Штрафы за персональные данные: суммы 2026 года

Это разбор норм и размеров, а не юридическая консультация. Квалификацию конкретного случая определяет тот, кто рассматривает дело, и у каждой вилки есть не только верхняя граница, но и нижняя.

Как читать эти суммы, если бизнес оформлен на ИП

Это первое, что искажают пересказы. В статье 13.11 КоАП РФ в редакции, действующей с 30 мая 2025 года, работают три разных правила, и они не взаимозаменяемы.

• Там, где для индивидуальных предпринимателей стоит отдельная строка с собственными суммами, берут именно её. Из разобранного ниже это части 3, 4 и 5.
• Примечание 1 к статье говорит прямо: за правонарушения, предусмотренные частями 1.1 и 8–18 этой статьи, индивидуальные предприниматели несут административную ответственность как юридические лица. В этих частях предпринимателю достаётся самая высокая строка, а не средняя.
• Где ни своей строки, ни примечания 1 нет — а это, в частности, части 1 и 2, — работает общее правило примечания к статье 2.4 КоАП РФ: предприниматель отвечает как должностное лицо, если кодекс не установил иного.

Сколько стоит сайт без политики обработки данных

Опубликовать документ, определяющий политику обработки персональных данных, и сведения о реализуемых требованиях к защите обязывает часть 2 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ (редакция от 26.07.2026). Ответственность за это установлена частью 3 статьи 13.11 КоАП РФ в редакции, действующей с 30 мая 2025 года:

• граждане — 1 500–3 000 ₽;
• должностные лица — 6 000–12 000 ₽;
• индивидуальные предприниматели — 10 000–20 000 ₽;
• юридические лица — 30 000–60 000 ₽.

Это самая дешёвая строка во всей статье 13.11 КоАП и самая легко проверяемая: политику видно с улицы, без запроса и без выездной проверки. Политика обработки персональных данных входит у нас в любой тариф — не потому, что это трудная работа, а потому что сайт с формой без неё сдавать нельзя.

Что грозит за форму без согласия

Здесь две разные нормы, и суммы у них несопоставимые.

Часть 1 статьи 13.11 КоАП РФ в редакции, действующей с 30 мая 2025 года, — обработка персональных данных в случаях, не предусмотренных законодательством, либо обработка, несовместимая с целями сбора: граждане 10 000–15 000 ₽, должностные лица 50 000–100 000 ₽, юридические лица 150 000–300 000 ₽. Повторное такое нарушение выделено в часть 1.1: граждане 15 000–30 000 ₽, должностные лица 100 000–200 000 ₽, юридические лица 300 000–500 000 ₽. По примечанию 1 предприниматель в части 1.1 стоит уже в последней строке.

Часть 2 той же статьи 13.11 КоАП — обработка без согласия в письменной форме там, где закон такое согласие требует, либо согласие без обязательных сведений: граждане 10 000–15 000 ₽, должностные лица 100 000–300 000 ₽, юридические лица 300 000–700 000 ₽.

Разница практическая. Галочка в обычной форме заявки письменной формой согласия не считается, и часть 2 срабатывает не на любой форме без галочки, а там, где закон требует именно письменного согласия: это биометрические данные (часть 1 статьи 11) и специальные категории вроде сведений о здоровье (пункт 1 части 2 статьи 10 Федерального закона от 27.07.2006 № 152-ФЗ, редакция от 26.07.2026). Сайт услуг, который собирает имя и телефон без основания и без информирования человека, попадает в часть 1. Как устроена сама галочка и что пишут рядом с ней, разобрано отдельно: Согласие на обработку данных.

Почему неподанное уведомление дороже всего прочего

Уведомить Роскомнадзор до начала обработки требует часть 1 статьи 22 Федерального закона от 27.07.2006 № 152-ФЗ (редакция от 26.07.2026). За невыполнение или несвоевременное выполнение этой обязанности часть 10 статьи 13.11 КоАП РФ в редакции, действующей с 30 мая 2025 года, предусматривает: граждане 5 000–10 000 ₽, должностные лица 30 000–50 000 ₽, юридические лица 100 000–300 000 ₽.

Индивидуальный предприниматель читает здесь строку юридических лиц, то есть 100 000–300 000 ₽: по примечанию 1 к статье 13.11 за нарушения по частям 1.1 и 8–18 этой статьи предприниматели отвечают как юридические лица. Для сайта небольшой фирмы это означает от ста тысяч рублей за документ, который подаётся бесплатно и один раз. Распространённый совет «для предпринимателя это тридцать тысяч» на действующую редакцию статьи не опирается. Малому бизнесу за первое нарушение штраф могут заменить предупреждением по статье 4.1.1 КоАП, но решает это орган, который рассматривает дело, и гарантией такая замена не является.

Наказуемо не только молчание, но и опоздание: обязанность возникает до начала обработки, то есть до того, как форма на работающем сайте приняла первую заявку. Что писать в полях уведомления, разобрано отдельно: Уведомление в Роскомнадзор.

Сколько стоит не ответить человеку

Два состава, про которые вспоминают последними, хотя срабатывают они от одного непрочитанного письма на адрес из политики.

Часть 4 статьи 13.11 КоАП РФ в редакции, действующей с 30 мая 2025 года, — невыполнение обязанности предоставить субъекту персональных данных информацию об обработке его данных: граждане 2 000–4 000 ₽, должностные лица 8 000–12 000 ₽, индивидуальные предприниматели 20 000–30 000 ₽, юридические лица 40 000–80 000 ₽.

Часть 5 той же статьи 13.11 КоАП — невыполнение в срок требования об уточнении, блокировании или уничтожении персональных данных: граждане 2 000–4 000 ₽, должностные лица 8 000–20 000 ₽, индивидуальные предприниматели 20 000–40 000 ₽, юридические лица 50 000–90 000 ₽.

В этих двух частях у предпринимателя суммы выше, чем у должностного лица, и вдвое-втрое выше, чем за отсутствие политики. Обязанности и сроки, которые тут нарушаются, установлены статьями 14, 20 и 21 того же Федерального закона от 27.07.2006 № 152-ФЗ (редакция от 26.07.2026). Вывод отсюда получается не юридический: адрес почты, указанный в политике, кто-то должен читать каждый рабочий день. Нарушение здесь — не позиция и не спорная трактовка, а пропущенное письмо.

Какие суммы к небольшому сайту не относятся

Самые громкие цифры статьи 13.11 КоАП — про утечки, и честнее сказать прямо: к сайту с десятком заявок в месяц они отношения не имеют.

Часть 11 статьи 13.11 КоАП РФ в редакции, действующей с 30 мая 2025 года, наказывает оператора, который не уведомил Роскомнадзор о неправомерной передаче данных, повлёкшей нарушение прав людей: граждане 50 000–100 000 ₽, должностные лица 400 000–800 000 ₽, юридические лица 1 000 000–3 000 000 ₽. Части 12–14 той же статьи — сама неправомерная передача, и суммы растут с числом пострадавших: для юридических лиц от 3 000 000 до 15 000 000 ₽. Нижняя из трёх, часть 12, относится к утечке данных от 1 000 до 10 000 человек: граждане 100 000–200 000 ₽, должностные лица 200 000–400 000 ₽, юридические лица 3 000 000–5 000 000 ₽.

Часть 15 статьи 13.11 КоАП — повторная утечка, и для компаний с большими базами там оборотный штраф: от 1 до 3 процентов выручки за календарный год, предшествующий году, в котором нарушение выявлено, но не менее 20 000 000 и не более 500 000 000 ₽. Эта норма не про малый бизнес, и приводить её владельцу сайта с формой заявки как угрозу нечестно.

Одно из этого блока касается всех одинаково: обязанность уведомить об утечке от размера оператора не зависит.

Что из этого закрывается до запуска сайта

Три состава из перечисленных снимаются действиями на один вечер, без юриста.

1. Политика обработки персональных данных по постоянному адресу, со ссылкой на каждой странице, где стоит форма. Закрывает часть 3.
2. Уведомление в Роскомнадзор, поданное до включения формы. Закрывает часть 10 — самую дорогую из реально вероятных для небольшого сайта.
3. Галочка согласия, не отмеченная заранее, со ссылками рядом, и сохранённый факт её отметки с датой. Работает против частей 1 и 2 и против спора о том, было ли согласие вообще.

Четвёртое действие — не документ, а привычка: читать почту с адреса, указанного в политике. Она закрывает части 4 и 5, и ничего другого вместо неё не работает.

Что здесь делаем мы и где граница. Политику, о которой речь выше, мы включаем в любой тариф, формы ставим с отдельной непроставленной галочкой и ссылками, заявки не заводим на зарубежные сервисы сбора форм. Уведомление в Роскомнадзор за заказчика мы не подаём и юридического сопровождения обработки данных не оказываем: оператором по закону становится владелец сайта, и отвечает по статье 13.11 КоАП он. Общий перечень обязанностей сайта с формой разобран отдельно: 152-ФЗ простыми словами.

Полезнее всех этих цифр одно наблюдение: вилка в каждой части означает, что конкретную сумму внутри неё определяет не кодекс, а поведение оператора до и после обращения. Сайт, где политика совпадает с тем, что происходит на самом деле, а на письмо отвечают в срок, спорит о нижней границе вилки. Сайт, который два года собирал заявки без документов и начал их оформлять после первой жалобы, спорит о верхней.