Коротко
- Все штрафы за персональные данные собраны в статье 13.11 КоАП. С 30 мая 2025 года суммы выросли в разы и появились новые составы.
- Штраф выписывают за каждое нарушение отдельно: форма без согласия, нет политики и нет уведомления — это три разных штрафа.
- За неподанное уведомление в Роскомнадзор компания и ИП платят 100–300 тысяч рублей.
- За утечку базы от 1 000 человек — от 3 до 15 млн рублей, за повторную — от 1 до 3% выручки, но не меньше 20 млн рублей.
- Почти все риски сайта малого бизнеса закрываются за день: согласие, политика, уведомление, российский хостинг для заявок.
Почему штрафы касаются даже маленького сайта
Персональные данные — это любая информация, по которой можно определить человека: имя, телефон, email, адрес доставки, номер заказа вместе с именем. Как только на сайте появилась форма «Оставьте телефон, перезвоним», вы собираете персональные данные и становитесь оператором по закону № 152-ФЗ.
Размер бизнеса значения не имеет. Закон одинаково распространяется на сеть клиник и на мастера маникюра с сайтом-визиткой. Проверяет соблюдение Роскомнадзор, а штрафы назначает суд по протоколу ведомства.
Отдельно о том, что такое персональные данные клиента в разных ситуациях и что нельзя делать с ними в нейросетях, мы писали в статье нейросети и персональные данные.
Таблица штрафов за персональные данные в 2026 году
Суммы — по действующей редакции статьи 13.11 КоАП. Важная деталь: по общему правилу ИП отвечают как должностные лица, но за повторную обработку без оснований (часть 1.1) и по частям 8–18 — как юридические лица. Это прямо сказано в примечании к статье.
| Нарушение | Часть ст. 13.11 | ИП | ООО |
|---|---|---|---|
| Обработка без законного основания или не для заявленной цели | ч. 1 | 50–100 тыс. ₽ | 150–300 тыс. ₽ |
| То же повторно | ч. 1.1 | 300–500 тыс. ₽ | 300–500 тыс. ₽ |
| Нет письменного согласия, когда оно нужно, или в согласии не хватает обязательных сведений | ч. 2 | 100–300 тыс. ₽ | 300–700 тыс. ₽ |
| То же повторно | ч. 2.1 | 500 тыс. – 1 млн ₽ | 1–1,5 млн ₽ |
| Не опубликована политика обработки персональных данных | ч. 3 | 10–20 тыс. ₽ | 30–60 тыс. ₽ |
| Не ответили человеку на запрос о его данных | ч. 4 | 20–30 тыс. ₽ | 40–80 тыс. ₽ |
| Не удалили или не исправили данные по требованию в срок | ч. 5 | 20–40 тыс. ₽ | 50–90 тыс. ₽ |
| Бумажные анкеты и журналы хранятся так, что к ним есть посторонний доступ | ч. 6 | 20–40 тыс. ₽ | 50–100 тыс. ₽ |
| Данные граждан РФ при сборе записываются в базы за рубежом | ч. 8 | 1–6 млн ₽ | 1–6 млн ₽ |
| То же повторно | ч. 9 | 6–18 млн ₽ | 6–18 млн ₽ |
| Не подали уведомление в Роскомнадзор о начале обработки | ч. 10 | 100–300 тыс. ₽ | 100–300 тыс. ₽ |
| Не сообщили в Роскомнадзор об утечке | ч. 11 | 1–3 млн ₽ | 1–3 млн ₽ |
Штрафы за утечку
| Масштаб утечки | Часть | ИП и ООО |
|---|---|---|
| От 1 000 до 10 000 человек (или от 10 000 до 100 000 идентификаторов) | ч. 12 | 3–5 млн ₽ |
| От 10 000 до 100 000 человек | ч. 13 | 5–10 млн ₽ |
| Более 100 000 человек | ч. 14 | 10–15 млн ₽ |
| Повторная утечка | ч. 15 | 1–3% выручки за прошлый год, от 20 до 500 млн ₽ |
| Утечка специальных категорий (здоровье и др.) | ч. 16 | 10–15 млн ₽ |
| Утечка биометрии | ч. 17 | 15–20 млн ₽ |
Специальные категории — это сведения о здоровье, национальности, религиозных и политических взглядах. Для клиник, стоматологий, психологов и фитнес-клубов с медицинскими анкетами это важно: утечка даже небольшой базы карточек пациентов наказывается по части 16, где порога по числу людей нет.
Перед тем как принимать решения по этой таблице, сверьте суммы с актуальной редакцией по ссылке выше: КоАП меняется несколько раз в год.
За что штрафуют чаще всего: разбор по пунктам
Форма без отдельного согласия
Самая массовая ошибка. С 1 сентября 2025 года согласие на обработку персональных данных должно оформляться отдельно от других документов, которые подтверждает человек, — так изменилась статья 9 закона № 152-ФЗ. Галочка «Я согласен с политикой конфиденциальности и офертой» больше не подходит: нужен отдельный текст согласия и отдельная отметка.
Как правильно оформить согласие на сайте и что в нём написать, разобрали в статье согласие на обработку персональных данных на сайте.
Нет уведомления в Роскомнадзор
До поправок 2025 года за это грозил символический штраф, и многие относились к уведомлению как к формальности. Теперь это отдельная часть 10 со штрафом до 300 тысяч рублей. Реестр операторов открытый, проверить, есть ли вы в нём, может любой, в том числе недовольный клиент или конкурент. Пошаговая инструкция с формулировками — в статье уведомление в Роскомнадзор о персональных данных.
Нет политики обработки данных
Штраф по части 3 самый маленький, но его легко получить вместе с другими: если политики нет, обычно нет и согласия, и уведомления. Что должно быть в политике, описано в статье политика конфиденциальности для сайта.
Заявки уходят на зарубежные серверы
Часть 8 — штраф от миллиона рублей и для ИП, и для компаний. Риск возникает, когда заявки с сайта сначала попадают в зарубежный сервис: форму, CRM, таблицу или почту, серверы которых находятся за границей. Требование о первичной записи данных в российские базы — в части 5 статьи 18 закона № 152-ФЗ. Подробно о локализации и о том, какие сервисы проверить, будет в отдельной статье локализация персональных данных.
Утечки
Для малого бизнеса утечка — это не только взлом. Сюда относятся выгрузка базы клиентов в открытую таблицу по ссылке, рассылка, где все адресаты видят друг друга, увольнение менеджера, который унёс базу, взломанный сайт с открытой папкой заявок. Если утечка случилась, о ней нужно уведомить Роскомнадзор в течение 24 часов, а за молчание грозит отдельный штраф по части 11.
Если читаете таблицу и не понимаете, какие пункты касаются вашего сайта, это быстро проверяется по формам, документам и тому, куда уходят заявки.
Условный пример: сколько может стоить один сайт с ошибками
Пример условный, не кейс студии. Салон красоты оформлен как ООО. На сайте форма записи с галочкой «согласен с политикой», сама политика — скопированный чужой текст с другим названием компании, уведомление в Роскомнадзор не подавали, заявки уходят в зарубежный конструктор форм.
| Нарушение | Часть | Минимум | Максимум |
|---|---|---|---|
| Нет отдельного согласия | ч. 2 | 300 000 ₽ | 700 000 ₽ |
| Политика не соответствует оператору (по сути её нет) | ч. 3 | 30 000 ₽ | 60 000 ₽ |
| Нет уведомления в Роскомнадзор | ч. 10 | 100 000 ₽ | 300 000 ₽ |
| Первичная запись данных за рубежом | ч. 8 | 1 000 000 ₽ | 6 000 000 ₽ |
| Итого | 1 430 000 ₽ | 7 060 000 ₽ |
Чтобы всё это исправить, нужен день работы и несколько тысяч рублей, если привлекать юриста для документов.
Кто и как проверяет сайты
Роскомнадзор проводит плановые проверки по своему плану и внеплановые — по жалобам и по результатам мониторинга. Для малого бизнеса основной путь к штрафу — жалоба. Её может подать клиент, которому надоели звонки, бывший сотрудник или конкурент. Ведомство также мониторит сайты автоматически: наличие политики, согласия и регистрацию в реестре операторов легко проверить без визита.
Протокол составляет Роскомнадзор, штраф назначает суд. Статья 4.1.1 КоАП позволяет заменить штраф предупреждением, если нарушение совершено впервые, выявлено в ходе госконтроля и не причинило вреда и не создало угрозы вреда людям. Рассчитывать на это как на стратегию не стоит: при утечке вред уже есть, повторное нарушение по определению не первое, а нарушение по жалобе клиента часто не подпадает под условия.
Как закрыть риски за один день: чек-лист
- Найдите все места, где собираете данные. Формы на сайте, квизы, онлайн-запись, чат, корзина, подписка на рассылку, анкеты в офисе, CRM, таблицы.
- Проверьте, куда уходят заявки. Конструктор форм, CRM, почта, таблицы — где их серверы. Если первичная запись идёт за рубеж, перенастройте на российский сервис.
- Добавьте отдельное согласие у каждой формы. Отдельный текст согласия на отдельной странице и отдельная отметка, не совмещённая с офертой.
- Опубликуйте свою политику обработки данных. Не копируйте чужую: в ней должны быть ваши реквизиты, ваши цели и ваши сервисы.
- Подайте уведомление в Роскомнадзор. Онлайн через портал ведомства, заполнение занимает около часа.
- Наведите порядок с доступами. Кто из сотрудников видит базу клиентов, у кого есть выгрузки, кто уже уволился, но имеет доступ к CRM.
- Закройте открытые ссылки. Таблицы с клиентами «доступно всем, у кого есть ссылка» — частая причина утечек.
- Назначьте ответственного. Один человек, который знает, что делать при запросе клиента об удалении данных и при утечке.
Проверить формы и документы проще всего с телефона клиента: зайдите на сайт, попробуйте оставить заявку и посмотрите, что видит человек перед отправкой.
Частые ошибки, из-за которых бизнес платит
- Скопировали политику у конкурента. В ней чужие реквизиты и сервисы, которыми вы не пользуетесь. Для проверяющего это то же самое, что отсутствие политики.
- Одна галочка на всё. «Согласен с офертой, политикой и рассылкой» — согласие не отдельное, и согласие на рассылку тоже не получено.
- Галочка стоит по умолчанию. Согласие должно быть активным действием человека.
- Уведомление подали много лет назад и забыли. Поменялись сервисы, цели, адрес — сведения в реестре нужно обновлять.
- Квиз или чат собирают данные, а согласия там нет. Проверяют все формы, а не только главную.
- Базу клиентов отдали подрядчику без договора поручения. Агентство, колл-центр или сервис рассылок обрабатывают данные по вашему поручению, и это нужно оформить.
Если не хочется разбираться самостоятельно, оставьте контакты. Проверим формы, документы и путь заявки на вашем сайте и пришлём список того, что поправить, в порядке важности.
Частые вопросы
Какой штраф за отсутствие согласия на обработку персональных данных на сайте?
По части 2 статьи 13.11 КоАП — от 300 до 700 тысяч рублей для компаний и от 100 до 300 тысяч для ИП. Повторное нарушение — до 1,5 млн рублей для компании и до 1 млн для ИП. Это же наказание грозит, если согласие есть, но в нём не хватает обязательных сведений.
Какой штраф за неподачу уведомления в Роскомнадзор?
С 30 мая 2025 года — от 100 до 300 тысяч рублей для компаний и ИП по части 10 статьи 13.11 КоАП. Раньше за это наказывали по другой статье и на несколько тысяч рублей, поэтому многие уведомление не подавали.
Штрафуют ли ИП так же, как ООО?
Частично. По частям 1–7 ИП платят как должностные лица, то есть меньше компаний. А по повторным нарушениям части 1 и по частям 8–18 — локализация, уведомления и утечки — ИП отвечают как юридические лица, то есть на те же миллионы.
Может ли быть предупреждение вместо штрафа?
Статья 4.1.1 КоАП допускает замену штрафа предупреждением за впервые совершённое нарушение, выявленное при госконтроле, если не было вреда и угрозы вреда людям. Решает суд. При утечках и повторных нарушениях условия не выполняются, поэтому рассчитывать на предупреждение не стоит.
Если на сайте нет формы, только телефон и мессенджеры, штрафы грозят?
Если сайт не собирает данные, требования к форме неприменимы. Но счётчики и cookie тоже могут собирать данные о посетителях, а заявки из мессенджеров попадают в CRM. Обязанности оператора возникают там, где вы реально храните и обрабатываете данные клиентов.
Сколько штраф за утечку базы клиентов?
Зависит от масштаба: от 3 до 5 млн рублей за утечку данных от 1 000 до 10 000 человек, до 15 млн рублей за утечку свыше 100 000 человек. За повторную утечку — от 1 до 3% выручки за прошлый год, но не меньше 20 млн рублей. Отдельно штрафуют за то, что не сообщили об утечке в Роскомнадзор.
10+ лет делаю сайты и запускаю рекламу, вместе с командой запустили больше 500 проектов. Пишу о том, что проверили на практике.
Задать вопрос в Telegram →
