Коротко: В 2026 году штрафы за персональные данные достигают миллионов рублей: за обработку без согласия – до 300 000 ₽ для юрлиц, за утечки – до 20 млн ₽ (по числу пострадавших и виду данных), а за повторную утечку – оборотный штраф от 20 до 500 млн ₽. За незаконный оборот данных возможна и уголовная ответственность.
Штраф за персональные данные – одна из самых частых причин обращения к юристам со стороны владельцев сайтов и бизнеса. И это неудивительно: законодательство о персональных данных в России за последние два года менялось кардинально, а суммы наказаний выросли в разы. Если раньше нарушение 152-ФЗ «О персональных данных» чаще всего обходилось в 5–10 тысяч рублей, то теперь счёт идёт на миллионы, а в некоторых случаях наступает даже уголовная ответственность.
В этой статье разберём, какие штрафы за персональные данные действуют в 2026 году, за что именно наказывают бизнес чаще всего, и как избежать претензий со стороны Роскомнадзора. Материал будет полезен директорам, владельцам сайтов, маркетологам и всем, кто так или иначе собирает данные клиентов – от формы обратной связи до сложных CRM-систем.
Что изменилось в законодательстве о персональных данных к 2026 году
Прежде чем переходить к конкретным суммам штрафов, важно понять контекст. За последние несколько лет в 152-ФЗ и КоАП внесли столько изменений, что даже юристы иногда путаются в актуальных редакциях.
Ключевые изменения последних лет
Ужесточение ответственности за утечки (420-ФЗ). Самый резонансный закон, который вступил в силу 30 мая 2025 года. Именно он ввёл оборотные штрафы за утечки персональных данных – раньше таких сумм в российском праве практически не было. Теперь за повторную утечку компания может заплатить до полумиллиарда рублей.
Новая уголовная статья 272.1 УК РФ. Действует с 11 декабря 2024 года. Раньше за незаконный оборот персональных данных привлекали по «общей» статье 137 УК, но она касалась скорее сведений о частной жизни. Теперь появилась отдельная статья именно за незаконное использование, передачу или сбор компьютерной информации с персональными данными.
Cookie и персональные данные. Прямой нормы, что cookie всегда являются персональными данными, нет. Если cookie позволяют определить посетителя (аналитика, реклама), на них распространяется 152-ФЗ (п. 1 ст. 3): нужно законное основание обработки, надёжнее – согласие кнопкой «Принять», нужна политика обработки и уведомление Роскомнадзора.
Биометрия. Запрет отказывать в услуге из-за отказа от сдачи биометрии, если по закону такое согласие не обязательно, действует с 1 сентября 2022 года (ч. 3 ст. 11 152-ФЗ). В 2025 году изменился перечень случаев, когда биометрию можно обрабатывать без согласия (ч. 2 ст. 11).
Почему суммы штрафов выросли так сильно
Государство поставило задачу защитить персональные данные граждан на фоне участившихся крупных утечек. В ответ на участившиеся утечки законодатель пошёл по пути радикального ужесточения: теперь наказание должно быть не «символическим», а реально ощутимым для бизнеса.
Полная таблица штрафов за персональные данные в 2026 году
Для наглядности сведём основные составы правонарушений и наказания в таблицу. Суммы – по действующей редакции ст. 13.11 КоАП (с изменениями 420-ФЗ, действуют с 30 мая 2025 года). ИП по частям 1–3 отвечает как должностное лицо или по своим суммам, а по частям 1.1 и 8–18 – как юридическое лицо.
Штрафы по статье 13.11 КоАП РФ (основные составы)
| Нарушение | Кто наказывается | Размер штрафа |
|---|---|---|
| Обработка ПДн без законного основания – в том числе форма заявки и cookie без согласия (ч. 1 ст. 13.11) | Должностные лица и ИП | 50 000 – 100 000 ₽ |
| Юридические лица | 150 000 – 300 000 ₽ | |
| То же повторно (ч. 1.1 ст. 13.11) | Должностные лица | 100 000 – 200 000 ₽ |
| Юридические лица и ИП | 300 000 – 500 000 ₽ | |
| Обработка без согласия в письменной форме, когда оно обязательно – например, данные о здоровье (ч. 2 ст. 13.11) | Должностные лица и ИП | 100 000 – 300 000 ₽ |
| Юридические лица | 300 000 – 700 000 ₽ | |
| Не опубликована политика обработки ПДн (ч. 3 ст. 13.11) | Должностные лица | 6 000 – 12 000 ₽ |
| ИП | 10 000 – 20 000 ₽ | |
| Юридические лица | 30 000 – 60 000 ₽ | |
| Нарушение локализации – данные россиян в зарубежных базах (ч. 8 ст. 13.11) | Юридические лица и ИП | 1 000 000 – 6 000 000 ₽ |
| Не подано уведомление в Роскомнадзор (ч. 10 ст. 13.11) | Юридические лица и ИП | 100 000 – 300 000 ₽ |
| Не предоставлена субъекту информация об обработке его данных (ч. 4 ст. 13.11) | Юридические лица | 40 000 – 80 000 ₽ |
| Не выполнено в срок требование субъекта или РКН об уточнении, блокировании, уничтожении данных (ч. 5 ст. 13.11) | Юридические лица | 50 000 – 90 000 ₽ |
| Не уведомлён Роскомнадзор об утечке (ч. 11 ст. 13.11) | Юридические лица и ИП | 1 000 000 – 3 000 000 ₽ |
Штрафы за утечки персональных данных (ч. 12–18 ст. 13.11 КоАП)
Здесь ситуация принципиально иная. С 30 мая 2025 года действуют следующие правила:
Суммы – для юридических лиц.
| Ситуация | Размер штрафа |
|---|---|
| Утечка данных от 1 тыс. до 10 тыс. субъектов (ч. 12) | 3–5 млн ₽ |
| Утечка данных от 10 тыс. до 100 тыс. субъектов (ч. 13) | 5–10 млн ₽ |
| Утечка данных более 100 тыс. субъектов (ч. 14) | 10–15 млн ₽ |
| Утечка специальных категорий данных (ч. 16) | 10–15 млн ₽ |
| Утечка биометрических данных (ч. 17) | 15–20 млн ₽ |
| Повторная утечка (ч. 15, оборотный штраф) | 1–3% годовой выручки, но не менее 20 млн ₽ и не более 500 млн ₽ |
| Повторная утечка спецкатегорий или биометрии (ч. 18) | 1–3% годовой выручки, но не менее 25 млн ₽ и не более 500 млн ₽ |
Оборотный штраф – это действительно серьёзный риск для бизнеса. Пример: годовая выручка компании – 1 миллиард рублей. Повторная утечка – это 1–3% выручки, то есть 10–30 миллионов, но не меньше 20 миллионов: значит, 20–30 миллионов рублей. Потолок в 500 миллионов касается компаний с выручкой от 17 миллиардов.
Уголовная ответственность за персональные данные
С 11 декабря 2024 года действует статья 272.1 УК РФ. Она наступает за незаконное использование, передачу, сбор или хранение компьютерной информации с персональными данными, полученной незаконным путём.
| Часть статьи | Наказание |
|---|---|
| Часть 1 (основной состав) | Штраф до 300 000 ₽, либо принудительные работы, либо лишение свободы до 4 лет |
| Часть 2 (данные несовершеннолетних, специальные категории или биометрия) | Штраф до 700 000 ₽, либо принудительные работы, либо лишение свободы до 5 лет |
| Часть 3 (из корыстной заинтересованности, с крупным ущербом, группой лиц по предварительному сговору, с использованием служебного положения) | Штраф до 1 000 000 ₽, либо лишение свободы до 6 лет |
| Часть 4 (с трансграничной передачей данных или перемещением носителей за границу) | Лишение свободы до 8 лет со штрафом до 2 000 000 ₽ |
| Часть 5 (тяжкие последствия или организованная группа) | Лишение свободы до 10 лет со штрафом до 3 000 000 ₽ |
| Часть 6 (создание или обеспечение работы ресурса для хранения и распространения незаконно полученных данных) | Штраф до 700 000 ₽, либо принудительные работы до 5 лет, либо лишение свободы до 5 лет |
Также не стоит забывать про статью 137 УК РФ – она никуда не делась. Она применяется, если речь идёт о незаконном сборе или распространении сведений о частной жизни.
Штраф за персональные данные: разбор по видам нарушений
Теперь разберём самые частые ситуации, за которые штрафуют бизнес. Понимание этих кейсов поможет избежать претензий.
Отсутствие согласия на обработку персональных данных
Это самое распространённое нарушение. Многие владельцы сайтов считают, что достаточно поставить галочку «Я согласен с политикой конфиденциальности» – и всё. Но по закону согласие должно быть:
- Конкретным – нельзя написать «соглашаюсь на все виды обработки»
- Предметным – должно быть понятно, какие данные и для чего обрабатываются
- Информированным – человек должен понимать, на что соглашается
- Сознательным и однозначным – без двусмысленностей
Отдельная история – согласие на распространение персональных данных (ст. 10.1 152-ФЗ). Оно оформляется отдельно от обычного согласия, и человек вправе установить запреты на передачу данных третьим лицам.
Нарушение сроков уничтожения данных
По статье 21 152-ФЗ, после отзыва согласия оператор обязан уничтожить данные в течение 30 дней. Сроки зависят от запроса клиента: если он отозвал согласие – 30 дней; если требует прекратить обработку – 10 рабочих дней (ч. 5.1 ст. 21); если требует уничтожить данные, которые не нужны или получены незаконно, – 7 рабочих дней (ч. 3 ст. 20).
Проблема в том, что многие компании физически не могут удалить данные из бэкапов и резервных копий. Но закон есть закон – за нарушение сроков уничтожения предусмотрен отдельный штраф.
Неправильная работа с cookie-файлами
Если cookie позволяют определить посетителя (аналитика, реклама), они относятся к персональным данным (п. 1 ст. 3 152-ФЗ). Это значит, что:
- Нужно получать согласие на обработку cookie
- Согласие должно быть активным (галочка), а не «молчаливым» (продолжая пользоваться сайтом, вы соглашаетесь)
- Нужно уведомить Роскомнадзор о начале обработки данных
Особенно это касается передачи данных рекламным партнёрам (Google Analytics, Яндекс.Метрика, Facebook/Instagram – запрещены в РФ, но тем не менее). Для таких случаев рекомендуется использовать активное согласие с явно выраженной галочкой.
Утечки персональных данных
Если у вас украли базу клиентов, оператора наказывают, когда утечка стала следствием его действий или бездействия – например, не были приняты меры защиты (ч. 12–14 ст. 13.11 КоАП). Если вы докажете, что приняли все зависящие от вас меры, это основание для защиты (ч. 2 ст. 2.1 КоАП).
При утечке действует жёсткий регламент уведомления Роскомнадзора:
- 24 часа – на первичное уведомление
- 72 часа – на детальное уведомление с результатами внутреннего расследования
За несоблюдение сроков – отдельный штраф.
Передача данных за границу
Многие российские компании используют зарубежные облачные сервисы (Google Workspace, Microsoft 365, Amazon Web Services). Формально это трансграничная передача персональных данных. И здесь есть важный нюанс.
Роскомнадзор утверждает перечень стран с «адекватной защитой» персональных данных; действующий перечень – приказ РКН от 16.09.2026 № 253 (с 30.10.2026). Состав стран сверяйте с текстом приказа; США в нём нет. С июля 2026 года (265-ФЗ) участие в Конвенции Совета Европы само по себе не гарантирует места в перечне.
Это значит, что передача данных в американские или европейские облака требует уведомления Роскомнадзора – до начала передачи и в любую страну. Для стран из перечня передачу можно начать сразу после уведомления, а для стран вне перечня (например, США) – не раньше чем через 10 рабочих дней: Роскомнадзор рассматривает уведомление и может запретить передачу. Отдельного согласия субъекта на трансграничную передачу закон не требует. На практике это создаёт дополнительную нагрузку для бизнеса, но таковы требования закона.
Как избежать штрафа за персональные данные: практические рекомендации
Штраф за персональные данные – это не фатально, если подойти к вопросу системно. Вот минимальный набор действий, который поможет защитить бизнес.
Аудит сайта и внутренних процессов
Начните с простого: проверьте, какие формы сбора данных есть на вашем сайте. Каждая форма должна сопровождаться:
- Текстом согласия на обработку персональных данных
- Ссылкой на политику конфиденциальности
- Активной галочкой (не предустановленной)
Назначение ответственного за обработку ПДн
Любая организация-оператор обязана назначить ответственного за организацию обработки персональных данных (ч. 1 ст. 22.1 152-ФЗ); для ИП такой обязанности нет.
Разработка документов
У вас должны быть:
- Политика обработки персональных данных
- Согласие на обработку ПДн (отдельно для разных целей)
- Согласие на распространение ПДн (если публикуете данные людей – отзывы, фото)
- Приказ о назначении ответственного за обработку
Обучение сотрудников
Большинство утечек происходит по вине персонала: то сотрудник перешлёт базу на личную почту, то оставит ноутбук в метро. Проводите регулярное обучение и контролируйте доступ к данным.
Технические меры защиты
Наличие мер защиты – основание для защиты от ответственности, если вы докажете, что приняли все зависящие от вас меры (ч. 2 ст. 2.1 КоАП). К таким мерам относятся:
- Шифрование баз данных
- Разграничение прав доступа
- Антивирусная защита
- Резервное копирование
- Контроль целостности
Что делать, если штраф уже выписали
Если Роскомнадзор или суд уже вынесли постановление о назначении штрафа, не паникуйте. Есть несколько законных способов снизить наказание.
Обжалование постановления
На обжалование постановления по делу об административном правонарушении даётся 10 дней с момента получения копии. Если вы пропустили срок – его можно восстановить через суд.
Смягчающие обстоятельства
Для малого бизнеса при первом нарушении, выявленном при контроле, штраф может быть заменён предупреждением (ст. 4.1.1 КоАП; в эту статью с 03.11.2026 вносятся изменения, поэтому проверяйте действующую редакцию). Штраф ниже минимального размера возможен по ч. 2.2 и 3.2 ст. 4.1 КоАП.
Смягчающими обстоятельствами могут быть признаны, например, добровольное устранение нарушения и сложное материальное положение (ст. 4.2 КоАП).
Малозначительность
В некоторых случаях суд может освободить от ответственности в связи с малозначительностью (ст. 2.9 КоАП). Но с ужесточением законодательства суды всё реже применяют эту норму к нарушениям в сфере персональных данных.
Частые вопросы о штрафах за персональные данные
Могут ли оштрафовать ИП как юридическое лицо?
Частично. По частям 1, 2 и 3 ст. 13.11 КоАП ИП отвечает как должностное лицо или по своим суммам: например, за обработку без законного основания – 50–100 тысяч рублей. А по частям 1.1 и 8–18 – как юридическое лицо: за неподанное уведомление в Роскомнадзор – 100–300 тысяч, за хранение данных россиян за рубежом – 1–6 миллионов, за утечки – те же миллионы, что и у организаций.
Что будет, если не уведомить Роскомнадзор о начале обработки данных?
Это отдельный состав правонарушения (ч. 10 ст. 13.11 КоАП). Штраф для организаций и ИП – от 100 000 до 300 000 рублей. Уведомление – не разрешение, ответа ждать не нужно, но без него оператор нарушает закон с первого дня обработки, а проверить реестр Роскомнадзора может кто угодно.
Как долго хранить согласия на обработку данных?
Согласие на обработку персональных данных как документ нужно хранить 3 года с момента истечения срока действия или отзыва (перечень, приказ Росархива № 236). Документы по личному составу (архив) хранятся дольше: 50 лет, если оформлены после 1.01.2003, и 75 лет – если раньше.
Нужно ли согласие на обработку данных несовершеннолетних?
Да, но есть нюансы. 152-ФЗ прямо не фиксирует возраст, с которого ребёнок может давать согласие самостоятельно. По аналогии со ст. 28 и 26 ГК РФ:
- До 14 лет – согласие даёт родитель или законный представитель
- С 14 до 18 лет – безопаснее получать и согласие подростка, и согласие родителя
Исключение – эмансипированные несовершеннолетние.
Что грозит за незаконную передачу данных третьим лицам?
Если вы передали данные клиентов маркетологам, рекламным партнёрам или ещё кому-то без законного основания (согласия, договора, поручения обработки) – это нарушение по ч. 1 ст. 13.11 КоАП. Уголовная ответственность по статье 272.1 УК РФ наступает за оборот данных, полученных неправомерным доступом или иным незаконным путём.
Заключение
Штраф за персональные данные в 2026 году – это уже не «неприятность на 5 тысяч рублей», а реальная угроза для бизнеса. Оборотные штрафы до 500 миллионов рублей, уголовная ответственность, пристальное внимание Роскомнадзора – всё это заставляет относиться к защите данных серьёзно.
Главный совет: не ждите проверок. Проведите аудит своего сайта и внутренних процессов уже сегодня. Проверьте, есть ли у вас все необходимые документы, правильно ли оформлены согласия, уведомлён ли Роскомнадзор. Лучше потратить несколько дней на наведение порядка, чем потом платить миллионные штрафы и разбираться с правоохранительными органами.
Помните: закон о персональных данных написан не для того, чтобы наказывать бизнес, а для того, чтобы защитить людей. И если вы относитесь к данным клиентов с уважением, проблем с законом у вас не будет. А если сомневаетесь в правильности своих действий – всегда можно проконсультироваться с юристом, специализирующимся на 152-ФЗ. Это дешевле, чем платить штраф за персональные данные.
На что опираемся
- 152-ФЗ «О персональных данных» – ст. 10.1 (согласие на распространение персональных данных)
- 152-ФЗ «О персональных данных» – ст. 11 (обработка биометрических данных)
- КоАП РФ – ст. 13.11 (административные штрафы за нарушения в области персональных данных)
- УК РФ – ст. 272.1 (незаконный оборот компьютерной информации с персональными данными)
- Приказ Роскомнадзора от 16.09.2026 № 253 (перечень стран с адекватной защитой персональных данных)
- Проверьте свой сайт бесплатно – найдём нарушения 152-ФЗ и покажем, какие штрафы за них грозят.
- Соберите документы под свою компанию – политика, отдельное согласие по 156-ФЗ и cookie-политика, реквизиты по ИНН. Политика – бесплатно. Перейти к генератору →
- Пришло требование Роскомнадзора или случай сложный? Опишите задачу – посмотрим и скажем, чем можем помочь.