ШТРАФЫ ЗА ПЕРСОНАЛЬНЫЕ ДАННЫЕ НА САЙТЕ В 2026 ГОДУ

На сайтах часто встречается попытка посчитать риск так: нет уведомления Роскомнадзора плюс нет политики плюс нет чекбокса плюс подключена аналитика — значит можно просто сложить максимальные суммы. Такой расчёт юридически слабый. Для каждого эпизода нужно установить факты, обязанность оператора, применимую норму и субъект ответственности.

Одна визуальная ошибка также может иметь разные последствия в зависимости от ситуации. Например, отсутствие отдельного чекбокса само по себе не говорит, какой именно состав КоАП будет применён. Сначала нужно понять, требовалось ли согласие как основание обработки, было ли оно получено другим способом и требуется ли для конкретной обработки именно письменная форма.

Если задача — быстро найти публичные проблемы, сначала проверьте формы, документы, аналитику и сведения Роскомнадзора, а затем вручную разберите правовое основание каждого найденного риска.

В таблице нет отдельной строки «нет галочки в форме = 300–700 тысяч рублей». Часть 2 статьи 13.11 предусматривает ответственность за отсутствие письменного согласия именно в тех случаях, когда такая форма согласия обязательна по закону, либо за нарушение требований к составу сведений такого письменного согласия. Для обычной заявки на сайте этот состав нельзя применять автоматически.

Подробнее о правовом основании и механике подтверждения я разбираю в материалах «Согласие на обработку персональных данных на сайте» и «Формы и чекбоксы персональных данных».

Если оператор обязан уведомить Роскомнадзор о намерении осуществлять обработку персональных данных и не делает этого либо нарушает срок, для юридического лица предусмотрен штраф от 100 000 до 300 000 рублей. Для должностного лица — от 30 000 до 50 000 рублей.

Но сначала нужно определить, действительно ли оператор относится к тем, кто обязан подавать уведомление. Статья 22 Федерального закона № 152-ФЗ содержит ограниченный перечень исключений. Поэтому отсутствие записи в реестре само по себе требует проверки оснований, а не автоматического вывода о нарушении.

Отдельно я разобрал процедуру в статье «Уведомление Роскомнадзора об обработке персональных данных», а поиск записи — в материале «Реестр операторов персональных данных».

Часть 3 статьи 13.11 КоАП предусматривает ответственность за невыполнение обязанности опубликовать либо иным образом обеспечить неограниченный доступ к документу, определяющему политику оператора в отношении обработки персональных данных, или к сведениям о реализуемых требованиях к защите.

Для юридического лица штраф составляет от 30 000 до 60 000 рублей, для индивидуального предпринимателя — от 10 000 до 20 000 рублей, для должностного лица — от 6 000 до 12 000 рублей.

На практике на сайте стоит проверять не только существование страницы, но и доступность ссылки, соответствие политики реальным формам, целям, аналитике и другим процессам. Подробная структура разобрана в статье «Политика обработки персональных данных для сайта».

В интернете часто встречается утверждение, что отсутствие чекбокса согласия автоматически означает штраф до 700 000 рублей. Такой вывод слишком грубый. Сумма 300 000–700 000 рублей для юридических лиц по части 2 статьи 13.11 связана с письменным согласием в случаях, когда законодательство требует получить именно его, либо с нарушением требований к составу сведений такого письменного согласия.

При обычной веб-форме нужно сначала ответить на другие вопросы: какие данные собираются, для какой цели, есть ли законное основание обработки, используется ли согласие, соответствует ли оно требованиям статьи 9 Федерального закона № 152-ФЗ и может ли оператор доказать факт его получения.

Если обработка ведётся без предусмотренного законом основания или оказывается несовместимой с заявленной целью, может применяться общий состав части 1 статьи 13.11: для юридического лица от 150 000 до 300 000 рублей.

При сборе персональных данных граждан Российской Федерации, в том числе через интернет, закон устанавливает требования к использованию баз данных, находящихся на территории России. За невыполнение этой обязанности часть 8 статьи 13.11 КоАП предусматривает для юридического лица штраф от 1 000 000 до 6 000 000 рублей, для должностного лица — от 100 000 до 200 000 рублей.

При повторном нарушении суммы ещё выше: для юридического лица от 6 000 000 до 18 000 000 рублей. Для частей 8–18 статьи 13.11 индивидуальные предприниматели по примечанию несут ответственность как юридические лица.

Поэтому владельцу сайта важно понимать не только, где расположен сам сайт, но и куда уходят данные после отправки формы: в систему управления клиентами, таблицу, почтовый сервис, облачное хранилище, мессенджер или другую информационную систему.

Эту тему отдельно раскрываем в статье «Локализация персональных данных в России». Если данные передаются за пределы страны, дополнительно нужно проверить трансграничную передачу персональных данных.

Часть 11 статьи 13.11 устанавливает ответственность за невыполнение или несвоевременное выполнение обязанности уведомить Роскомнадзор об инциденте, связанном с неправомерной или случайной передачей, предоставлением, распространением или доступом к персональным данным, если это повлекло нарушение прав субъектов.

Для юридического лица штраф по этой части составляет от 1 000 000 до 3 000 000 рублей. Для должностного лица — от 400 000 до 800 000 рублей.

Отдельно части 12–14 устанавливают ответственность уже за саму неправомерную передачу данных. Например, при утечке данных от 1 000 до 10 000 субъектов либо от 10 000 до 100 000 идентификаторов штраф для юридического лица составляет от 3 000 000 до 5 000 000 рублей. Чем больше масштаб инцидента, тем выше диапазон.

Повторные крупные утечки могут привести к оборотным штрафам. Это отдельная категория риска, которая требует технической и организационной защиты, а не только корректных текстов на сайте.

В некоторых частях статьи 13.11 индивидуальный предприниматель указан отдельной категорией. Например, по части 3 за отсутствие публичного доступа к политике диапазон для ИП составляет 10 000–20 000 рублей.

Для частей 1.1 и 8–18 примечание к статье прямо устанавливает: индивидуальные предприниматели несут административную ответственность как юридические лица. Поэтому по локализации, уведомлению Роскомнадзора о намерении обрабатывать данные, инцидентам и крупным утечкам нельзя автоматически использовать более низкий диапазон для должностных лиц.

Из-за этого при оценке риска для ИП всегда нужно смотреть конкретную часть статьи, а не универсальную таблицу из интернета.