Штрафы за нарушение 152-ФЗ в 2026 году: за что и сколько

Сколько составляют штрафы по статье 13.11 КоАП

Статья 13.11 КоАП РФ — основной инструмент Роскомнадзора и прокуратуры. В 2024 году её серьёзно ужесточили: повышены минимальные пороги и введена ответственность за утечки.

Условные диапазоны, актуальные на 2026 год:

• Обработка персональных данных без согласия субъекта — до 700 000 ₽ для юрлиц (ч. 1 ст. 13.11).
• Неопубликованная или некорректная политика обработки ПДн — до 60 000 ₽ для юрлиц (ч. 3).
• Сбор персональных данных через сайт без локализации в РФ — до 6 млн ₽ для юрлиц (ч. 8).
• Утечка персональных данных (1 000 — 10 000 субъектов) — до 5 млн ₽ (ч. 13).
• Утечка свыше 100 000 субъектов или повторная утечка — оборотный штраф до 3% годовой выручки, но не менее 25 млн ₽.
• Несвоевременное уведомление Роскомнадзора об утечке (24 / 72 часа) — отдельный штраф до 3 млн ₽.

За что чаще всего штрафуют небольшие сайты

Региональные клиники, частные мастера, школы и интернет-магазины редко становятся жертвой оборотных штрафов. Но «базовые» нарушения по частям 1–4 ст. 13.11 КоАП фиксируются массово, и в 2025–2026 годах Роскомнадзор стал активно использовать предостережения и проверки именно по сайтам.

Самые частые причины протоколов:

• Нет ссылки на политику обработки ПДн в подвале сайта или на формах.
• Политика есть, но без обязательных пунктов 152-ФЗ: цели, категории субъектов, сроки хранения, способы защиты.
• Формы заявок и обратной связи без чекбокса согласия на обработку ПДн.
• Нет отдельного согласия на маркетинговые рассылки и звонки (нарушение 38-ФЗ и 152-ФЗ).
• Cookie-баннер ставит маркетинговые куки до явного согласия пользователя.
• Используются зарубежные сервисы аналитики (например, на серверах в недружественных странах) без локализации.

Как Роскомнадзор находит нарушения

У ведомства есть автоматизированные системы мониторинга, плюс жалобы пользователей через личный кабинет на сайте РКН. Один обоснованный отзыв уже становится поводом для предостережения, а отсутствие реакции — для протокола.

Дополнительно операторы попадают в поле зрения через реестр операторов ПДн: если компания собирает данные на сайте, но не подавала уведомление в Роскомнадзор, это видно почти сразу.

Как избежать штрафа: что нужно сделать в первую очередь

Структурно «закрыть» сайт по 152-ФЗ можно за один-два рабочих дня, если идти по чек-листу:

• Опубликовать политику обработки ПДн (со всеми обязательными разделами).
• Добавить чекбоксы согласия на обработку ПДн ко всем формам — заявка, обратный звонок, форма онлайн-чата.
• Завести отдельное согласие на рассылки/рекламные звонки, не объединяя его с согласием на обработку.
• Установить cookie-баннер с реальным «согласен / отклонить» и блокировкой маркетинговых cookies до согласия.
• Подать уведомление в реестр операторов персональных данных через личный кабинет на сайте Роскомнадзора.
• Включить регулярный аудит сайта — после каждого изменения форм или интеграций.