Кого наказали по 152-ФЗ в 2026 и что творится на их сайтах

Исследование ScanBase, 26 сентября 2026 г.

За январь-август 2026 года суды рассмотрели 222 дела по ст. 13.11 КоАП (данные Privacy Advocates). Из них 150 пришлись не на утечки, а на обработку данных без правового основания. Медиана штрафа держится в районе 75-150 тысяч рублей, а оборотных за восемь месяцев не было ни одного. Мы взяли компании, которых публично назвали в этих делах, и просканировали их сайты, чтобы посмотреть, что видно снаружи сегодня.

Утечки, которых боятся сильнее всего, дали лишь 12 дел из 222. Штрафуют в основном за рутину: обработку без согласия и передачу данных за рубеж.

Кого уже наказали и что у них на сайте сейчас

Правоприменение по утечкам пока молодое: за весь 2025 год штрафы по этой статье получили лишь шесть организаций, суммарно около 570 тысяч рублей. В 2026-м дел стало больше. Дело давно ушло в новости, а сайт живёт своей жизнью, и на нём до сих пор видно то, за что наказывают.

Самый показательный случай это сеть клиник «Медквадрат», оштрафованная на 75 тысяч рублей. В её политике прямо написано: «Данные обрабатываются исключительно на территории Российской Федерации». А в момент скана на сайте работают Google Analytics, reCAPTCHA, Google Docs и Cloudflare. Каждый из них отправляет данные посетителя за рубеж. Политика утверждает одно, сайт делает другое, и это противоречие по ст. 12 152-ФЗ. Для клиники, которая работает с данными о здоровье, такое расхождение стоит дороже обычного.

Второе, что вытаскивает сканер, это категории данных, которые компании сами декларируют в своих политиках. У детского образовательного сервиса «Юкидс» (утечка более 300 тысяч записей, штраф 400 тысяч рублей, АС Москвы, март 2026) в политике заявлены геолокация, дата рождения, загрузка документов и платёжная карта. У инвестиционной платформы «Инвестиционные проекты» (утечка данных 70 тысяч клиентов, дело в АС Санкт-Петербурга) заявлены паспорт, СНИЛС и ИНН. Набор чувствительный, а на сайте нет даже кнопки «Отклонить» в cookie-баннере.

С крупными именами картина похожая. У «Почты России», где в открытый доступ попал массив на 26 миллионов строк, балл сайта 37: нет корректного согласия на обработку, нет ссылки на политику в баннере, работает Google Analytics. У РЖД и «Ростелекома» дела по утечкам возбуждали, но взыскать штраф не удалось: у РЖД его отменили в апелляции, а «Ростелекому» суд отказал, потому что норма появилась позже самих действий. Заметное исключение это МТС: несмотря на повторный штраф в 300 тысяч рублей, сайт компании набрал 87 баллов. Держать внешний периметр в порядке можно, если этим заниматься.

Общий вывод из таблицы простой: компания уже прошла через дело, а рутинные пробелы на сайте остались на месте. Баннер без кнопки «Отклонить», Google Analytics и Google Fonts без оформленной трансграничной передачи, отсутствие согласия в форме. Это и есть то, что регулятор видит первым, открыв сайт. Полный список таких пунктов и суммы штрафов за каждый мы собрали в отдельном материале про штрафы по 152-ФЗ в 2026 году.

Насколько это массово

Компании из новостей это единичные случаи. Чтобы понять, типичны ли их проблемы, мы посмотрели на всю базу сканов ScanBase. Два самых частых нарушения из статистики дел, обработка без согласия и трансграничная передача, отражаются в наших проверках напрямую.

Согласие проваливает две трети сайтов, и это тот самый состав, что дал 150 из 222 дел. Всё это видно снаружи, до всякой утечки, и это же можно закрыть до того, как придёт проверка. Как проверить свой сайт по пунктам, мы расписали в чек-листе проверки сайта на 152-ФЗ, а как провести полноценную ревизию, в руководстве по аудиту обработки персональных данных.

Коротко о штрафах по 152-ФЗ в 2026

Данные сканов актуальны на сентябрь 2026 года. Статистика по 222 делам приведена по публикации Privacy Advocates; суммы и даты штрафов по сообщениям СМИ и судебным актам. Выборка компаний это упомянутые в открытых источниках случаи, а не статистика по всем делам.