Что проверяют на практике |
|---|---|---|
| Обработка без законных оснований или без согласия | Ст. 13.11 КоАП РФ | Формы на сайте, тексты согласий, договоры |
| Нет уведомления в Роскомнадзор | Ст. 13.11 КоАП РФ | Запись в реестре операторов |
| Не сохранены материальные носители | Ст. 13.11 КоАП РФ | Архивы, шкафы, доступ сотрудников |
| Нарушение работы с биометрией | Ст. 13.11.3 КоАП РФ | Единая биометрическая система, согласия |
Суммы в таблицу сознательно не вынесены. Верная цифра — та, что действует на дату вашего нарушения. Подтвердить её можно только по актуальной редакции статьи. Не доверяйте таблицам без даты актуализации.
Проверки Роскомнадзора по персональным данным бывают плановые и внеплановые. Плановые проводятся по ежегодному плану. Внеплановые — например, при инциденте с утечкой персональных данных. Кроме того, ведомство само проводит мониторинг сайтов на соблюдение требований законодательства.
Сначала смотрят то, что видно извне. Есть ли у компании запись в реестре операторов? Опубликована ли политика? Как оформлены формы сбора данных? Куда уходят данные через аналитику и сторонние сервисы?
Затем запрашивают документы: приказы о назначении ответственного, локальные акты, согласия, перечень систем.
Итог — либо замечаний нет, либо предписание с сроком устранения, либо протокол об административном правонарушении.
Важный момент. Предписание устанавливает срок для устранения нарушений. Но ответственность за само нарушение по ст. 13.11 КоАП может наступить независимо от исправления. Срок ограничен. Неисполнение предписания влечёт отдельный штраф по ч. 1 ст. 19.5 КоАП для юрлиц.
Подробный порядок мы разбирали в материале о проверке Роскомнадзора.
Что в итоге решает исход? Не количество бумаг, а их соответствие факту. Проверяющему видно, когда политика скопирована с чужого сайта. В ней упомянуты процессы, которых у компании нет.
Не ждите предписания. Поможем подготовить документы и материалы к проверке Роскомнадзора. Расхождения нужно найти до того, как их найдёт ведомство. Подготовка к проверке Роскомнадзора
Риск реален, если находите расхождения между документами и реальными процессами на сайте. Снизить его можно по шагам.
Нет. Штраф по статье 13.11 КоАП — самая известная, но не единственная мера.
Нарушение может обернуться гражданским иском. Субъект данных вправе требовать компенсации морального вреда и возмещения ущерба (об этом пишут и в профильных разборах).
Для самых тяжёлых случаев предусмотрена уголовная ответственность по Уголовному кодексу. Речь о незаконном обороте и неправомерном доступе к данным.
Отдельная тема — утечки. Закон, принятый в конце 2024 года, ввёл для них существенно более жёсткие санкции. Они доходят до расчёта от выручки при повторных случаях. Точные параметры смотрите в действующей редакции КоАП.
Есть и репутационная часть. Утечка, о которой узнали клиенты, стоит дороже протокола. Поэтому при инциденте важно сразу выстроить порядок действий. В том числе уведомление ведомства в установленный срок. Сопровождение при утечке как раз про это.
Используйте чек-лист для самостоятельной проверки: сопоставьте сайт, сведения в реестре Роскомнадзора, документы и фактические процессы работы с персональными данными.
Алгоритм без магии. Он одинаков для ООО, ИП и интернет-магазина. Выполняйте по порядку, потому что каждый шаг опирается на предыдущий.
Честно: даже идеальный комплект документов не гарантирует отсутствия проверок. Он снижает вероятность нарушений. Он даёт позицию в диалоге с ведомством. Но иммунитета он не обещает. Закон о персональных данных работает как процесс, а не как разовая справка.
Не игнорировать и не отвечать «в свободной форме». У предписания есть срок. Ответ должен содержать конкретные подтверждающие документы: что устранено, когда и чем это подтверждается.
Типичная ошибка — исправить сайт, но забыть обновить реестр или внутренние акты. Тогда следующий запрос повторит прежние вопросы. Помощь с ответом оформлена на странице ответа на запрос и предписание.
Закройте риски одним пакетом. Подготовим документы по персональным данным под ваши реальные процессы. Они должны совпадать с тем, что видит проверяющий. Разработка документов по персональным данным
Откройте свой сайт глазами проверяющего: формы, политика, cookie, подключённые сервисы. Если находите расхождения с тем, что написано в документах, значит, риск реальный. Закрыть его можно по шагам. Сначала регистрация в Роскомнадзоре, затем документы и сайт. Если сомневаетесь в порядке действий, посмотрите стоимость и тарифы и напишите нам. Подскажем, что нужно именно вашему бизнесу.
Услуги оказывает ООО «Онлайн услуги 24». Мы не являемся Роскомнадзором или его представителем.
Подробнее по теме: Аудит персональных данных по 152-ФЗ | Роском 24.
Одной суммы нет. Размер зависит от трёх вещей: состава правонарушения по статье 13.11 КоАП РФ, статуса нарушителя (должностное лицо, ИП, организация) и повторности. С 2025 года санкции ужесточены, поэтому старые таблицы устарели. Проверяйте цифры по действующей редакции статьи в справочно-правовой системе на дату нарушения.
Да, если они собирают и обрабатывают персональные данные клиентов, то есть являются операторами. Для ИП в КоАП предусмотрена отдельная шкала. У самозанятого обязанности оператора возникают по тем же правилам. Достаточно собирать имена и телефоны через форму или мессенджер, чтобы закон начал действовать.
Политика в отношении обработки персональных данных должна быть опубликована, если вы собираете данные через сайт. Её отсутствие или формальность — повод для замечаний при проверке. Хуже, когда политика есть, но описывает чужие процессы. Расхождение с реальностью легко заметить по формам и подключённым сервисам.
Да. Составы нарушений самостоятельны. Отсутствие согласия, отсутствие уведомления и ненадлежащая защита — разные нормы. Протоколы составляют по каждой. Поэтому устранять нужно всю цепочку «сайт — реестр — документы — процессы», а не один заметный дефект.
Не откладывать. Выясните срок исполнения и соберите документы, подтверждающие устранение. Направьте ответ в установленном порядке. Если срока недостаточно, обоснуйте это и заранее подайте ходатайство. Формальный ответ без подтверждений обычно приводит к повторной проверке и протоколу.
Уголовная ответственность предусмотрена за наиболее тяжёлые случаи. Например, за незаконный оборот данных и неправомерный доступ к компьютерной информации. Для типичных нарушений на сайте и в документах это не характерно. Чаще речь идёт об административной ответственности. Но гражданский иск о компенсации вреда возможен независимо от КоАП.
Нет, и честные консультанты такого не обещают. Проверка может начаться по плану, внепланово (например, из-за утечки) или по итогам мониторинга сайтов. Реально снизить вероятность нарушений и подготовить позицию. Для этого нужны актуальные документы, корректный сайт, запись в реестре и понятный порядок реагирования на запросы.
Откройте сайт глазами проверяющего: формы, политика, cookie, подключённые сервисы. Если находите расхождения, закрыть риск можно регистрацией в РКН, подготовкой документов и аудитом сайта.
