С 30 мая 2025 года вступила новая редакция статьи 13.11 КоАП РФ. Штрафы 152-ФЗ выросли в разы: за обработку без согласия для юрлица - до 30 миллионов рублей, за утечку ПДн появился оборотный штраф от 15 до 500 миллионов рублей или до 3% выручки. Для бизнеса в Санкт-Петербурге и Ленинградской области это означает: соответствие 152-ФЗ перестало быть формальностью, проверки идут массово.
Этот обзор подготовлен по материалам 550+ проектов студии Сайты2.рф из Кронштадта (СПб). С 2008 года мы готовили сайты клиентов к проверкам РКН, разбирали штрафы и судебные решения. Внутри: 9 составов нарушений с актуальными размерами штрафов 2026, разбор оборотного штрафа за утечку, 4 кейса из практики, чек-лист на 10 пунктов для минимизации рисков.
Новая редакция КоАП с 30 мая 2025
Федеральный закон №420-ФЗ от 30 ноября 2024 года переписал статью 13.11 КоАП РФ. Поправки вступили в силу 30 мая 2025 года и серьёзно ужесточили ответственность операторов ПДн.
Ключевые изменения:
- Появились оборотные штрафы за утечку ПДн (% от выручки).
- Размеры штрафов для юрлиц выросли в 3-10 раз.
- Введены отдельные составы за неуведомление об инциденте.
- Закреплена обязанность уведомлять РКН о трансграничной передаче.
- Повышена ответственность за повторные нарушения.
Для бизнеса в СПб и Ленинградской области риски выросли пропорционально. РКН провёл аудит реестра операторов, выписал предписания тысячам компаний. Без подачи уведомления в Роскомнадзор работать с ПДн стало небезопасно.
9 составов нарушений и штрафы
Размеры штрафов 152-ФЗ на 2026 год по составам статьи 13.11 КоАП РФ. Цифры приведены в рублях, диапазон зависит от тяжести и категории нарушителя.
1. Обработка ПДн без согласия субъекта
| Категория | Первое нарушение | Повторное |
|---|---|---|
| Граждане | 10 000-15 000 ₽ | 20 000-30 000 ₽ |
| Должностные лица | 100 000-300 000 ₽ | 300 000-500 000 ₽ |
| ИП | 300 000-700 000 ₽ | 500 000-1 000 000 ₽ |
| Юридические лица | 300 000-30 000 000 ₽ | 1 000 000-100 000 000 ₽ |
Самый частый состав. Любая форма на сайте без чекбокса согласия и ссылки на политику обработки ПДн попадает под штраф. Для юрлица потолок повторного штрафа - 100 миллионов рублей.
2. Отсутствие политики обработки ПДн на сайте
| Категория | Штраф |
|---|---|
| Граждане | 1 500-3 000 ₽ |
| Должностные лица | 6 000-12 000 ₽ |
| ИП | 10 000-30 000 ₽ |
| Юридические лица | 60 000-200 000 ₽ |
Каждый оператор обязан публиковать политику в открытом доступе на своём сайте. Шаблон политики - в материале политика обработки ПДн: шаблон.
3. Невыполнение требований по локализации ПДн в РФ
| Категория | Первое | Повторное |
|---|---|---|
| Граждане | 30 000-50 000 ₽ | 50 000-100 000 ₽ |
| Должностные лица | 200 000-500 000 ₽ | 500 000-800 000 ₽ |
| Юридические лица | 1 000 000-6 000 000 ₽ | 6 000 000-18 000 000 ₽ |
Если ПДн граждан РФ хранятся на серверах за границей, штраф для юрлица доходит до 18 миллионов. Проверяется по whois IP и договору с хостером. Полный обзор - в гайде хостинги с серверами в РФ.
4. Утечка ПДн (оборотный штраф)
С 30 мая 2025 года - отдельная статья 13.11 часть 14 КоАП РФ. Подробно ниже.
5. Отказ в удалении ПДн по запросу субъекта
| Категория | Штраф |
|---|---|
| Должностные лица | 8 000-20 000 ₽ |
| ИП | 30 000-100 000 ₽ |
| Юридические лица | 200 000-600 000 ₽ |
Если клиент написал запрос на удаление своих данных, а оператор отказал или проигнорировал - штраф для юрлица до 600 тысяч.
6. Неуведомление о трансграничной передаче ПДн
| Категория | Штраф |
|---|---|
| Должностные лица | 30 000-50 000 ₽ |
| ИП | 50 000-200 000 ₽ |
| Юридические лица | 1 000 000-3 000 000 ₽ |
Если оператор передаёт данные за границу (Google Analytics, Mailchimp, зарубежная CRM) без уведомления РКН - штраф до 3 миллионов рублей для юрлица.
7. Неуведомление РКН об обработке ПДн (ст. 19.7 КоАП)
| Категория | Штраф |
|---|---|
| Граждане | 100-300 ₽ |
| Должностные лица | 300-500 ₽ |
| ИП | 3 000-5 000 ₽ |
| Юридические лица | 30 000-300 000 ₽ |
Пошаговая инструкция, как подать уведомление, - в материале уведомление в Роскомнадзор.
8. Неуведомление РКН об инциденте с ПДн
| Категория | Штраф |
|---|---|
| Должностные лица | 100 000-400 000 ₽ |
| ИП | 200 000-600 000 ₽ |
| Юридические лица | 1 000 000-3 000 000 ₽ |
Если произошла утечка или несанкционированный доступ, оператор обязан в течение 24 часов уведомить РКН и в течение 72 часов предоставить расследование. Молчание = штраф до 3 миллионов.
9. Неуполномоченное лицо для обработки ПДн
| Категория | Штраф |
|---|---|
| Должностные лица | 10 000-30 000 ₽ |
| ИП | 50 000-150 000 ₽ |
| Юридические лица | 200 000-500 000 ₽ |
Оператор обязан назначить ответственного за обработку ПДн (приказом по организации). Без назначенного лица - штраф для юрлица до 500 тысяч.
Оборотный штраф за утечку ПДн
С 30 мая 2025 года в КоАП РФ появились оборотные штрафы за утечки ПДн. Самый суровый санкционный механизм 152-ФЗ. Размеры на 2026.
Шкала по количеству утёкших записей:
- От 1 000 до 10 000 субъектов или от 10 000 до 100 000 идентификаторов: 3-5 миллионов рублей.
- От 10 000 до 100 000 субъектов или от 100 000 до 1 миллиона идентификаторов: 5-10 миллионов рублей.
- Свыше 100 000 субъектов или свыше 1 миллиона идентификаторов: 10-15 миллионов рублей.
Повторное нарушение - оборотный штраф:
- 1-3% от годовой выручки за прошлый отчётный период.
- Минимум 15 миллионов рублей.
- Максимум 500 миллионов рублей.
Для крупных компаний 3% от выручки - десятки и сотни миллионов рублей. Оборотный штраф фактически парализует бизнес средней руки. Для малого бизнеса в СПб с выручкой 10-50 миллионов в год повторная утечка обходится в 15 миллионов минимума.
Меры предотвращения - в материалах SSL-сертификат для сайта и cookie-баннер 2026.
4 кейса из судебной практики
Анонимизированные дела из открытых решений арбитражных и общей юрисдикции судов за 2024-2025 годы. Имена компаний скрыты, ситуации типовые.
Кейс 1. Интернет-магазин в СПб, штраф 4,2 млн рублей
Магазин косметики на 1С-Битрикс собирал ФИО, телефон, email, адрес доставки через корзину. На сайте не было ни политики обработки ПДн, ни чекбокса согласия. РКН провёл плановую проверку после жалобы клиента. По двум составам (отсутствие политики + обработка без согласия) штраф составил 4,2 миллиона. Суд апелляционной инстанции оставил решение в силе.
Урок: базовые элементы (политика + чекбокс) закрывают 80% рисков по двум частым составам.
Кейс 2. Медцентр в Гатчине, штраф 12 млн рублей
Медицинский центр хранил карточки пациентов в облачной системе на сервере в Германии. Утечка через взлом административной панели - 8 400 записей. По двум составам (нарушение локализации + утечка) штраф для юрлица 12 миллионов рублей. Дополнительно - предписание перенести базу в РФ в 30-дневный срок.
Урок: медицина и работа с детьми - категории повышенной защиты. Сервер только в РФ.
Кейс 3. Образовательная платформа, оборотный штраф 18 млн рублей
Онлайн-школа с базой 220 000 учеников допустила утечку через незакрытую API. Это было повторное нарушение - первое было в 2023 году. Применили оборотный штраф 1,5% от выручки за 2024 год. Сумма - 18 миллионов рублей.
Урок: повторное нарушение запускает оборотный штраф независимо от размера утечки. Один раз получили штраф - в следующий триста раз перепроверьте защиту.
Кейс 4. B2B-сервис, штраф 600 тыс. рублей за отказ в удалении
Сервис рекламы получил запрос от клиента на удаление профиля и всех данных. Сотрудник проигнорировал письмо, аккаунт не удалили. Клиент обратился в РКН, регулятор провёл проверку - штраф 600 тысяч рублей по части за неисполнение требования субъекта ПДн.
Урок: регламент обработки запросов на удаление - обязательная процедура. Срок ответа 30 дней с даты обращения.
Кто проверяет и как
Основной проверяющий орган - Роскомнадзор и его территориальные управления. По СЗФО - управление в Санкт-Петербурге. Сценариев проверки три.
1. Плановые проверки. Включаются в годовой план РКН. Уведомление за 20 рабочих дней. Чаще приходят к крупным операторам, медучреждениям, финансовым сервисам, школам.
2. Внеплановые проверки. По жалобе субъекта ПДн, по поручению прокуратуры, по уголовному делу. Срок уведомления - 24 часа или без уведомления, если есть оперативные основания.
3. Документарные проверки. Без выезда, только запрос документов. РКН отправляет требование, оператор за 10 рабочих дней предоставляет политику, согласия, реестр обращений, журналы доступа.
Плюс автоматические проверки сайтов через робота РКН: бот сканирует наличие политики обработки ПДн, чекбокса согласия, cookie-баннера. По итогам - предупреждение или возбуждение дела. Проверить готовность сайта можно через бесплатный инструмент проверки 152-ФЗ.
10-пунктовый чек-лист рисков
Минимальный набор мер, закрывающий 90% поводов для штрафов 152-ФЗ. Прошли клиентам в Кронштадте, Сестрорецке, Гатчине, Выборге.
- [ ] Подано уведомление в Роскомнадзор, оператор есть в реестре РКН.
- [ ] На сайте опубликована политика обработки ПДн в открытом доступе.
- [ ] Под каждой формой - чекбокс согласия + ссылка на политику.
- [ ] Cookie-баннер с возможностью отказа от не-обязательных cookie.
- [ ] Хостинг с серверами в РФ (обзор провайдеров).
- [ ] SSL-сертификат на всех страницах сайта.
- [ ] Назначен ответственный за обработку ПДн (приказом по организации).
- [ ] Готов регламент обработки запросов от субъектов (удаление, доступ).
- [ ] Уведомлены РКН о трансграничной передаче (если есть).
- [ ] Готовы процедуры на случай инцидента: уведомление РКН в течение 24 часов.
Дополнительно - регулярный аудит CRM, форм, бэкапов, журналов доступа. Раз в квартал - проверка соответствия. Правило для клиентов студии на технической поддержке сайтов.
FAQ
Какой максимальный штраф за 152-ФЗ в 2026 году?
Для юрлица - оборотный штраф до 500 миллионов рублей за повторную утечку ПДн или 100 миллионов рублей за повторную обработку без согласия. Для ИП - до 1 миллиона рублей за повторную обработку без согласия.
Что считается утечкой ПДн?
Любой несанкционированный доступ к ПДн: взлом базы данных, кража у сотрудника, ошибка в правах доступа, передача файлов через незащищённые каналы. Даже один украденный ноутбук с базой клиентов - утечка.
Можно ли уменьшить штраф через суд?
Да. Практика 2024-2025 годов показывает: при первом нарушении, активном сотрудничестве с РКН и устранении нарушения штраф снижают на 20-50%. Без юриста с опытом по 152-ФЗ сделать сложно.
Считается ли IP-адрес персональными данными?
По позиции РКН с 2017 года - да. Cookie также относятся к ПДн. Даже сайт-визитка с Яндекс.Метрикой попадает под 152-ФЗ.
Что делать при получении предписания РКН?
Срок исполнения - 30 рабочих дней с даты получения. Устранить нарушения, отправить отчёт с подтверждениями (скриншоты, документы). Игнорирование - повторный штраф и блокировка сайта.
Применяется ли 152-ФЗ к зарубежным компаниям?
Да, если они обрабатывают ПДн граждан РФ. С 2022 года такие компании обязаны иметь представителя в РФ и подавать уведомление. Меры воздействия - блокировка сайта в РФ.
Сколько стоит юрист для подготовки документов по 152-ФЗ?
Подготовка комплекта (политика + согласие + регламент + уведомление в РКН) - от 25 000 до 80 000 рублей. Студии и веб-агентства часто включают это в комплект разработки сайта.
Что в итоге
Штрафы 152-ФЗ в 2025-2026 годах достигли беспрецедентных размеров: от 200 тысяч за отсутствие политики до 500 миллионов за повторную утечку. Девять составов нарушений покрывают практически все типовые ошибки операторов. Минимизировать риски можно через 10-пунктовый чек-лист: уведомление РКН, политика, согласия, локализация, SSL, регламенты.
Студия Сайты2.рф из Кронштадта (СПб) с 2008 года готовит сайты клиентов к проверкам РКН: политика обработки ПДн, согласие, cookie-баннер, миграция на хостинг в РФ. 550+ проектов, NPS 9,2, ни одного штрафа у клиентов на поддержке. Звоните +7 (812) 942-47-44, пишите в Telegram @t9424744 или на 9424744@gmail.com. Адрес: Кронштадт, ул. Карла Либкнехта 15б/6. Работаем по Санкт-Петербургу и Ленинградской области: Гатчина, Выборг, Сосновый Бор, Всеволожск, Тосно. Рассчитаем стоимость аудита и приведения сайта к 152-ФЗ за 1 рабочий день.
