| Нарушение | Норма КоАП | Физлицо | Должностное лицо | ИП | Юрлицо |
|---|---|---|---|---|---|
| Обработка ПД без согласия или с нарушением состава согласия | ч. 2 ст. 13.11 | 6-10 тыс ₽ | 20-40 тыс ₽ | 20-40 тыс ₽ | 60-100 тыс ₽ |
| То же, повторно | ч. 2.1 ст. 13.11 | 20-30 тыс ₽ | 40-80 тыс ₽ | 40-80 тыс ₽ | 100-300 тыс ₽ |
| Отсутствие политики обработки ПД или её недоступность | ч. 1 ст. 13.11 | 2-6 тыс ₽ | 4-12 тыс ₽ | 4-12 тыс ₽ | 10-30 тыс ₽ |
| Нарушение локализации ПД граждан РФ (хранение вне России) | ч. 8 ст. 13.11 | - | 100 тыс ₽ | 100 тыс ₽ | 1-6 млн ₽ |
| То же, повторно | ч. 9 ст. 13.11 | - | 1-1,5 млн ₽ | 1-1,5 млн ₽ | 6-18 млн ₽ |
| Неуведомление РКН об утечке в течение 24 часов | ч. 3.2 ст. 13.11 | - | 30-50 тыс ₽ | 30-50 тыс ₽ | 100-150 тыс ₽ |
Коротко
- Самые крупные суммы - за локализацию: хранение данных граждан РФ на серверах вне России.
- С 2025 года действуют оборотные штрафы за утечки - процент от выручки компании, а не фиксированная сумма.
- Повторное нарушение всегда штрафуется существенно выше первого.
- Штраф - не единственная мера: РКН может выдать предписание устранить нарушение, штраф идёт отдельно или следом.
Оборотные штрафы за утечку персональных данных
С 30 мая 2025 года для операторов, допустивших утечку и не принявших достаточных мер защиты, предусмотрены оборотные штрафы - их размер привязан к выручке компании за предыдущий год, а не фиксирован. Это отдельный состав от обычного нарушения ст. 13.11 КоАП и применяется к самым серьёзным случаям - массовым утечкам значимого объёма данных.
Неуведомление РКН об утечке
По 152-ФЗ оператор обязан уведомить Роскомнадзор об утечке в течение 24 часов с момента, когда о ней стало известно, а через 72 часа - предоставить результаты внутреннего расследования. Нарушение этого срока - отдельный состав по ч. 3.2 ст. 13.11 КоАП, и он применяется независимо от того, была ли сама утечка следствием умысла или технической ошибки.
Как снизить штраф: основания и порядок обжалования
Штраф можно оспорить в порядке, предусмотренном КоАП, - в течение 10 суток с момента получения постановления. Основания для снижения или отмены: малозначительность нарушения, устранение нарушения до вынесения постановления, отсутствие вины оператора (например, утечка произошла у подрядчика, а не у самого оператора). Практика показывает, что добровольное устранение нарушения до заседания комиссии РКН чаще всего снижает итоговую сумму.
Что смягчает ответственность
- Нарушение устранено до вынесения постановления
- Нарушение совершено впервые
- Оператор сам уведомил РКН о проблеме, не дожидаясь проверки
- Ущерб субъектам персональных данных не наступил
Что проверить у себя на сайте
- Есть политика обработки персональных данных, и она открывается без ошибок
- Формы сбора данных содержат согласие, а не просто ссылку на политику
- Данные хранятся на сервере, физически расположенном в России
- Прописан порядок действий на случай утечки - кто и в какой срок уведомляет РКН
Частые вопросы
Какой штраф за отсутствие политики конфиденциальности? По ч. 1 ст. 13.11 КоАП - от 10 000 до 30 000 ₽ для юрлица за первое нарушение.
Что такое оборотный штраф? Штраф, привязанный не к фиксированной сумме, а к проценту от годовой выручки компании - применяется к утечкам персональных данных с 2025 года.
Можно ли снизить штраф Роскомнадзора? Да, через обжалование постановления в течение 10 суток - основания и порядок описаны выше.
Проверить, какие из этих нарушений уже есть на вашем сайте, можно бесплатно за минуту - форма проверки. Комплект документов, закрывающий базовые требования, - на странице документов по 152-ФЗ.