Штрафы за персональные данные на сайте в 2026: за что и сколько

Поводом редко становится абстрактный интерес к закону — обычно что-то конкретное: письмо от Роскомнадзора с требованием пояснений, жалоба посетителя сайта или разговор о штрафах, случайно услышанный от коллег по бизнесу. В этот момент хочется знать не то, что написано в 152-ФЗ, а что именно грозит конкретно этому сайту и сколько на это есть времени.

Правовая база одна для всех — ст. 13.11 КоАП РФ. С 30 мая 2025 года она действует в редакции Федерального закона от 30.11.2024 № 420-ФЗ, который расширил статью и заметно поднял суммы. Ниже — по порядку: какое нарушение на сайте под какую часть статьи подпадает, чем штраф для ИП отличается от штрафа для юрлица, когда включаются оборотные санкции и сколько времени есть на исправление.

Какое нарушение на сайте — какая часть статьи и штраф

Если на сайте есть форма — заявка, подписка, корзина — вы оператор персональных данных, и дальше уже не важно, ИП это или ООО. Подробно о том, как проверить это на своём сайте, — в статье «Как проверить сайт на соответствие 152-ФЗ самостоятельно». Здесь — что происходит, если нарушение найдут.

* Отдельная сумма для ИП в самой статье не выделена — по общему правилу КоАП (примечание к ст. 2.4) ИП отвечает в размере, установленном для должностного лица. ** Примечание к ст. 13.11 КоАП: по этой и большинству следующих частей (1.1, 8–18) ИП несёт ответственность как юридическое лицо, а не как должностное.

Первые четыре строки — то, с чем реально сталкивается почти любой сайт малого бизнеса: нет политики, нет согласия в форме, трекеры без согласия, не подано уведомление в РКН. Подробный разбор форм согласия — в статье «Как оформить согласие на обработку персональных данных на сайте», про cookie-баннер — в статье «Как правильно оформить cookie-баннер по 152-ФЗ», про уведомление в РКН — в статье «Уведомление в Роскомнадзор об обработке персональных данных». Последние две строки — про утечку, то есть про инцидент, а не про оформление документов, и суммы там уже другого порядка.

Почему сумма для ИП то совпадает с юрлицом, то нет

Путаница чаще всего в этом: кто-то читает про штраф 700 000 ₽ и уверен, что «это только для ООО», а ИП отделается копейками, как физлицо. На деле ИП не платит как физлицо — но и утверждение «ИП всегда платит как юрлицо» верно лишь для части нарушений.

Статья 13.11 КоАП устроена в три слоя:

1. Для части нарушений сумма для ИП прописана прямо в тексте статьи — как в строке про отсутствие политики (10 000–20 000 ₽ для ИП против 30 000–60 000 ₽ для юрлица). Здесь ИП платит меньше юрлица.
2. Для нарушений, где отдельной строки для ИП нет, действует общее правило КоАП: ИП отвечает в размере, установленном для должностного лица той же части. Это касается нарушений с согласием и основаниями обработки (ч. 1 и 2).
3. Для неподанного уведомления в РКН, утечек и других нарушений из частей 1.1 и 8–18 ИП прямо приравнен к юрлицу (примечание 1 к статье). Здесь разницы вообще нет — если у ИП утекла база клиентов, штраф считается по той же вилке, что и для ООО.

Гражданин в этой логике — самая мягкая категория, и к сайту компании или ИП она обычно не применяется: посетитель сайта может быть привлечён как гражданин, только если сам обрабатывает чужие данные не в рамках предпринимательской деятельности, что для владельца сайта не тот случай.

Оборотные штрафы за утечку: кого касаются на самом деле

Оборотный штраф — это не фиксированная сумма, а процент от годовой выручки компании (1–3%, но не менее 20 млн ₽ и не более 500 млн ₽). Из-за этой формулировки в интернете гуляет версия «за любую утечку теперь штрафуют миллионами от оборота» — это не так.

По действующей редакции статьи: первая утечка данных 1 000 человек и больше наказывается фиксированной суммой — от 3 до 15 млн ₽ для юрлица, в зависимости от того, сколько людей пострадало. Оборотный штраф (ч. 15 и ч. 18 статьи) наступает только при повторной утечке — то есть если компанию уже штрафовали за инцидент раньше, а он повторился.

Для сайта с формой заявки на несколько десятков обращений в месяц вероятность попасть в эти части статьи невелика: порог начинается от 1 000 пострадавших. Тема при этом остаётся рабочей — крупная утечка из CRM или базы клиентов доходит до такого масштаба быстрее, чем кажется, — но это отдельный сценарий от того, что обычно находится при проверке сайта: отсутствие политики, согласия или уведомления в РКН. Поэтому в таблице выше эти нарушения показаны отдельными строками, а не сложены в одну сумму «до N миллионов»: суд считает штраф по конкретной части статьи, а не по общей сумме всех находок сразу.

Как обычно начинается дело и сколько есть времени

Дело по ст. 13.11 КоАП чаще всего начинается одним из четырёх способов: плановая проверка Роскомнадзора по ежегодному плану, внеплановая проверка по жалобе (в том числе от посетителя сайта), результаты собственного мониторинга РКН или расследование после уже случившейся утечки. Протокол об административном правонарушении составляют сотрудники Роскомнадзора, а решение по делу выносит начальник территориального органа РКН или суд — конкретно зависит от части статьи и от того, кто нарушитель.

Срок давности привлечения к ответственности — один год с момента нарушения. Здесь есть нюанс, который стоит держать в голове: если нарушение длящееся — то есть оно не разовое действие, а состояние, которое существует, пока его не устранили (например, на сайте нет политики обработки ПД уже полгода) — год отсчитывается не от даты, когда это состояние возникло, а от дня, когда нарушение обнаружили. Рассчитывать, что старое упущение «сгорело по сроку», обычно не стоит: оно продолжает существовать на сайте прямо сейчас, и именно с момента обнаружения начнётся отсчёт года.

Повторное нарушение: суммы растут в разы

У части нарушений в статье есть отдельная, более строгая версия для повторного случая — цифры в её номере обычно с точкой: ч. 1.1 (повтор ч. 1), ч. 2.1 (повтор ч. 2), ч. 5.1, ч. 9, ч. 15, ч. 18. Логика одна и та же: то же самое нарушение, найденное второй раз после того, как за первый уже штрафовали, — это уже не «недосмотр», а систематическая практика, и суд оценивает её строже.

На практике это означает: устранить находку наполовину — например, поставить cookie-баннер, но не убрать предзаполненную галочку согласия в форме заявки — не защищает от повторного штрафа при следующей проверке. Формально нарушение может квалифицироваться как то же самое, только уже во второй раз.

Что закрыть в первую очередь

По данным проверок vlip.site (14 037 сайтов, апрель–сентябрь 2026), хотя бы одно нарушение находится у 95,5% сайтов, в среднем — 3,5 на сайт. Если ориентироваться на частоту, а не на алфавитный порядок статьи, разумный порядок такой:

1. Трекеры до согласия и cookie-баннер — самое частое: у 53,7% сайтов Метрика или похожий счётчик грузится до того, как посетитель на что-то нажал, у 36,3% нет самого баннера с запросом согласия. Это же самое дешёвое по времени исправление — отложить загрузку скрипта до нажатия «Принять».
2. Политика обработки ПД — у 20,1% сайтов её нет вообще, ещё у 32,3% она есть, но не обновлена под действующую редакцию закона. Обновление даты и реквизитов в существующем документе — вопрос часа, а не юридического проекта.
3. Согласие в формах заявки — у 30,1% сайтов его нет вовсе; отдельно часто встречается предзаполненный чекбокс, который по закону согласием не считается.
4. Уведомление в РКН — отдельной статистики по регистрации в реестре операторов у сервиса нет, но на практике сайт без этой записи почти всегда совпадает с сайтом без политики обработки ПД: оба означают, что с Роскомнадзором сайт формально не взаимодействовал вообще.
5. Процедура на случай утечки — у 27,6% сайтов в политике нет ни слова про порядок действий при инциденте, и внутри компании никто не в курсе про сроки 24 и 72 часа. Это не требует технических изменений — только прописать порядок и назначить ответственного.

Как проверить, что из этого есть на вашем сайте

Пройти по пунктам вручную можно и самостоятельно — чек-лист с точными действиями есть в статье «Как проверить сайт на соответствие 152-ФЗ самостоятельно». Быстрее — оставить vlip.site проверить сайт по адресу: сервис за пару минут проходит по этим же пунктам и показывает отчёт с найденными нарушениями и нормами, на которые они опираются. Дальше на каждый сайт можно оставить бесплатную заявку эксперту, который оценит объём и стоимость работ по конкретным находкам — без обязательств и без готового решения «под ключ», которое не будет учитывать особенности именно вашего сайта.