Штрафы по 152-ФЗ в 2026: таблица по каждому нарушению
После поправок Федерального закона от 30.11.2024 № 420-ФЗ статья 13.11 КоАП разрослась до 18 частей, а суммы за нарушения в области персональных данных выросли в разы. В новостях обсуждают в основном оборотные штрафы за утечки, но малый бизнес чаще сталкивается с другими составами: нет политики на сайте, форма без согласия, не подано уведомление, CRM на зарубежном сервере.
В этой статье — все составы, которые реально касаются компаний и ИП, с суммами по тексту статьи 13.11 в редакции на октябрь 2026 года. Отдельно разберём, кто как отвечает (ИП — то как должностное лицо, то как юрлицо), когда штраф можно заменить предупреждением и что проверить на своём сайте за полчаса.
Сводная таблица штрафов
| Часть ст. 13.11 | Нарушение | Организация | ИП |
|---|---|---|---|
| ч. 1 | Обработка без законного основания или несовместимая с целями сбора | 150–300 тыс. ₽ | 50–100 тыс. ₽ |
| ч. 1.1 | То же повторно | 300–500 тыс. ₽ | 300–500 тыс. ₽ |
| ч. 2 | Обработка без письменного согласия, когда оно обязательно | 300–700 тыс. ₽ | 100–300 тыс. ₽ |
| ч. 2.1 | То же повторно | 1–1,5 млн ₽ | 500 тыс. – 1 млн ₽ |
| ч. 3 | Не опубликована политика обработки ПДн | 30–60 тыс. ₽ | 10–20 тыс. ₽ |
| ч. 4 | Не предоставлена субъекту информация о его данных | 40–80 тыс. ₽ | 20–30 тыс. ₽ |
| ч. 5 | Не выполнено требование уточнить, блокировать или уничтожить данные | 50–90 тыс. ₽ | 20–40 тыс. ₽ |
| ч. 5.1 | То же повторно | 300–500 тыс. ₽ | 50–100 тыс. ₽ |
| ч. 6 | Не обеспечена сохранность бумажных носителей | 50–100 тыс. ₽ | 20–40 тыс. ₽ |
| ч. 8 | Базы с данными граждан РФ за рубежом (локализация) | 1–6 млн ₽ | 1–6 млн ₽ |
| ч. 9 | То же повторно | 6–18 млн ₽ | 6–18 млн ₽ |
| ч. 10 | Не подано уведомление о намерении обрабатывать ПДн | 100–300 тыс. ₽ | 100–300 тыс. ₽ |
| ч. 11 | Не уведомили Роскомнадзор об утечке | 1–3 млн ₽ | 1–3 млн ₽ |
| ч. 12–14 | Утечка: от 1 тыс. до более 100 тыс. субъектов | 3–15 млн ₽ | 3–15 млн ₽ |
| ч. 15 | Повторная утечка | 1–3% выручки, не менее 20 млн ₽ | так же |
| ч. 16–17 | Утечка специальных категорий и биометрии | 10–20 млн ₽ | так же |
Суммы для ИП в частях 1 и 2 указаны по статье 2.4 КоАП: если кодекс не установил иное, предприниматель отвечает как должностное лицо. Для частей 1.1 и 8–18 примечание 1 к статье 13.11 приравнивает ИП к юрлицу. В частях 2.1, 3, 4, 5, 5.1 и 6 суммы для ИП указаны в самой статье. Для граждан (например, самозанятых без статуса ИП) действуют отдельные, более низкие суммы — их можно посмотреть в калькуляторе штрафов по 152-ФЗ.
Составы, которые касаются почти каждого сайта
Нет политики обработки (ч. 3)
Часть 2 статьи 18.1 152-ФЗ обязывает оператора, который собирает данные через интернет, опубликовать политику на своём сайте и обеспечить к ней доступ со страниц, где идёт сбор. Типичные нарушения: политики нет совсем; она скопирована с чужого сайта с чужими реквизитами; ссылка есть только в подвале главной, а форма заявки — на другой странице; политика 2018 года не упоминает онлайн-запись, Метрику и чат.
Нет согласия или оно неправильное (ч. 1 и ч. 2)
Если вы обрабатываете данные на основании согласия, его отсутствие — это обработка без законного основания по части 1. Часть 2 применяется, когда закон требует именно письменного согласия: специальные категории (данные о здоровье), биометрия, распространение данных. С 1 сентября 2025 года согласие должно быть оформлено отдельно от других документов (ч. 1 ст. 9). Галочка «согласен с политикой и офертой» одной строкой больше не подходит. Как переделать формы — в статье согласие на обработку ПДн отдельным документом.
Не подано уведомление (ч. 10)
Новый состав с 2025 года. До этого неподача уведомления наказывалась по статье 19.7 КоАП (непредставление сведений) штрафом для организаций всего 3–5 тыс. рублей. Теперь — 100–300 тыс. Порядок подачи — в статье уведомление в Роскомнадзор об обработке ПДн.
Локализация (ч. 8)
Часть 5 статьи 18 запрещает запись, хранение и обновление данных граждан РФ в базах за пределами России. Под удар попадают формы на зарубежных конструкторах, иностранные CRM и таблицы в зарубежных облаках, куда первыми попадают данные клиентов. Подробный разбор — локализация ПДн: Google Формы и зарубежные виджеты.
Пример: во что складывается проверка небольшого салона
Условный пример, все цифры — по нижней и верхней границе санкций. Салон красоты (ООО) принимает онлайн-запись через форму, ведёт анкету с противопоказаниями, базу хранит в зарубежном облачном сервисе, уведомление в Роскомнадзор не подавал, политика на сайте есть, но устаревшая и без отдельного согласия.
| Что нашли | Состав | Вилка |
|---|---|---|
| Запись через форму без отдельного согласия | ч. 1 | 150–300 тыс. ₽ |
| Анкета здоровья без письменного согласия | ч. 2 | 300–700 тыс. ₽ |
| База клиентов в зарубежном облаке | ч. 8 | 1–6 млн ₽ |
| Нет в реестре операторов | ч. 10 | 100–300 тыс. ₽ |
| Итого по всем составам | — | 1,55–7,3 млн ₽ |
На практике суд учитывает обстоятельства, и итог зависит от того, как квалифицируют нарушения. Но порядок сумм показывает главное: самое дорогое здесь — не «бумажки», а место хранения базы. Перенос клиентской базы в российскую систему обходится в разы дешевле нижней границы штрафа по части 8. Про данные о здоровье в салоне — отдельная статья: персональные данные в салоне красоты.
Можно ли заменить штраф предупреждением
Статья 4.1.1 КоАП позволяет заменить штраф предупреждением за впервые совершённое правонарушение, выявленное в ходе государственного контроля (надзора), если есть обстоятельства из части 2 статьи 3.4: нет вреда жизни и здоровью людей, угрозы безопасности государства, имущественного ущерба. Статья 13.11 в список исключений из части 2 статьи 4.1.1 не входит. Поэтому за первое нарушение «бумажного» характера — например, устаревшую политику — компания с чистой историей может получить предупреждение. На утечки и повторные нарушения рассчитывать на это не стоит.
Кроме того, часть 5 статьи 4.4 КоАП говорит: если в ходе одного контрольного мероприятия выявлены два и более нарушения, ответственность за которые предусмотрена одной и той же статьёй (частью статьи), наказание назначается как за одно правонарушение. Как это применят к разным частям статьи 13.11 в вашем деле, зависит от квалификации, но норму стоит знать при подготовке позиции.
Как Роскомнадзор узнаёт о нарушениях
- Жалоба клиента или бывшего сотрудника. Самый частый повод: человек не смог отписаться от рассылки или удалить данные.
- Мониторинг сайтов. Ведомство проверяет наличие политики, форм согласия, используемых сервисов.
- Утечка, о которой написали в СМИ или каналах.
- Плановые и внеплановые контрольные мероприятия в отношении операторов.
Что проверить на своём сайте за 30 минут
- Есть ли ссылка на политику на каждой странице с формой, в чате и на странице записи.
- Совпадают ли реквизиты в политике с реквизитами компании.
- Есть ли в каждой форме отдельная, не отмеченная заранее галочка согласия со ссылкой на текст согласия.
- Какие внешние скрипты собирают данные: формы, чаты, аналитика, коллтрекинг — и где их серверы.
- Есть ли компания в реестре операторов на pd.rkn.gov.ru и актуальны ли сведения.
- Где физически хранятся CRM и база клиентов.
- Есть ли адрес или форма, куда человек может отправить запрос на удаление данных, и кто его обрабатывает.
Весь список с пояснениями — в нашем чек-листе по 152-ФЗ. Если проверка выявила зарубежные сервисы или старые формы, начните с них: это самые дорогие составы.
Утечки — отдельная история
Части 12–18 касаются утечек и рассчитываются от количества субъектов и идентификаторов. Повторная утечка грозит оборотным штрафом от 1 до 3% выручки, но не менее 20 млн рублей. Расчёт и примеры мы разбирали в статье оборотные штрафы за утечку персональных данных, а что делать в первые сутки после инцидента — в статье утечка ПДн: уведомление Роскомнадзора за 24 и 72 часа.
Если клиентская база лежит в CRM, лучшее, что можно сделать заранее, — разграничить права, включить журнал действий и запретить массовую выгрузку без подтверждения. Так устроены наши системы для автосалонов, автопроката и салонов; для собственных сайтов и CRM мы делаем аудит в рамках услуги кибербезопасности.
Вопросы и ответы
Какой штраф за отсутствие политики конфиденциальности на сайте?
По ч. 3 ст. 13.11 КоАП: для организаций от 30 до 60 тыс. рублей, для ИП от 10 до 20 тыс., для должностных лиц от 6 до 12 тыс., для граждан от 1,5 до 3 тыс. рублей.
Какой штраф за отсутствие согласия на обработку персональных данных на сайте?
Если данные обрабатываются без законного основания, это ч. 1 ст. 13.11: для организаций 150–300 тыс. рублей. Если закон требовал письменного согласия (например, для данных о здоровье), применяется ч. 2: 300–700 тыс. рублей для организаций.
ИП платит штраф как организация или как должностное лицо?
По частям 1 и 2 — как должностное лицо. По частям 1.1 и 8–18 — как юридическое лицо. По частям 2.1, 3, 4, 5, 5.1 и 6 в статье указаны отдельные суммы для ИП.
Можно ли получить предупреждение вместо штрафа?
Да, если нарушение совершено впервые, выявлено в ходе государственного контроля и нет вреда людям, угрозы безопасности и имущественного ущерба (ст. 4.1.1 и ч. 2 ст. 3.4 КоАП). Статья 13.11 не входит в список исключений.
С какого момента действуют новые штрафы?
Повышенные штрафы, введённые Федеральным законом № 420-ФЗ от 30.11.2024, применяются к нарушениям, совершённым после вступления поправок в силу 30 мая 2025 года.
Что самое дорогое для малого бизнеса, кроме утечек?
Нарушение локализации по ч. 8 ст. 13.11: от 1 до 6 млн рублей для организаций и ИП, при повторе — от 6 до 18 млн. Обычно это зарубежная CRM, форма или облачная таблица с данными клиентов.