Штрафы за нарушение 152-ФЗ о персональных данных в 2026 году

Компания собирала анкеты клиентов через сайт без отдельной политики обработки и без согласий в нужной форме. Проверка Роскомнадзора заняла полдня, а постановление пришло сразу по трём составам. Раньше такая история заканчивалась суммой в пределах ста тысяч рублей и воспринималась как операционная мелочь. После вступления в силу новой редакции статьи 13.11 КоАП РФ от 30 ноября 2024 года такая же небрежность превратилась в риск с шестью и семью нулями, а для крупных утечек появился штраф, привязанный к проценту годовой выручки. Этот текст разбирает действующую сетку санкций по состоянию на редакцию Кодекса, вступившую в силу с 21 июня 2026 года, и показывает, какой состав сколько стоит для гражданина, должностного лица и организации.

Базовый состав · обработка не по правилам

Часть 1 статьи 13.11 КоАП РФ карает обработку персональных данных в случаях, не предусмотренных законодательством, либо обработку, несовместимую с целями сбора. Это самый широкий и самый частый состав. Под него попадает сбор лишних сведений, использование данных не для той цели, ради которой их получили, продолжение обработки после исчерпания основания. Гражданин здесь рискует суммой от десяти до пятнадцати тысяч рублей, должностное лицо платит от пятидесяти до ста тысяч, организация отвечает на сумму от ста пятидесяти до трёхсот тысяч рублей.

Повторное совершение того же нарушения вынесено в часть 1.1 и тарифицируется жёстче. Для гражданина это от пятнадцати до тридцати тысяч, для должностного лица от ста до двухсот тысяч, для юридического лица от трёхсот до пятисот тысяч рублей. По примечанию к статье индивидуальный предприниматель по части 1.1 несёт ответственность как юридическое лицо, и это меняет цену ошибки для малого бизнеса, который привык считать себя «физлицом со статусом».

Согласие в письменной форме · отдельный и дорогой состав

Часть 2 статьи 13.11 наказывает обработку без согласия в письменной форме там, где такое согласие обязательно по закону, а также нарушение требований к составу сведений в самом согласии. Цена для организации тут уже от трёхсот до семисот тысяч рублей, для должностного лица от ста до трёхсот тысяч, для гражданина от десяти до пятнадцати тысяч. Повтор по части 2.1 поднимает планку до полутора миллионов рублей для юридического лица и вводит отдельную строку для предпринимателя от пятисот тысяч до одного миллиона. Практический вывод простой. Дефектное согласие, в котором не хватает обязательного реквизита, по последствиям приравнивается к полному его отсутствию.

Прозрачность и права субъекта

Несколько составов бьют по обязанностям, о которых операторы вспоминают в последнюю очередь. Часть 3 наказывает за то, что на сайте нет опубликованной политики обработки или сведений о реализуемых требованиях к защите данных. Для организации это от тридцати до шестидесяти тысяч рублей. Часть 4 карает непредоставление субъекту информации об обработке его данных, для юридического лица от сорока до восьмидесяти тысяч. Часть 5 отвечает за игнор требования уточнить, заблокировать или уничтожить данные в установленный срок, для организации от пятидесяти до девяноста тысяч, а при повторе по части 5.1 до пятисот тысяч рублей.

Отдельно стоит часть 6 о хранении бумажных носителей без условий, исключающих несанкционированный доступ, если это повлекло неправомерные действия с данными. Для юридического лица санкция доходит до ста тысяч рублей. Часть 7 касается только государственных и муниципальных органов и их обязанности по обезличиванию.

Локализация и уведомления Роскомнадзора

Часть 8 закрепляет ответственность за нарушение требования хранить и обрабатывать данные граждан России в базах на территории страны. Здесь штраф для юридического лица составляет от одного до шести миллионов рублей, а при повторе по части 9 поднимается до восемнадцати миллионов. Это та самая локализация, вокруг которой строится комплаенс трансграничных сервисов.

Часть 10 наказывает за неуведомление Роскомнадзора о намерении обрабатывать данные, для организации до трёхсот тысяч рублей. Часть 11 отдельно карает несвоевременное уведомление об установленном факте неправомерной передачи данных, повлекшей нарушение прав субъектов. Здесь для юридического лица санкция уже от одного до трёх миллионов рублей. Эта норма работает в связке со статьёй 21 закона 152-ФЗ, которая в части 3.1 даёт оператору двадцать четыре часа на первичное сообщение об инциденте и семьдесят два часа на сведения о результатах внутреннего расследования. Пропуск этих сроков и есть тот состав, за который грозит миллионный штраф по части 11.

Утечка как самостоятельное правонарушение

Главная перемена редакции в том, что утечка перестала быть «отягчающим обстоятельством» и стала отдельным наказуемым деянием с градацией по объёму. Части 12, 13 и 14 разделяют ответственность по количеству пострадавших субъектов и идентификаторов. За утечку данных от одной тысячи до десяти тысяч субъектов организация платит от трёх до пяти миллионов рублей. За диапазон от десяти тысяч до ста тысяч субъектов сумма растёт до десяти миллионов. За утечку более ста тысяч субъектов или более одного миллиона идентификаторов предусмотрено от десяти до пятнадцати миллионов рублей.

Части 16 и 17 выделяют утечки специальной категории данных и биометрии. За специальную категорию организация рискует суммой до пятнадцати миллионов, за биометрию до двадцати миллионов рублей. А части 15 и 18 вводят оборотный штраф для тех, кто допустил повторную утечку. Для юридического лица это от одного до трёх процентов совокупной выручки за предшествующий календарный год, но не менее двадцати миллионов и не более пятисот миллионов рублей по части 15, и не менее двадцати пяти миллионов по части 18. Подробному разбору оборотного штрафа посвящён отдельный материал, здесь важно зафиксировать сам факт его существования.

На что смотрит суд

Когда дело доходит до рассмотрения, орган и суд оценивают не только формальный факт нарушения. Имеет значение, есть ли у оператора политика и согласия в нужной форме, уведомлял ли он Роскомнадзор о намерении обрабатывать данные, как быстро отреагировал на инцидент по срокам статьи 21 закона 152-ФЗ. По примечанию 5 к статье 13.11 при назначении наказания за части 15 и 18 учитывается, считалось ли лицо ранее подвергнутым наказанию по частям 1-11 этой же статьи. Иными словами, накопленная история мелких нарушений напрямую утяжеляет наказание за крупную утечку.

Частые ошибки

Первая ошибка это вера в то, что один проступок означает один штраф. На практике отсутствие политики, дефектное согласие и несвоевременное уведомление образуют три самостоятельных состава, и постановление выносится по каждому. Вторая ошибка это статус ИП. По части 1.1 и по частям 8 и далее предприниматель отвечает как юридическое лицо, а не как гражданин. Третья ошибка это недооценка сроков. Двадцать четыре часа на первичное уведомление об утечке отсчитываются с момента выявления инцидента, и опоздание само по себе образует состав по части 11.

Частые вопросы

Вопрос. Зависит ли штраф за утечку от того, был ли причинён реальный вред субъектам. Ответ. Части 12 и 14 говорят о действиях или бездействии, повлёкших неправомерную передачу данных. Размер штрафа привязан к количеству субъектов и идентификаторов, а не к доказанным убыткам конкретных людей.

Вопрос. Можно ли отделаться предупреждением вместо штрафа. Ответ. Санкции частей 12 и далее сформулированы как штраф в фиксированных диапазонах без альтернативы в виде предупреждения, поэтому рассчитывать на устное замечание по утечке не стоит.

Вопрос. Что выгоднее, спорить или признать. Ответ. Это решается по конкретной фабуле. Иногда грамотно зафиксированное исполнение обязанностей по статье 21 закона 152-ФЗ и доказанная оперативность реакции позволяют добиваться нижней границы санкции. Оценку перспектив по вашей ситуации даст юридическая помощь по персональным данным, а записаться на разбор можно через контакты.