Давайте пройдёмся по вашим вопросам. Я буду отвечать так, как отвечаю на консультациях — без юридического тумана и с отсылками к реальным частям КоАП.
1. Какой штраф за обработку персональных данных без согласия?
Самый частый вопрос, и здесь важно не путать две разные ситуации.
Если вы обрабатываете данные без законного основания вообще или для целей, несовместимых с тем, что заявлено — это часть 1 статьи 13.11 КоАП. Для юридических лиц штраф составляет от 150 000 до 300 000 рублей. При повторном нарушении — от 300 000 до 500 000 рублей.
Но если речь идёт именно о письменном согласии, когда оно обязательно — это уже часть 2. И вот здесь суммы кусаются: от 300 000 до 700 000 рублей, а повторно — от 1 000 000 до 1 500 000 рублей.
Мой практический совет: отсутствие согласия — это то, что Роскомнадзор проверяет в первую очередь. И формальное согласие в анкете клиента, которое не соответствует требованиям к содержанию, — тоже нарушение по части 2.
2. Какие оборотные штрафы за повторную утечку персональных данных?
Вот здесь начинается территория, где штраф перестаёт быть «расходом» и становится «катастрофой». Если компания допускает утечку повторно — срабатывает механизм оборотных штрафов по часть 15 статьи 13.11.
Формула простая: от 1% до 3% годовой выручки, но с жёсткими границами — не менее 20 миллионов и не более 500 миллионов рублей.
Обратите внимание на важную деталь: расчёт идёт от выручки, а не от прибыли. Для компании с оборотом в 500 миллионов рублей повторная утечка может обернуться штрафом, сопоставимым с годовым финансовым результатом. Для крупного бизнеса с выручкой в миллиарды — это уже сотни миллионов рублей.
И отдельно запомните: сокрытие факта утечки — это отдельный штраф от 1 до 3 миллионов рублей, который накладывается сверху на штраф за саму утечку.
3. Что грозит за отсутствие политики обработки ПДн?
Это, пожалуй, самое «недооценённое» нарушение. Многие считают: «Ну, нет политики, ну добавлю страницу на сайт потом». Но за отсутствие политики или отсутствие свободного доступа к ней предусмотрена часть 3 статьи 13.11 — от 30 000 до 60 000 рублей для юридических лиц.
Для индивидуальных предпринимателей — от 10 000 до 20 000 рублей.
Казалось бы, немного. Но проблема в том, что отсутствие политики — это как трещина в фундаменте. Роскомнадзор, обнаружив её, начинает проверять всё остальное: согласия, уведомления, журналы. И тогда к тридцати тысячам добавляются сотни тысяч за другие нарушения. Именно поэтому я всегда говорю: политика — это не «галочка для сайта», это первый документ, с которого начинается разговор с регулятором.
4. Какой штраф за неуведомление Роскомнадзора о начале обработки?
До начала обработки персональных данных оператор обязан подать уведомление в Роскомнадзор. За неуведомление или несвоевременное уведомление — часть 10 статьи 13.11 — штраф для юридических лиц составляет от 100 000 до 300 000 рублей.
Для должностных лиц — от 30 000 до 50 000 рублей.
Здесь есть ловушка, о которой я предупреждаю каждого клиента: отсутствие в реестре операторов — это первое, что проверяет РКН при любом обращении или жалобе. И если вас там нет, это автоматически становится поводом для внеплановой проверки, в ходе которой выявляются уже все остальные нарушения — с гораздо более серьёзными санкциями.
5. Сколько придётся заплатить за обработку специальных категорий ПДн без согласия?
Специальные категории — это данные о здоровье, расовой и национальной принадлежности, политических взглядах, религиозных убеждениях. Обработка таких данных без надлежащего согласия или без законного основания — это отдельный состав по части 16 статьи 13.11.
Штраф для юридических лиц: от 10 000 000 до 15 000 000 рублей.
Пятнадцать миллионов — это не опечатка. Именно столько стоит обработать данные о здоровье пациента, не оформив согласие по всем правилам. И если такая утечка произойдёт повторно — включается оборотный механизм с минимумом в 25 миллионов рублей.
6. Какой штраф за утечку биометрических данных?
Биометрия — это самый защищённый законом тип данных. Отпечатки пальцев, изображение лица, запись голоса. Утечка биометрических данных — часть 17 статьи 13.11 — карается штрафом от 15 000 000 до 20 000 000 рублей.
И это ещё не всё: при повторном нарушении минимальный порог оборотного штрафа для биометрии составляет 25 миллионов рублей.
Мой практический комментарий: если ваша компания использует биометрию для идентификации клиентов или сотрудников — это зона максимального риска. И здесь экономия на качественном пакете документов и технической защите — это не экономия, а отложенный штраф.
7. Что грозит за обработку ПДн несовершеннолетних без согласия родителей?
Закон требует согласия законных представителей для обработки данных детей. Нарушение этого требования квалифицируется по части 2 статьи 13.11 — обработка без согласия, когда оно обязательно. Штраф для юридических лиц: от 300 000 до 700 000 рублей.
Отдельного «детского» состава в КоАП нет, но Роскомнадзор в последние годы уделяет этой категории повышенное внимание. Особенно если речь идёт об образовательных платформах, детских кружках или онлайн-сервисах, куда регистрируются дети.
8. Какой штраф за передачу данных за границу без основания?
Трансграничная передача — одна из самых сложных тем в 152-ФЗ. Если вы передаёте данные за границу без надлежащего основания или без уведомления Роскомнадзора, это нарушение требований к локализации и трансграничной передаче.
Часть 8 статьи 13.11 — невыполнение требования о локализации баз данных на территории РФ — штраф от 1 000 000 до 6 000 000 рублей. При повторном нарушении — от 6 000 000 до 18 000 000 рублей.
Здесь я всегда подчёркиваю: неважно, куда вы передаёте данные — в «дружественную» юрисдикцию или нет. Важно, есть ли у вас правовое основание и прошли ли вы процедуру уведомления. Без этого миллионные штрафы — вопрос времени.
9. Что грозит за отсутствие ответственного за организацию обработки ПДн?
Формально отдельного состава «нет ответственного» в КоАП нет. Но на практике отсутствие назначенного ответственного лица квалифицируется как невыполнение обязанностей оператора по обеспечение безопасности персональных данных. Это может идти по части 1 или части 6 статьи 13.11 — в зависимости от обстоятельств.
Штраф по части 6 (невыполнение условий сохранности, повлекшее неправомерный доступ) — от 50 000 до 100 000 рублей.
Но настоящая проблема не в штрафе, а в том, что отсутствие ответственного — это системная дыра. Без него некому контролировать согласия, отвечать на запросы субъектов, реагировать на инциденты. И когда что-то случается, выясняется, что «никто не отвечал». А отвечать перед Роскомнадзором будет компания.
10. Какой штраф за непредоставление информации субъекту ПДн по его запросу?
Субъект персональных данных имеет право на информацию об обработке его данных. Оператор обязан ответить на запрос в течение 10 рабочих дней. За непредоставление этой информации или за неполный ответ — часть 4 статьи 13.11 — штраф для юридических лиц от 40 000 до 80 000 рублей.
Для должностных лиц — от 4 000 до 6 000 рублей.
Здесь есть нюанс, который я объясняю клиентам: компании чаще всего нарушают этот порядок не умышленно, а из-за отсутствия регламента. Запрос приходит на общую почту, теряется, юрист не в курсе. В результате — штраф. Поэтому регламент работы с обращениями субъектов — это не бюрократия, а защита от административки.
Общий вывод, который я делаю для руководителей: штрафы по 152-ФЗ в 2026 году — это не «подушка безопасности» размером в несколько десятков тысяч. Это реальные суммы, которые бьют по бюджету. Отсутствие политики стоит как месячная зарплата сотрудника. Обработка без согласия — как небольшая закупка. Утечка — как год работы отдела. А повторная утечка с оборотным штрафом — это уже разговор о судьбе бизнеса.
И самое главное: большинство этих штрафов накладываются не потому, что компания злонамеренно нарушала закон, а потому что не было системы. Пакета документов по 152-ФЗ из 70+ файлов. Технических настроек, которые закрывают доступ. Обученного персонала, который знает, что делать при запросе субъекта или подозрении на утечку.
Это то, чем занимается наша команда. Я выстраиваю юридическую позицию, «Стратегия Ра» закрывает документарную часть, «Сайт Мэйкерс» — техническую. И вместе мы делаем так, чтобы таблица штрафов, которую вы только что прочитали, осталась для вас теорией, а не практикой.