Штрафы за нарушение 152-ФЗ в 2026 году: разбор статьи 13.11 КоАП

Ответственность за нарушения в области персональных данных собрана в статье 13.11 КоАП РФ. Читать её подряд тяжело: восемнадцать частей, пять примечаний, суммы от полутора тысяч рублей до процента годовой выручки. Ниже — разбор по составам, с точными цифрами по тексту кодекса. Все суммы приведены по редакции КоАП РФ от 26 июля 2026 года; если вы читаете это позже, сверяйтесь с первоисточником.

Две разные статьи внутри одной

Полезно сразу разделить статью на два блока, потому что логика у них разная.

Части с 1 по 9 — «процедурные» нарушения. Нет законного основания обработки, не опубликована политика, не ответили субъекту на запрос, база лежит не там, где должна. Это то, что обнаруживается при проверке документов и сайта.

Части с 10 по 18 введены Федеральным законом от 30 ноября 2024 года № 420-ФЗ и вступили в силу 30 мая 2025 года. Это неуведомление регулятора и утечки. Здесь другой масштаб: миллионы рублей, а за повторное нарушение — процент от годовой выручки.

Процедурные составы

Обработка без законного основания: части 1 и 1.1

Обработка персональных данных в случаях, не предусмотренных законодательством, либо обработка, несовместимая с целями сбора:

• граждане — от 10 000 до 15 000 рублей;
• должностные лица — от 50 000 до 100 000 рублей;
• юридические лица — от 150 000 до 300 000 рублей.

Повторное совершение по части 1.1: граждане — от 15 000 до 30 000 рублей, должностные лица — от 100 000 до 200 000 рублей, юридические лица — от 300 000 до 500 000 рублей.

Это самый широкий состав, и под него попадает большинство реальных ситуаций на сайтах: форма собирает данные без внятного основания, аналитика записывает поведение до согласия, собранные для заявки контакты уходят в рассылку.

Обработка без письменного согласия: части 2 и 2.1

Обработка без согласия в письменной форме в случаях, когда такое согласие должно быть получено по закону, а также нарушение требований к составу сведений в письменном согласии:

• граждане — от 10 000 до 15 000 рублей;
• должностные лица — от 100 000 до 300 000 рублей;
• юридические лица — от 300 000 до 700 000 рублей.

Повторное совершение по части 2.1: граждане — от 15 000 до 30 000 рублей, должностные лица — от 300 000 до 500 000 рублей, индивидуальные предприниматели — от 500 000 до 1 000 000 рублей, юридические лица — от 1 000 000 до 1 500 000 рублей.

Ключевое условие здесь — «в случаях, когда такое согласие должно быть получено». Письменная форма требуется не всегда, поэтому переносить эти суммы на любую форму на сайте некорректно.

Нет опубликованной политики: часть 3

Невыполнение обязанности по опубликованию или обеспечению иным образом неограниченного доступа к документу, определяющему политику оператора, или к сведениям о реализуемых требованиях к защите персональных данных:

• граждане — от 1500 до 3000 рублей;
• должностные лица — от 6000 до 12 000 рублей;
• индивидуальные предприниматели — от 10 000 до 20 000 рублей;
• юридические лица — от 30 000 до 60 000 рублей.

Самая дешёвая часть статьи — и самая заметная снаружи: наличие политики видно без всякой проверки. Что именно должно быть в документе и где он обязан лежать, разбираем отдельно: политика обработки персональных данных для сайта.

Не предоставили субъекту информацию: часть 4

Невыполнение обязанности по предоставлению субъекту информации, касающейся обработки его персональных данных: граждане — от 2000 до 4000 рублей, должностные лица — от 8000 до 12 000 рублей, индивидуальные предприниматели — от 20 000 до 30 000 рублей, юридические лица — от 40 000 до 80 000 рублей.

Не выполнили требование об уточнении, блокировании или уничтожении: части 5 и 5.1

Невыполнение в установленные сроки требования субъекта, его представителя или уполномоченного органа об уточнении, блокировании или уничтожении данных, если они неполные, устаревшие, неточные, незаконно полученные или не являются необходимыми для заявленной цели:

• граждане — от 2000 до 4000 рублей;
• должностные лица — от 8000 до 20 000 рублей;
• индивидуальные предприниматели — от 20 000 до 40 000 рублей;
• юридические лица — от 50 000 до 90 000 рублей.

Повтор по части 5.1: до 500 000 рублей для юридических лиц.

Сроки, о которых идёт речь, установлены статьёй 21 152-ФЗ: уточнить неточные данные — в течение семи рабочих дней, прекратить неправомерную обработку — в течение трёх рабочих дней с даты выявления, уничтожить — в течение десяти рабочих дней, если обеспечить правомерность невозможно.

Бумажные носители: часть 6

Несоблюдение условий, обеспечивающих сохранность материальных носителей персональных данных при обработке без средств автоматизации, если это повлекло неправомерный или случайный доступ, уничтожение, изменение, блокирование, копирование, предоставление или распространение: граждане — от 1500 до 4000 рублей, должностные лица — от 8000 до 20 000 рублей, индивидуальные предприниматели — от 20 000 до 40 000 рублей, юридические лица — от 50 000 до 100 000 рублей.

Обезличивание в государственных органах: часть 7

Отдельный состав для операторов, являющихся государственными или муниципальными органами: штраф на должностных лиц от 6000 до 12 000 рублей. Коммерческих компаний не касается.

Локализация баз данных: части 8 и 9

Невыполнение обязанности обеспечивать запись, систематизацию, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории России:

• граждане — от 30 000 до 50 000 рублей;
• должностные лица — от 100 000 до 200 000 рублей;
• юридические лица — от 1 000 000 до 6 000 000 рублей.

Повтор по части 9: граждане — от 50 000 до 100 000 рублей, должностные лица — от 500 000 до 800 000 рублей, юридические лица — от 6 000 000 до 18 000 000 рублей.

Это первое место в статье, где суммы становятся серьёзными, и первое, где сайт может нарушить требование незаметно для себя — через зарубежный сервис форм, рассылок или хранения файлов.

Составы 2025 года: уведомление и утечки

Не подали уведомление: часть 10

Невыполнение или несвоевременное выполнение обязанности по уведомлению уполномоченного органа о намерении осуществлять обработку персональных данных: граждане — от 5000 до 10 000 рублей, должностные лица — от 30 000 до 50 000 рублей, юридические лица — от 100 000 до 300 000 рублей. Кто обязан подавать уведомление и что в нём указывать — в разборе уведомления в Роскомнадзор об обработке персональных данных.

Не сообщили об инциденте: часть 11

Невыполнение или несвоевременное выполнение обязанности уведомить регулятор при установлении факта неправомерной или случайной передачи персональных данных, повлёкшей нарушение прав субъектов: граждане — от 50 000 до 100 000 рублей, должностные лица — от 400 000 до 800 000 рублей, юридические лица — от 1 000 000 до 3 000 000 рублей.

Сроки здесь жёсткие. По части 3.1 статьи 21 152-ФЗ оператор обязан уведомить регулятор в течение двадцати четырёх часов о самом инциденте, предполагаемых причинах, предполагаемом вреде и принятых мерах, и в течение семидесяти двух часов — о результатах внутреннего расследования.

Сама утечка: части 12, 13 и 14

Размер штрафа зависит от масштаба. Законодатель считает и субъектов, и идентификаторы — по примечанию 4 идентификатор это уникальное обозначение сведений о физическом лице, содержащееся в информационной системе оператора.

• От 1000 до 10 000 субъектов и (или) от 10 000 до 100 000 идентификаторов: граждане — от 100 000 до 200 000 рублей, должностные лица — от 200 000 до 400 000 рублей, юридические лица — от 3 000 000 до 5 000 000 рублей.
• От 10 000 до 100 000 субъектов и (или) от 100 000 до 1 000 000 идентификаторов: граждане — от 200 000 до 300 000 рублей, должностные лица — от 300 000 до 500 000 рублей, юридические лица — от 5 000 000 до 10 000 000 рублей.
• Более 100 000 субъектов и (или) более 1 000 000 идентификаторов: граждане — от 300 000 до 400 000 рублей, должностные лица — от 400 000 до 600 000 рублей, юридические лица — от 10 000 000 до 15 000 000 рублей.

Специальные категории и биометрия: части 16 и 17

Утечка информации, включающей специальную категорию персональных данных: граждане — от 300 000 до 400 000 рублей, должностные лица — от 1 000 000 до 1 300 000 рублей, юридические лица — от 10 000 000 до 15 000 000 рублей.

Утечка биометрических персональных данных: граждане — от 400 000 до 500 000 рублей, должностные лица — от 1 300 000 до 1 500 000 рублей, юридические лица — от 15 000 000 до 20 000 000 рублей.

Оборотный штраф: части 15 и 18

Здесь появляется санкция, привязанная не к событию, а к обороту компании.

За повторное совершение нарушения, предусмотренного частями 12–14, по части 15: на граждан — от 400 000 до 600 000 рублей, на должностных лиц — от 800 000 до 1 200 000 рублей, на юридических лиц — от 1 до 3 процентов совокупного размера выручки от реализации всех товаров, работ и услуг за предшествующий календарный год, но не менее 20 000 000 и не более 500 000 000 рублей.

За повтор по частям 16 или 17 применяется часть 18: на граждан — от 500 000 до 800 000 рублей, на должностных лиц — от 1 500 000 до 2 000 000 рублей, на юридических лиц — тот же процент от выручки, но не менее 25 000 000 и не более 500 000 000 рублей.

Отдельно стоит примечание 5. При назначении наказания по частям 15 и 18 учитывается отягчающее обстоятельство: лицо на момент совершения правонарушения считалось подвергнутым наказанию по частям 1–11 этой же статьи либо по статьям 13.6 или 13.12 КоАП. То есть мелкие процедурные нарушения, накопленные раньше, работают против компании в момент, когда считают оборотный штраф.

Три примечания, которые меняют расчёт

Примечания к статье 13.11 читают редко, а они переопределяют, по какой шкале считать штраф.

Примечание 1: за правонарушения, предусмотренные частями 1.1 и 8–18, индивидуальные предприниматели несут ответственность как юридические лица. То есть ИП, не подавший уведомление, попадает не в «гражданскую» и не в «должностную» шкалу, а в диапазон от 100 000 до 300 000 рублей.

Примечание 2: в частях 10–18 под должностным лицом понимается должностное лицо государственного или муниципального органа либо некоммерческой организации.

Примечание 3: в частях 10–18 под юридическим лицом понимается оператор — юридическое лицо, не являющееся государственным или муниципальным органом либо некоммерческой организацией.

Вместе примечания 2 и 3 означают, что для обычной коммерческой компании в блоке частей 10–18 «мягкой» должностной шкалы не существует: применяется шкала для юридических лиц.

Что из этого касается обычного сайта

Если у вас не банк и не медицинская сеть, реалистичный набор рисков выглядит скромнее, чем весь список: часть 3 за политику, часть 1 за обработку без основания, часть 10 за неподанное уведомление и часть 8 за расположение базы. Это уже суммарно шестизначные цифры, и все четыре состава проверяются снаружи, без доступа к вашей инфраструктуре.

Практический порядок работы: сначала разобраться, какие данные и на каком основании собирает каждая форма, затем привести политику и согласия в соответствие с фактом, затем подать уведомление. Этим направлением у нас занимается отдельный проект — приведение сайтов в соответствие 152-ФЗ.

Посмотреть на свой сайт глазами проверяющего можно за минуту: проверить свой сайт бесплатно. Семнадцать проверок, оценка до 1000 баллов, результат сразу на экране, регистрация не нужна.

Частые вопросы

Сколько стоит отсутствие политики обработки персональных данных на сайте?

Это часть 3 статьи 13.11 КоАП: от 30 000 до 60 000 рублей для юридических лиц, от 10 000 до 20 000 рублей для индивидуальных предпринимателей и от 6000 до 12 000 рублей для должностных лиц.

Отвечает ли ИП как юридическое лицо?

По примечанию 1 к статье 13.11 — да, но не по всем составам, а по частям 1.1 и с 8 по 18. Туда попадают локализация баз данных, неподанное уведомление и утечки.

Когда назначают оборотный штраф?

По частям 15 и 18 — за повторную утечку. Размер считается как от 1 до 3 процентов выручки за предшествующий календарный год, но не менее 20 миллионов рублей по части 15 и 25 миллионов по части 18, и не более 500 миллионов рублей.

Источники

• Статья 13.11 КоАП РФ
• Статья 21 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»
• Статья 22 Федерального закона от 27.07.2006 № 152-ФЗ
• Статья 18 Федерального закона от 27.07.2006 № 152-ФЗ