Штрафы по 152-ФЗ для ИП и ООО: таблица 2026 года
Собрали все штрафы за нарушения в области персональных данных по статье 13.11 КоАП — от формы без согласия до утечек — и показали, какие ошибки на сайте к ним ведут.
Коротко
- Все штрафы по 152-ФЗ собраны в ст. 13.11 КоАП. С 30 мая 2025 года в ней 18 частей, а суммы заметно выросли.
- Самые дорогие ошибки сайта — сбор данных с использованием зарубежных баз (1–6 млн ₽) и обработка без обязательного согласия (300–700 тыс. ₽).
- По частям 1.1 и 8–18 индивидуальные предприниматели отвечают так же, как компании.
- За утечки — до 15–20 млн ₽, а за повторные — оборотные штрафы от 1 до 3% выручки.
Таблица штрафов за нарушения на сайте и в работе с данными
Суммы — по тексту ст. 13.11 КоАП на КонсультантПлюс.
| Нарушение | Часть ст. 13.11 | Компания | ИП |
|---|---|---|---|
| Обработка данных не по закону или не для заявленных целей | ч. 1 | 150–300 тыс. ₽ | 50–100 тыс. ₽ (как должностное лицо) |
| То же повторно | ч. 1.1 | 300–500 тыс. ₽ | как компания |
| Обработка без обязательного письменного согласия или с неполным согласием | ч. 2 | 300–700 тыс. ₽ | 100–300 тыс. ₽ (как должностное лицо) |
| Не опубликована политика обработки данных | ч. 3 | 30–60 тыс. ₽ | 10–20 тыс. ₽ |
| Не дали человеку сведения о том, как обрабатываются его данные | ч. 4 | 40–80 тыс. ₽ | 20–30 тыс. ₽ |
| Не исполнили в срок требование уточнить, заблокировать или удалить данные | ч. 5 | 50–90 тыс. ₽ | 20–40 тыс. ₽ |
| Сбор данных без использования баз в России (локализация) | ч. 8 | 1–6 млн ₽ | как компания |
| То же повторно | ч. 9 | 6–18 млн ₽ | как компания |
| Не подано или поздно подано уведомление в Роскомнадзор об обработке данных | ч. 10 | 100–300 тыс. ₽ | как компания |
Для ИП в частях 1 и 2 закон не называет отдельных сумм, поэтому действует общее правило КоАП: предприниматель отвечает как должностное лицо. В частях 1.1 и 8–18 прямо сказано, что ИП отвечает как юридическое лицо (примечание 1 к ст. 13.11).
Какие штрафы грозят за утечку персональных данных?
С 30 мая 2025 года в КоАП появились отдельные составы за утечки. Для коммерческих компаний и ИП:
| Что случилось | Часть ст. 13.11 | Штраф |
|---|---|---|
| Не сообщили в Роскомнадзор об утечке | ч. 11 | 1–3 млн ₽ |
| Утекли данные 1–10 тыс. человек (или 10–100 тыс. идентификаторов) | ч. 12 | 3–5 млн ₽ |
| Утекли данные 10–100 тыс. человек (или 100 тыс. – 1 млн идентификаторов) | ч. 13 | 5–10 млн ₽ |
| Утекли данные более 100 тыс. человек (или более 1 млн идентификаторов) | ч. 14 | 10–15 млн ₽ |
| Утекли специальные категории данных — например, о здоровье | ч. 16 | 10–15 млн ₽ |
| Утекли биометрические данные | ч. 17 | 15–20 млн ₽ |
| Повторная утечка по ч. 12–14 | ч. 15 | 1–3% выручки, но не менее 20 млн и не более 500 млн ₽ |
| Повторная утечка по ч. 16 или 17 | ч. 18 | 1–3% выручки, но не менее 25 млн и не более 500 млн ₽ |
Обратите внимание: для специальных категорий (ч. 16) порога по числу людей нет. Для клиник, стоматологий и других, кто работает с данными о здоровье, даже небольшая утечка стоит дорого — подробнее в статье согласие пациента и сайт клиники.
Кто и как отвечает?
- Компании — по суммам для юридических лиц.
- ИП — как юрлица в частях 1.1 и 8–18, в частях 3–5 — по своим отдельным суммам, в частях 1 и 2 — как должностные лица.
- Самозанятые без статуса ИП — как граждане: суммы для них ниже, но требования к обработке данных те же.
- Директор и сотрудники — как должностные лица по частям 1–9. В частях 10–18 под должностным лицом закон понимает только сотрудников государственных и муниципальных органов и некоммерческих организаций (примечание 2), поэтому руководителя коммерческой компании по ним не штрафуют — штраф платит сама компания.
Какие ошибки на сайте ведут к этим штрафам?
| Ошибка на сайте | Чем грозит |
|---|---|
| Google Analytics, шрифты и капча Google, зарубежные виджеты | ч. 8 — локализация, 1–6 млн ₽ |
| Форма без отдельного согласия | ч. 2 — 300–700 тыс. ₽ |
| Нет политики обработки данных или она не опубликована | ч. 3 — 30–60 тыс. ₽ |
| Не подано уведомление в Роскомнадзор | ч. 10 — 100–300 тыс. ₽ |
| Заявки хранятся в открытой таблице или почте, к которой есть доступ у посторонних | риск утечки, ч. 11–16 |
Разбор по каждому пункту:
- Зарубежные сервисы — в статьях штраф за Google Analytics на сайте и Google Fonts и reCAPTCHA.
- Форма без согласия — в статье согласие на обработку данных в форме сайта.
- Политика — в материале что должно быть в политике.
- Уведомление — в инструкции по уведомлению Роскомнадзора.
- Сайт на конструкторе — частые ошибки разобрали в статье сайт на Tilda и 152-ФЗ.
Как обычно начинается проверка?
Чаще всего — с жалобы: недовольный клиент, бывший сотрудник, конкурент. Роскомнадзор также проводит мониторинг сайтов. Размер бизнеса значения не имеет: по многим составам штрафы для ИП такие же, как для компаний.
Можно ли получить предупреждение вместо штрафа?
В самой ст. 13.11 предупреждения как наказания нет — только штрафы. В КоАП есть общее правило ст. 4.1.1 о замене штрафа предупреждением для малого бизнеса при первом нарушении, но оно действует не для всех составов и не во всех ситуациях. Рассчитывать на него не стоит: исправить сайт заранее дешевле.
Частые вопросы
Самозанятым тоже грозят эти штрафы?
Да, но самозанятые без статуса ИП отвечают как граждане, и суммы для них ниже, чем для компаний и ИП. Требования к обработке данных на сайте те же.
Можно ли получить несколько штрафов сразу?
Да. За разные нарушения — например, отсутствие политики, форму без согласия и сбор данных за рубежом — штрафы назначаются отдельно и складываются.
Штрафуют ли директора лично?
По частям 1–9 — да, как должностное лицо, отдельно от компании. По частям 10–18 (уведомление, утечки) для коммерческих компаний штраф платит только организация: должностными лицами там считаются сотрудники госорганов и НКО.
Если сайт взломали и данные утекли — это тоже штраф?
Утечка — это неправомерная передача данных, даже если её устроили злоумышленники. Штрафы ч. 12–14 начинаются с 1 000 человек, а для данных о здоровье порога нет. Отдельно наказывается молчание: о такой утечке нужно сообщить в Роскомнадзор, иначе — ч. 11, 1–3 млн ₽.
Что такое оборотный штраф?
Это штраф в процентах от выручки за прошлый год: от 1 до 3%, но не меньше 20 или 25 млн ₽ и не больше 500 млн ₽. Он применяется к повторным утечкам — для тех, кого уже наказывали за утечку раньше.
Как понять, есть ли нарушения на моём сайте?
Начните с автоматической проверки нашим ботом: он найдёт зарубежные сервисы, формы без согласия, отсутствие политики и cookie-уведомления. Нужен ли сайту сам баннер, разобрали в статье нужен ли cookie-баннер.
Сколько стоит исправление?
Исправление сайта по 152-ФЗ — от 9 900 ₽, обычно за один рабочий день после получения доступа. Сайт до 10 форм — 19 900 ₽. Цену фиксируем заранее.
Итог
Штрафы по 152-ФЗ давно перестали быть символическими: форма без согласия стоит до 700 тыс. ₽, сбор данных за рубежом — до 6 млн ₽, а утечка данных о здоровье — до 15 млн ₽. При этом самые частые нарушения видно снаружи и исправляются быстро. Исправим сайт по 152-ФЗ и покажем результат в отчёте «было — стало». Технические исправления снижают риски, но не заменяют юридическую оценку всех процессов компании.
Источники
- КоАП РФ, ст. 13.11 — КонсультантПлюс
- Федеральный закон № 152-ФЗ «О персональных данных» — КонсультантПлюс