Сколько стоит нарушение 152-ФЗ в 2026 году
После реформы 2025 года ответственность за персональные данные распалась на три уровня: базовые составы за документы и согласия, отдельная шкала за утечки — вплоть до процента от выручки, и уголовная статья за незаконно полученные данные. Разбираем каждый состав статьи 13.11 КоАП, показываем, к какому документу или процессу он привязан, и отделяем реальные риски от страшилок.
Три уровня ответственности
Чтобы не путаться в цифрах, разделите их по природе нарушения. Первый уровень — организационные нарушения: нет политики, согласие собрано неправильно, уведомление не подано, запрос человека остался без ответа. Второй — утечка, то есть неправомерная передача данных наружу; здесь с 30 мая 2025 года работает отдельная шкала, привязанная к числу пострадавших. Третий — уголовная статья 272.1 УК, действующая с декабря 2024 года: она про данные, полученные незаконным путём, а не про небрежность оператора.
Практический вывод: обычная компания, у которой «не всё в порядке с документами», живёт в первом уровне — это десятки и сотни тысяч рублей за каждый состав. Миллионы начинаются там, где данные утекли или хранятся с нарушением локализации.
Базовые составы: то, что находят при проверке сайта
Суммы ниже — для юридических лиц в действующей редакции статьи 13.11 КоАП. Для должностных лиц они в 2–5 раз меньше, для граждан — ещё меньше.
| Нарушение | Норма | Штраф юрлицу |
|---|---|---|
| Обработка в случаях, не предусмотренных законом, либо несовместимая с целями сбора | ч. 1 | 150 000 – 300 000 ₽ |
| То же повторно | ч. 1.1 | 300 000 – 500 000 ₽ |
| Обработка без согласия в письменной форме, когда оно обязательно, либо согласие не содержит нужных сведений | ч. 2 | 300 000 – 700 000 ₽ |
| То же повторно | ч. 2.1 | 1 000 000 – 1 500 000 ₽ |
| Политика обработки не опубликована | ч. 3 | 30 000 – 60 000 ₽ |
| Человеку не предоставлена информация об обработке его данных | ч. 4 | 40 000 – 80 000 ₽ |
| Не выполнено требование об уточнении, блокировании или уничтожении данных | ч. 5 | 50 000 – 90 000 ₽ |
| То же повторно | ч. 5.1 | 300 000 – 500 000 ₽ |
| Нарушение хранения материальных носителей, приведшее к доступу к данным | ч. 6 | 50 000 – 100 000 ₽ |
| Нарушение локализации: базы с данными россиян не на территории РФ | ч. 8 | 1 000 000 – 6 000 000 ₽ |
| То же повторно | ч. 9 | 6 000 000 – 18 000 000 ₽ |
| Уведомление в Роскомнадзор не подано или подано с опозданием | ч. 10 | 100 000 – 300 000 ₽ |
| Роскомнадзор не уведомлён об утечке | ч. 11 | 1 000 000 – 3 000 000 ₽ |
По примечанию 1 к статье 13.11 за нарушения по части 1.1 и частям 8–18 индивидуальные предприниматели отвечают как юридические лица. То есть в утечках и локализации «скидки за статус ИП» нет — там те же миллионы.
Часть 2 сформулирована через согласие в письменной форме — она применяется там, где закон требует именно такого согласия: специальные категории данных, биометрия и иные прямо названные случаи. Обычная обработка на сайте без законного основания квалифицируется по части 1 — это 150 000 – 300 000 ₽. Разница в два раза, и её стоит учитывать, когда в статьях обещают «700 тысяч за форму без галочки»: такой размер возможен, но не в каждой ситуации.
За что штрафуют чаще всего и к чему это привязано
Почти каждый состав первого уровня соответствует конкретному артефакту, который либо есть у компании, либо нет. Это удобно использовать как карту проверки.
Утечки: отдельная шкала по числу пострадавших
С 30 мая 2025 года за неправомерную передачу данных наружу действуют части 12–18. Размер зависит не от вины и не от оборота, а от объёма: считают либо субъектов, либо идентификаторов. Идентификатор по примечанию 4 — это уникальное обозначение сведений о человеке в информационной системе оператора.
| Объём утечки | Норма | Штраф юрлицу |
|---|---|---|
| 1 000 – 10 000 субъектов или 10 000 – 100 000 идентификаторов | ч. 12 | 3 – 5 млн ₽ |
| 10 000 – 100 000 субъектов или 100 000 – 1 000 000 идентификаторов | ч. 13 | 5 – 10 млн ₽ |
| Более 100 000 субъектов или более 1 млн идентификаторов | ч. 14 | 10 – 15 млн ₽ |
| Специальные категории данных (здоровье, убеждения и т. п.) | ч. 16 | 10 – 15 млн ₽ |
| Биометрические данные | ч. 17 | 15 – 20 млн ₽ |
| Повторная утечка по ч. 12–14 | ч. 15 | 1–3 % выручки, но не менее 20 млн и не более 500 млн ₽ |
| Повторная утечка по ч. 16–17 | ч. 18 | 1–3 % выручки, но не менее 25 млн и не более 500 млн ₽ |
«Теперь за любую утечку компанию оштрафуют на процент от оборота».
Оборотный штраф применяется только к повторному нарушению — когда компания уже привлекалась по частям 12–18. Первая утечка наказывается фиксированной суммой по объёму: от 3 до 15 млн рублей, для биометрии — до 20 млн. Отдельно и независимо наказывается неуведомление Роскомнадзора об инциденте — от 1 до 3 млн рублей по части 11, и вот этот состав компании «дарят» себе сами, когда пытаются разобраться тихо.
Сообщить в Роскомнадзор нужно быстро: уведомление о факте инцидента — в течение 24 часов, результаты внутреннего расследования — в течение 72 часов. Регламент на этот случай стоит написать заранее: в момент инцидента времени на юридические вопросы не будет.
Большинство штрафов первого уровня закрываются документами и настройками, а не бюджетом на безопасность. Мы сверяем то, что реально происходит на сайте и в системах, с тем, что написано в документах, и показываем расхождения с привязкой к составам — аудит по 152-ФЗ. Дальше расхождения закрываются комплектом документов.
Уголовная ответственность: когда она наступает
Статья 272.1 УК появилась в конце 2024 года и касается компьютерной информации с персональными данными, полученной незаконным путём — через неправомерный доступ, вмешательство в работу систем или иным незаконным способом. Это ключевое условие: статья направлена против тех, кто сливает, покупает и использует такие базы, а не против оператора, который плохо оформил политику.
| Деяние | Норма | Наказание |
|---|---|---|
| Использование, передача, сбор или хранение незаконно полученных данных | ч. 1 | Штраф до 300 000 ₽ либо лишение свободы до 4 лет |
| То же в отношении данных несовершеннолетних, специальных категорий или биометрии | ч. 2 | Штраф до 700 000 ₽ либо лишение свободы до 5 лет |
| Из корыстной заинтересованности, с крупным ущербом, группой лиц, с использованием служебного положения | ч. 3 | До 6 лет со штрафом до 1 млн ₽ |
| Сопряжённые с трансграничной передачей данных | ч. 4 | До 8 лет со штрафом до 2 млн ₽ |
| Повлёкшие тяжкие последствия или совершённые организованной группой | ч. 5 | До 10 лет со штрафом до 3 млн ₽ |
| Создание сайта или сервиса, заведомо предназначенного для хранения и распространения таких баз | ч. 6 | До 5 лет со штрафом до 700 000 ₽ |
Не через саму утечку, а через людей: сотрудник, выгрузивший клиентскую базу, и руководитель, купивший «базу для обзвона», попадают именно под эту статью. Отсюда практический смысл разграничения доступа, журналирования выгрузок и режима работы с данными — это не только требование к защите, но и вопрос личной ответственности конкретных людей.
Что снижает риск на практике
Частые вопросы о штрафах по 152-ФЗ
Какой самый частый штраф для небольшой компании?
Штрафуют ли индивидуальных предпринимателей так же, как компании?
Когда штраф становится оборотным?
Могут ли за утечку привлечь директора к уголовной ответственности?
Снижают ли штраф, если нарушение устранено?
Что проверяют в первую очередь?
Связанные материалы
Проверить, где у вас разрывы
Сверяем сайт, документы и процессы с составами статьи 13.11, показываем расхождения и порядок их устранения — и закрываем их комплектом документов под ваши цели и системы.