Штрафы по 152-ФЗ в 2026 году: полный список сумм
Ответственность за нарушение закона о персональных данных установлена статьёй 13.11 КоАП РФ. 30 мая 2025 года суммы были резко повышены, за утечки введены оборотные штрафы, а за незаконный оборот данных появилась уголовная статья. Ниже — что и сколько стоит по состоянию на 2026 год, со ссылками на конкретные части статьи.
Основные составы и суммы
Суммы приведены по действующей редакции статьи 13.11 КоАП РФ. Для индивидуальных предпринимателей, если в самой части не указан отдельный размер, применяется санкция для должностных лиц.
| Нарушение | Норма | Должностные лица / ИП | Юридические лица |
|---|---|---|---|
| Обработка персональных данных в случаях, не предусмотренных законом, либо несовместимая с целями сбора (сюда же — согласие не в подтверждаемой форме) | ч. 1 | 50 000 – 100 000 ₽ | 150 000 – 300 000 ₽ |
| То же нарушение повторно | ч. 1.1 | 100 000 – 200 000 ₽ | 300 000 – 500 000 ₽ |
| Обработка без согласия в письменной форме, когда закон его требует, либо с нарушением состава сведений в согласии | ч. 2 | 100 000 – 300 000 ₽ | 300 000 – 700 000 ₽ |
| Политика обработки персональных данных не опубликована или недоступна | ч. 3 | ИП: 10 000 – 20 000 ₽ | 30 000 – 60 000 ₽ |
| Субъекту не предоставлена информация об обработке его данных | ч. 4 | ИП: 20 000 – 30 000 ₽ | 40 000 – 80 000 ₽ |
| Не выполнено требование субъекта или Роскомнадзора об уточнении, блокировании или уничтожении данных | ч. 5 | ИП: 20 000 – 40 000 ₽ | 50 000 – 90 000 ₽ |
| Невыполнение обязанности по обезличиванию или несоблюдение требований к защите | ч. 6, 7 | 8 000 – 20 000 ₽ | 25 000 – 100 000 ₽ |
| Нарушение локализации: данные россиян записываются и хранятся в базах за пределами РФ | ч. 8 | 200 000 – 800 000 ₽ | 1 000 000 – 6 000 000 ₽ |
| Повторное нарушение локализации | ч. 9 | 500 000 – 1 000 000 ₽ | 6 000 000 – 18 000 000 ₽ |
| Не подано либо подано с нарушением срока уведомление в Роскомнадзор | ч. 10 | 30 000 – 50 000 ₽ | 100 000 – 300 000 ₽ |
Суммы и редакции статьи регулярно меняются. Перед принятием решений сверяйтесь с действующей редакцией КоАП РФ на дату проверки.
Чем отличается ответственность ИП, должностных лиц и организаций
Один и тот же факт (например, форма без чекбокса согласия) наказывается по-разному в зависимости от того, кто оператор. Для организации это всегда самая высокая санкция. Индивидуальный предприниматель по общему правилу отвечает как должностное лицо — в разы мягче, но по нескольким составам (ч. 3–7) закон установил для ИП отдельные, ещё более низкие суммы. Директор или назначенный ответственный за обработку может быть привлечён как должностное лицо дополнительно к штрафу самой организации — это не «или-или».
Штрафы за утечку персональных данных
С 30 мая 2025 года неправомерная передача (в том числе в результате взлома) персональных данных выделена в отдельные составы — части 12–15 статьи 13.11 КоАП. Для юридических лиц:
- утечка данных от 1 000 до 10 000 субъектов (или от 10 000 до 100 000 уникальных идентификаторов) — от 3 до 5 млн ₽;
- от 10 000 до 100 000 субъектов — от 5 до 10 млн ₽;
- более 100 000 субъектов — от 10 до 15 млн ₽;
- утечка специальных категорий или биометрии — по верхней планке независимо от объёма;
- повторная утечка (ч. 15) — оборотный штраф от 1 до 3 % совокупной выручки за предшествующий календарный год (с нижним и верхним пределом в абсолютных суммах).
Отдельно наказывается несвоевременное уведомление Роскомнадзора о самом факте инцидента (ч. 11) — для юрлиц от 1 до 3 млн ₽. Напомним сроки: о факте утечки оператор сообщает в РКН в течение 24 часов, о результатах внутреннего расследования — в течение 72 часов (ч. 3.1 ст. 21 152-ФЗ).
Локализация и иностранные сервисы
Запись, систематизация, накопление и хранение персональных данных граждан РФ должны вестись в базах на территории России (ч. 5 ст. 18 152-ФЗ). Самая частая скрытая проблема — иностранные аналитические счётчики и рекламные пиксели: они получают данные посетителя и ставят идентификаторы до того, как эти данные попали в российскую базу. Роскомнадзор трактует это как нарушение локализации с ответственностью по ч. 8 ст. 13.11 — а это уже миллионы рублей, не десятки тысяч. Подробный разбор — на странице cookie-баннер по закону.
Уголовная ответственность
С 2025 года действует статья 272.1 УК РФ: незаконные использование, передача, сбор и хранение компьютерной информации, содержащей персональные данные, полученные незаконным путём, а также создание сайтов и баз данных для такого оборота. Санкции — от крупного штрафа до лишения свободы; при отягчающих обстоятельствах (специальные категории, использование служебного положения, группа лиц, трансграничная передача) сроки выше. Ответственность несут физические лица, включая руководителей и сотрудников.
Узнайте, по каким составам ваш сайт уязвим прямо сейчас — бесплатная проверка за 30 секунд.
Проверить сайтКак проверяющие узнают о нарушении
Четыре типичных сценария. Плановая проверка — по утверждённому плану, для операторов из групп риска. Внеплановая — по поручению правительства, по истечении срока ранее выданного предписания или по «индикаторам риска». Жалоба — посетитель пожаловался на рассылку без согласия, на отказ удалить данные, на форму без чекбокса; жалоба — самостоятельное основание для проверки. Публичная утечка — база всплыла в открытом доступе или в СМИ. Для большинства «сайтовых» составов проверяющему достаточно осмотра страницы: отсутствующая политика, форма без чекбокса, счётчик до согласия видны сразу и фиксируются протоколом.
Как снизить риск за один день
- Подать уведомление в Роскомнадзор — закрывает ч. 10.
- Опубликовать политику обработки персональных данных по постоянной ссылке — закрывает ч. 3.
- Добавить незаполненный чекбокс согласия ко всем формам — снимает риск по ч. 1.
- Настроить cookie-баннер с реальной возможностью отказа.
- Проверить, где хранятся данные, и заменить иностранные аналитику и хостинг на российские — закрывает ч. 8.
- Назначить ответственного за обработку и утвердить внутренние документы (ст. 18.1, 22.1 152-ФЗ).
Частые вопросы
Какой самый большой штраф по 152-ФЗ?
За утечку данных более 100 000 субъектов — от 10 до 15 млн рублей для юрлиц (ч. 14 ст. 13.11 КоАП). При повторной утечке — оборотный штраф от 1 до 3 % выручки за предшествующий год.
Штрафуют ли ИП так же, как юрлиц?
Нет. По большинству составов ИП отвечает по санкции для должностных лиц — в разы меньше, чем организация. По ч. 3–7 для ИП установлены ещё более низкие суммы.
Могут ли оштрафовать сразу по нескольким частям статьи 13.11?
Да. Отсутствие политики, отсутствие согласия и неподача уведомления — самостоятельные составы, штрафы по ним назначаются отдельно.
Когда выросли штрафы?
30 мая 2025 года вступил в силу Федеральный закон от 30.11.2024 № 420-ФЗ: поднял суммы по действующим составам и ввёл отдельные штрафы за утечки, включая оборотные.
Есть ли уголовная ответственность?
Да, статья 272.1 УК РФ — за незаконный оборот персональных данных, полученных незаконным путём. Санкции вплоть до лишения свободы, отвечают физические лица.
Штрафуют ли за иностранный счётчик аналитики?
Да — как за нарушение локализации (ч. 5 ст. 18 152-ФЗ, ответственность по ч. 8 ст. 13.11 КоАП): для юрлиц от 1 до 6 млн рублей, при повторном нарушении от 6 до 18 млн.
Может ли штраф быть заменён предупреждением?
По ряду составов при первом нарушении и отсутствии вреда — да. По утечкам и локализации — нет.
Влияет ли устранение нарушения на штраф?
На сам факт правонарушения — нет, но учитывается как смягчающее обстоятельство при назначении суммы.
Как узнать, по каким составам уязвим мой сайт?
Бесплатная проверка ПДн.Риск за 30 секунд сверяет ИНН с реестром операторов и смотрит формы, согласия, политику, cookie-баннер и сторонние трекеры, показывая список несоответствий с указанием статьи и диапазона штрафа.
Не считайте риски вручную — проверьте свой сайт по всем составам сразу.
Проверить сайт бесплатноМатериал носит информационный характер и не является юридической консультацией; суммы приведены по состоянию на 2026 год и могут измениться. Автор: Андронов Юрий, руководитель ПДн.Риск. Первоисточники: ст. 13.11 КоАП РФ на consultant.ru, 152-ФЗ на pravo.gov.ru.