В 2026 году штрафы за нарушение 152-ФЗ на сайте назначают по ст. 13.11 КоАП РФ - от 10 000 ₽ для юрлица за отсутствие политики обработки персональных данных до 6-18 млн ₽ за нарушение требований локализации баз данных. С 30 мая 2025 года за утечку персональных данных дополнительно применяют оборотные штрафы - процент от выручки компании. Ниже - точные суммы по составам и порядок проверки сайта.
Коротко
- Штрафы по ст. 13.11 КоАП РФ - от 10 000 ₽ до 18 млн ₽ для юрлиц, в зависимости от состава нарушения.
- Повторное нарушение наказывается строже, чем первое - суммы вырастают в разы.
- С 30.05.2025 за утечку персональных данных действуют оборотные штрафы - процент от годовой выручки.
- Наиболее частые нарушения на сайтах - отсутствие политики обработки ПДн и обработка данных без согласия пользователя.
- Проверить сайт на соответствие 152-ФЗ можно самостоятельно по чек-листу или через сервис аудита.
Какие нормы 152-ФЗ чаще всего нарушают сайты
Федеральный закон № 152-ФЗ «О персональных данных» устанавливает конкретные обязанности оператора - владельца сайта, который собирает данные посетителей через формы, куки или счётчики. На практике сайты чаще всего нарушают несколько статей закона.
Статья 9 требует получать согласие субъекта на обработку персональных данных до момента их сбора - то есть согласие должно стоять до отправки формы, а не после. Статья 12 касается трансграничной передачи данных - например, при использовании зарубежных сервисов аналитики или CRM. Статья 18 обязывает публиковать документ о политике обработки персональных данных в свободном доступе, а часть 5 этой статьи - уведомлять субъекта об источнике получения его данных, если они собраны не напрямую. Статья 18.1 требует принимать меры по обеспечению безопасности ПДн и подтверждать их выполнение. Статья 19 описывает требования к техническим средствам защиты. Статья 20 регулирует порядок обработки запросов субъектов персональных данных. Статья 22 обязывает операторов, подпадающих под требования закона, уведомлять Роскомнадзор о начале обработки персональных данных.
Штрафы за нарушение 152-ФЗ на сайте в 2026 году
Ответственность за нарушения в сфере обработки персональных данных установлена статьёй 13.11 КоАП РФ. Суммы штрафов зависят от конкретного состава и различаются для граждан, должностных лиц и юридических лиц. Ниже - суммы для юридических лиц, которые чаще всего указываются как оператор на сайте.
| Нарушение | Норма КоАП РФ | Штраф для юрлица |
|---|---|---|
| Отсутствие или ненадлежащая политика обработки ПДн | ч. 1 ст. 13.11 | 10 000 - 30 000 ₽ |
| Обработка персональных данных без согласия субъекта | ч. 2 ст. 13.11 | 60 000 - 100 000 ₽ |
| Повторное нарушение по ч. 2 ст. 13.11 | ч. 2.1 ст. 13.11 | 100 000 - 300 000 ₽ |
| Неуведомление РКН об утечке ПДн в течение 24 часов | ч. 3.2 ст. 13.11 | 100 000 - 150 000 ₽ |
| Нарушение требований локализации баз данных | ч. 8 ст. 13.11 | 1 000 000 - 6 000 000 ₽ |
| Повторное нарушение требований локализации | ч. 9 ст. 13.11 | 6 000 000 - 18 000 000 ₽ |
Отдельно с 30 мая 2025 года действуют оборотные штрафы за утечку персональных данных - их размер зависит не от фиксированной суммы, а от процента годовой выручки компании-нарушителя. Такой штраф применяется дополнительно к ответственности за само нарушение, если оно привело к утечке.
Почему сайты чаще всего нарушают закон
Большинство нарушений связано не с злым умыслом, а с тем, что сайт развивался постепенно - добавлялись формы, счётчики, виджеты обратной связи, а документы и настройки согласий не обновлялись следом. В результате на сайте может стоять форма подписки без чекбокса согласия, устаревшая политика без описания фактически используемых сервисов или подключённая зарубежная аналитика без указания в документах о трансграничной передаче.
Часто встречается и обратная ситуация - политика обработки ПДн есть, но она скопирована с другого сайта и не соответствует реальному набору данных, которые собирает компания. Формально документ есть, но при проверке несоответствие фактам расценивается как нарушение ст. 18 152-ФЗ.
Что проверить у себя на сайте
- Есть ли на сайте документ «Политика обработки персональных данных» и открыт ли он для просмотра без регистрации.
- Соответствует ли содержание политики реальному перечню собираемых данных и целям их обработки.
- Стоит ли чекбокс согласия на обработку ПДн перед отправкой каждой формы, а не после неё.
- Указано ли в документах использование зарубежных сервисов - аналитики, CRM, чатов, если они подключены.
- Подано ли уведомление в Роскомнадзор об обработке персональных данных, если оно требуется для вашей деятельности.
- Хранятся ли персональные данные российских пользователей на серверах, расположенных в России.
- Настроен ли на сайте раздел или форма для обработки запросов субъектов на удаление или изменение данных.
- Указан ли на сайте актуальный источник получения данных, если они собраны не напрямую от пользователя.
- Приняты ли и задокументированы организационные и технические меры защиты персональных данных.
Частые вопросы
Штраф назначают за каждый факт нарушения или один раз?
Штраф по ст. 13.11 КоАП РФ назначается за каждый выявленный состав нарушения. Если на сайте одновременно нет политики и отсутствует согласие на обработку данных, это два разных нарушения с разными суммами.
Может ли штраф прийти без предварительной проверки Роскомнадзором?
Штраф назначается по результатам проверки или на основании жалобы субъекта персональных данных. Основанием может стать как плановая проверка, так и обращение пользователя, который обнаружил нарушение на сайте.
Распространяется ли ответственность на ИП?
Да, статья 13.11 КоАП РФ предусматривает отдельные, как правило меньшие, суммы штрафов для должностных лиц и индивидуальных предпринимателей по сравнению с юридическими лицами.
Что считается утечкой персональных данных с точки зрения закона?
Утечкой считается любое неправомерное или случайное раскрытие персональных данных третьим лицам - от взлома базы данных до случайной публикации файла с контактами клиентов в открытом доступе.
Нужно ли обновлять политику при добавлении новой формы на сайт
Да, если новая форма собирает данные, не указанные в действующей политике, документ нужно актуализировать до момента запуска формы, иначе возникает несоответствие фактической обработке.
Проверить, какие из этих требований выполняются на вашем сайте, можно через форму аудита сайта на 152-ФЗ. Если нужно только разобраться, какие документы должны быть на сайте и как их оформить, посмотрите раздел документов по 152-ФЗ.