Размер штрафа определяется составом нарушения и фактическими обстоятельствами
Форма без корректного сценария согласия, отсутствующая политика, неподанное уведомление Роскомнадзора, нарушение локализации или утечка данных относятся к разным обязанностям. Для каждого случая нужно определить фактическое действие оператора, применимую норму и часть статьи 13.11 КоАП РФ.
Для владельца сайта практическая задача — связать каждую найденную проблему с конкретной обязанностью: что происходит на странице, какие данные собираются, куда они передаются и какой документ или процесс подтверждает законность обработки.
Штрафы по 152‑ФЗ в 2026 году: основные составы
Ниже — наиболее важные для коммерческих сайтов и операторов положения статьи 13.11 КоАП РФ.
| Нарушение | Норма | Для юридических лиц | Что проверить |
|---|---|---|---|
| Обработка без предусмотренного законом основания или несовместимо с целью сбора | ч. 1 ст. 13.11 | 150 000–300 000 ₽ | Цели форм, основания обработки, фактическое использование данных |
| Нет письменного согласия там, где закон требует именно письменную форму, либо нарушены требования к его содержанию | ч. 2 ст. 13.11 | 300 000–700 000 ₽ | Когда письменная форма обязательна и что включено в согласие |
| Политика обработки персональных данных не опубликована или к ней нет неограниченного доступа | ч. 3 ст. 13.11 | 30 000–60 000 ₽ | Наличие политики и доступ к ней со страниц сбора данных |
| Не выполнено требование локализации баз данных при сборе данных граждан РФ | ч. 8 ст. 13.11 | 1 000 000–6 000 000 ₽ | Куда записываются и где хранятся данные при сборе через сайт |
| Повторное нарушение локализации | ч. 9 ст. 13.11 | 6 000 000–18 000 000 ₽ | Архитектура баз и фактический маршрут данных |
| Не подано или несвоевременно подано обязательное уведомление Роскомнадзора о намерении обрабатывать ПДн | ч. 10 ст. 13.11 | 100 000–300 000 ₽ | Статус в реестре и актуальность сведений об обработке |
| Роскомнадзор не уведомлён о факте неправомерной или случайной передачи данных, нарушившей права субъектов | ч. 11 ст. 13.11 | 1 000 000–3 000 000 ₽ | Процедура реагирования на инциденты |
Обычная веб-форма не означает автоматически, что к ней применяется часть 2 статьи 13.11. Сначала нужно определить, требует ли конкретный сценарий согласия в письменной форме и какие требования предъявлены к его содержанию.
Какие нарушения чаще всего начинаются с изменений на сайте
Юридический риск возникает, когда интерфейс и реальный маршрут данных меняются быстрее документов и внутренних процессов.
Новая форма или квиз
Появляется новая цель, новый набор данных или новый получатель. Сверьте политику, согласия, CRM и уведомление РКН.
Новая интеграция
Заявка начинает уходить в другую CRM, телефонию, email-сервис или таблицу. Проверяется роль получателя и маршрут данных.
Аналитика и рекламные сервисы
Подключение новых скриптов меняет техническую схему сайта и может затрагивать cookie, идентификаторы и трансграничную передачу.
Документы остались прежними
Политика и согласия могут описывать старую версию сайта и не соответствовать фактическим процессам.
Ответственность за утечки и неправомерную передачу данных
С 2025 года статья 13.11 содержит отдельные составы с крупными штрафами, размер которых зависит от масштаба инцидента и категории данных.
| Состав | Норма | Для юридических лиц |
|---|---|---|
| Неправомерная передача данных 1 000–10 000 субъектов и/или 10 000–100 000 идентификаторов | ч. 12 | 3–5 млн ₽ |
| 10 000–100 000 субъектов и/или 100 000–1 млн идентификаторов | ч. 13 | 5–10 млн ₽ |
| Более 100 000 субъектов и/или более 1 млн идентификаторов | ч. 14 | 10–15 млн ₽ |
| Повторное нарушение по ч. 12–14, 16–18 | ч. 15 | 1–3% выручки, минимум 20 млн ₽, максимум 500 млн ₽ |
| Неправомерная передача специальных категорий ПДн | ч. 16 | 10–15 млн ₽ |
| Неправомерная передача биометрических ПДн | ч. 17 | 15–20 млн ₽ |
| Повторное нарушение по ч. 16 или 17 | ч. 18 | 1–3% выручки, минимум 25 млн ₽, максимум 500 млн ₽ |
Примечание к статье 13.11 отдельно устанавливает это правило для ряда составов, включая локализацию, уведомления и утечки. При оценке риска ИП нельзя автоматически ориентироваться на диапазоны для граждан.
Что проверить, чтобы связать риск со своим сайтом
Проверяйте факты по каждому бизнес-процессу отдельно.
- Составьте список точек сбора.Формы, квизы, регистрация, заказ, подписка, callback, чат, личный кабинет.
- Для каждой точки определите цель.Зачем данные нужны и что с ними происходит после отправки.
- Запишите маршрут.CRM, почта, аналитика, телефония, подрядчики и базы данных.
- Сверьте публичные документы.Политика, согласия, рекламные согласия, оферта и условия сервиса.
- Проверьте уведомления и инфраструктуру.Реестр РКН, локализация и трансграничные сценарии.
Что можно проверить автоматически
Сканер фиксирует публичные признаки и помогает определить, какие вопросы требуют ручной проверки.
Сайт покажет
- формы и состав полей;
- политику и видимые согласия;
- часть аналитических и рекламных скриптов;
- ссылки на документы;
- публичные реквизиты и сценарии покупки.
Нужны внутренние данные
- основания обработки;
- договоры с обработчиками;
- фактическое место баз данных;
- процедуры реагирования на инциденты;
- сроки хранения и уничтожения.
Получите список найденных точек сбора, документов и сервисов. Затем свяжите каждое замечание с конкретной обязанностью и ответственным исполнителем.
Нормативная база
Суммы нужно проверять по действующей редакции КоАП на дату оценки.
Частые вопросы
Квалификация зависит от конкретного процесса и фактических обстоятельств.
Если на сайте несколько ошибок, штрафы автоматически складываются?
Нет автоматического правила «одна ошибка интерфейса — один штраф». Нужно определить состав каждого административного правонарушения и фактические обстоятельства.
Отсутствие политики — отдельный состав?
Да. Часть 3 статьи 13.11 устанавливает отдельную ответственность за невыполнение обязанности по публикации политики или обеспечению неограниченного доступа к ней.
Какой риск самый крупный для обычного сайта?
Размер зависит от ситуации. Особенно крупные диапазоны предусмотрены за нарушение локализации и неправомерную передачу больших объёмов данных, специальных или биометрических данных.
Проверка сайта на 152‑ФЗ →Уведомление РКН →Локализация ПДн →
Что проверить дальше
Связанные требования и сценарии, которые обычно нужно сверять вместе.
Проверьте, относится ли этот риск к вашему сайту
Сканирование покажет публичные признаки, а после проверки можно выбрать точечное ТЗ, документы или полное исправление.
Исправить под ключ
Подготовим согласованные тексты, внесём изменения на сайт и повторно проверим результат.
Регулярно контролировать
Повторные проверки после изменений сайта с историей результатов и новыми замечаниями.