Штрафы за нарушение 152-ФЗ в 2026 году: таблица санкций, реальные кейсы и как защитить бизнес
С 2024 года штрафы за нарушение закона о персональных данных выросли многократно. За повторное нарушение правил локализации юридическое лицо теперь получает до 18 000 000 ₽, а за масштабную утечку — оборотный штраф в процентах от годовой выручки. Параллельно введена уголовная ответственность: до 10 лет лишения свободы за наиболее тяжкие случаи.
Эта статья написана для предпринимателей, IT-специалистов, юристов и владельцев сайтов — всех, кто обрабатывает данные пользователей. Вы найдёте здесь: кого штрафуют и за что, актуальную таблицу санкций на 2026 год, реальные кейсы и практический чек-лист для самодиагностики.
Что такое 152-ФЗ и кого он касается
Федеральный закон № 152-ФЗ «О персональных данных» регулирует сбор, хранение, обработку и передачу любой информации, которая прямо или косвенно идентифицирует человека. Это не только ФИО и паспортные данные: email-адрес, номер телефона, IP-адрес, cookie-идентификаторы — всё это персональные данные (ПДн) по смыслу закона.
Ключевое понятие — оператор персональных данных. Им становится автоматически любая организация или физическое лицо, которые самостоятельно или совместно с другими определяют цели и способы обработки ПДн. Иными словами: если у вас есть сайт с формой обратной связи, интернет-магазин, CRM, база сотрудников — вы уже оператор. Незнание этого факта не освобождает от ответственности.
Кто обязан соблюдать 152-ФЗ
Требования закона распространяются на четыре категории субъектов: юридические лица любой формы собственности и любого размера, индивидуальные предприниматели, государственные и муниципальные органы, а также физические лица, обрабатывающие данные в коммерческих целях. Малый бизнес и микропредприятия не имеют никаких послаблений — они обязаны соблюдать те же требования, что и крупные корпорации.
Основные обязанности оператора по 152-ФЗ
- Получить информированное согласие субъекта на обработку его данных до начала обработки
- Разместить на сайте актуальную политику конфиденциальности
- Подать уведомление в Роскомнадзор о начале обработки ПДн и поддерживать его актуальность
- Обеспечить технические и организационные меры защиты данных
- Уведомить РКН об утечке: первичное — в течение 24 часов, расширенное — в течение 72 часов
- Хранить данные граждан РФ на серверах, физически расположенных на территории России
Виды нарушений 152-ФЗ, за которые штрафуют в 2026 году
Нарушения при сборе данных
Самая распространённая группа нарушений: отсутствие согласия или его некорректное оформление (предустановленная галочка не считается согласием), сбор избыточных данных, которые не нужны для заявленной цели, отсутствие политики конфиденциальности или её несоответствие фактической обработке, скрытая установка cookie без уведомления пользователя.
Нарушения при хранении и обработке
Хранение данных граждан РФ на зарубежных серверах — нарушение требований локализации, одно из наиболее жёстко санкционируемых. Также под удар попадают операторы без документально подтверждённых технических мер защиты, хранящие данные дольше, чем указано в политике конфиденциальности, и те, кто передаёт данные подрядчикам без надлежащего договора поручения.
Нарушения при утечке данных
Непредставление уведомления в Роскомнадзор в установленные сроки — отдельный состав нарушения, который суммируется со штрафом за саму утечку. Сокрытие факта инцидента и повторные утечки вследствие игнорирования предписаний регулятора влекут максимальные санкции, включая оборотные штрафы.
Таблица штрафов по 152-ФЗ в 2026 году
Ниже приведены актуальные размеры административных санкций с учётом поправок 2024–2025 годов. Это центральный ответ на вопрос «сколько стоит нарушение».
| Нарушение | Ст. 13.11 КоАП | Должностное лицо / ИП | Юридическое лицо |
|---|---|---|---|
| Обработка ПДн без законных оснований | ч. 1 | 50 000–100 000 ₽ | 150 000–300 000 ₽ |
| Обработка без письменного согласия | ч. 2 | 100 000–300 000 ₽ | 300 000–700 000 ₽ |
| Повторная обработка без согласия | ч. 2.1 | 300 000–500 000 ₽ | 1–1,5 млн ₽ |
| Нет политики конфиденциальности на сайте | ч. 3 | 6 000–12 000 ₽ | 30 000–60 000 ₽ |
| Неуничтожение или неуточнение данных по требованию | ч. 5 | 8 000–20 000 ₽ | 50 000–90 000 ₽ |
| Нарушение локализации (хранение данных в РФ) | ч. 8 | 100 000–200 000 ₽ | 1–6 млн ₽ |
| Повторное нарушение локализации | ч. 9 | 500 000–800 000 ₽ | 6–18 млн ₽ |
| Неуведомление о неправомерной передаче ПДн | ч. 11 | 400 000–800 000 ₽ | 1–3 млн ₽ |
| Утечка данных до 10 тыс. субъектов | ч. 12 | 200 000–400 000 ₽ | 3–5 млн ₽ |
| Утечка 10–100 тыс. субъектов | ч. 13 | 300 000–500 000 ₽ | 5–10 млн ₽ |
| Утечка свыше 100 тыс. субъектов | ч. 14 | 400 000–600 000 ₽ | 10–15 млн ₽ |
| Утечка специальных категорий или биометрии | ч. 16–17 | от 1 млн ₽ | 10–20 млн ₽ |
| Повторная крупная утечка (оборотный штраф) | ч. 15, ч. 18 | — | 1–3% годовой выручки (20–500 млн ₽) |
Кто платит штраф — компания, директор или оба
Нюанс, который упускает большинство: за одно нарушение штраф могут получить одновременно и юридическое лицо, и должностное — директор или назначенный ответственный за обработку ПДн (ст. 22.1 152-ФЗ). Это не «либо-либо», а два самостоятельных дела с раздельными штрафами. При этом отсутствие в компании назначенного ответственного — само по себе отдельное нарушение. ИП отвечает как должностное лицо и попадает под санкции даже при простой форме заявки на лендинге.
Оборотные штрафы — новая реальность для крупного бизнеса
Оборотный штраф — это не фиксированная сумма, а процент от годовой выручки компании. Для организации с оборотом 1 млрд рублей штраф в 3% составит 30 млн рублей. Механизм применяется при повторной утечке или масштабном инциденте, когда оператор проигнорировал предписания регулятора. Введён поправками 2024 года и уже применяется на практике.
Уголовная ответственность по 152-ФЗ
С 2024 года незаконный оборот персональных данных криминализирован в статье 272.1 УК РФ. Санкции зависят от тяжести деяния:
- Незаконное распространение ПДн специальных категорий (здоровье, политические взгляды, биометрия) — до 4 лет лишения свободы
- Те же действия в корыстных целях или в крупном размере — до 6 лет
- Деяния, повлёкшие тяжкие последствия — до 10 лет
Четыре вида ответственности за нарушение 152-ФЗ
Штрафы Роскомнадзора — самая заметная, но не единственная форма ответственности. Статья 24 152-ФЗ прямо называет четыре вида, и они наступают независимо друг от друга: один инцидент может обернуться одновременно штрафом компании, иском от клиента и увольнением сотрудника.
| Вид | Кто отвечает | Чем грозит | Кто инициирует |
|---|---|---|---|
| Административная | Компания, руководитель, ИП | Штрафы по ст. 13.11 КоАП — от 6 000 ₽ до оборотных санкций | Роскомнадзор, дела рассматривают мировые судьи |
| Гражданско-правовая | Оператор | Возмещение убытков и компенсация морального вреда | Сам человек, чьи данные пострадали |
| Уголовная | Конкретный человек, а не компания | Сроки по ст. 272.1 УК РФ за незаконный оборот данных | Правоохранительные органы |
| Дисциплинарная | Сотрудник, нарушивший режим | Вплоть до увольнения по п. «в» ч. 6 ст. 81 ТК РФ за разглашение | Сам работодатель |
Гражданские иски: то, о чём вспоминают в последнюю очередь
По ст. 17 152-ФЗ человек вправе требовать через суд возмещения убытков и компенсации морального вреда. Ключевая деталь: моральный вред возмещается независимо от имущественного — доказывать денежные потери не нужно, достаточно самого факта нарушения правил обработки. Иск подаётся по месту жительства истца, что делает защиту заметно доступнее.
Отдельно стоит держать в голове экономику: если утекла база, потенциальных истцов столько же, сколько записей в ней. Суммы по одному иску обычно скромные, но масштаб превращает их в самостоятельный риск — вдобавок к штрафу регулятора, а не вместо него.
Кто проверяет и как проходят проверки Роскомнадзора
Плановые и внеплановые проверки
Плановые проверки РКН проводит раз в 3 года — план публично размещён на официальном сайте регулятора. Внеплановые проверки инициируются по жалобе субъекта данных, после публичной утечки или по поручению прокуратуры. Форматы проверок — документарная (запрос документов) и выездная (инспекторы приезжают в офис); для небольших компаний чаще применяется документарная.
Что проверяют инспекторы
Стандартный перечень из 10 позиций, которые запрашивает РКН:
- Наличие уведомления в реестре операторов персональных данных
- Политика конфиденциальности на сайте — актуальная и полная
- Формы согласия на обработку ПДн (в том числе для cookie)
- Договоры с третьими лицами, получающими доступ к данным (договор поручения)
- Документация по техническим мерам защиты (модель угроз, приказы)
- Подтверждение локализации баз данных на серверах в РФ
- Журналы доступа к персональным данным
- Приказ о назначении ответственного лица за организацию обработки ПДн
- Порядок реагирования на запросы субъектов данных
- Политика реагирования на инциденты (утечки)
Сроки и процедура обжалования штрафа
Постановление о штрафе можно обжаловать в течение 10 дней с момента вручения. Два пути: административный (вышестоящий орган РКН) и судебный. Практика показывает: суды охотно снижают штрафы, если оператор добросовестно устранил нарушения до или после проверки и предоставил соответствующие доказательства.
Реальные кейсы — за что штрафовали в 2024–2026 годах
Кейс 1 — Утечка из интернет-магазина
Интернет-магазин одежды столкнулся с утечкой базы покупателей через уязвимость в устаревшем плагине CMS. В открытый доступ попали имена, email-адреса и телефоны около 80 000 человек. Компания не уведомила Роскомнадзор ни в 24-часовой, ни в 72-часовой срок — инцидент стал известен регулятору из СМИ. Итог: штраф за утечку вследствие ненадлежащей защиты + отдельный штраф за несвоевременное уведомление + предписание об устранении нарушений в 30-дневный срок. Совокупно — около 4,5 млн рублей.
Кейс 2 — Крупная компания и оборотный штраф
Телекоммуникационный оператор допустил повторную утечку данных абонентов в течение двух лет. После первого инцидента компания получила предписание, но не выполнила его в полном объёме. При повторной утечке регулятор применил оборотный механизм — 1% годовой выручки. При обороте в 5 млрд рублей итоговый штраф составил 50 млн рублей. Случай демонстрирует: оборотные штрафы — не теоретическая угроза, а работающий инструмент.
Кейс 3 — Малый бизнес: салон красоты
Клиент салона красоты подал жалобу в РКН: его данные из CRM использовались для рекламных рассылок без его явного согласия. Внеплановая документарная проверка выявила отсутствие корректных форм согласия и неактуальную политику конфиденциальности. Штраф — 150 000 рублей. Вывод очевиден: размер бизнеса не является защитой от санкций, а одна жалоба клиента может инициировать проверку.
Чек-лист соответствия 152-ФЗ для бизнеса в 2026 году
Пройдите по пунктам — каждый невыполненный пункт это потенциальный штраф при проверке.
Выполнено: 0/18
- ✓Документация: Политика конфиденциальности актуальна и размещена на сайте
- ✓Документация: Формы согласия корректно оформлены (не «галочка по умолчанию»)
- ✓Документация: Издан приказ о назначении ответственного за обработку ПДн
- ✓Документация: Регламент работы с ПДн доведён до сотрудников
- ✓Документация: Договоры поручения заключены со всеми подрядчиками, имеющими доступ к данным
- ✓Документация: Уведомление в РКН подано и содержит актуальные сведения
- ✓Технические меры: HTTPS включён на всём сайте
- ✓Технические меры: Разграничение доступа к базам данных реализовано
- ✓Технические меры: Журналирование операций с ПДн ведётся
- ✓Технические меры: Резервное копирование настроено, резервные копии шифруются
- ✓Технические меры: Базы данных граждан РФ хранятся на серверах в РФ
- ✓Технические меры: Сроки автоматического удаления устаревших данных установлены
- ✓Процессы: Процедура ответа на запросы субъектов данных (срок — 30 дней) задокументирована
- ✓Процессы: План реагирования на инциденты (утечки) разработан и актуален
- ✓Процессы: Сотрудники прошли обучение по работе с персональными данными
- ✓После инцидента: Первичное уведомление РКН — в течение 24 часов
- ✓После инцидента: Расширенное уведомление РКН — в течение 72 часов
- ✓После инцидента: Уведомление субъектов данных направлено (если требуется по характеру инцидента)
Что делать при утечке: алгоритм первых 72 часов
Отдельный сценарий, который стоит держать наготове до того, как он случится. При утечке персональных данных закон отводит очень мало времени, а именно скорость и правильные уведомления влияют на итоговый размер санкции. Пропущенное уведомление Роскомнадзора — это отдельный штраф поверх штрафа за саму утечку.
Записать, что именно произошло, когда обнаружено, какие системы и какой объём данных затронут. Эта фиксация понадобится и регулятору, и для внутреннего расследования.
Направить в Роскомнадзор первичное уведомление об инциденте: факт утечки, предполагаемая причина, категории и примерный объём данных, принимаемые меры. Срок — 24 часа с момента обнаружения.
Закрыть канал: отозвать скомпрометированные доступы, сменить пароли и ключи, изолировать затронутые системы. Цель — чтобы к моменту отчёта утечка уже была прекращена.
Направить второе уведомление с результатами внутреннего расследования: установленная причина, виновные лица (если выявлены), полный объём затронутых данных, принятые и планируемые меры.
Закрыть уязвимость, из-за которой произошла утечка, и сохранить всю переписку с РКН и документы расследования. Добросовестные и своевременные действия учитываются при определении наказания.
Как избежать штрафа — практические шаги
Для малого бизнеса и ИП
Минимальный набор документов, с которого нужно начать: политика конфиденциальности на сайте, корректные формы согласия (без предустановленных галочек), уведомление в реестр операторов РКН. Первичный аудит займёт несколько часов, если воспользоваться инструментом автоматического сканирования — например, scanbase.ru проверяет сайт на наличие форм без согласия, передачу данных третьим сторонам и другие типичные нарушения за несколько минут.
Для среднего и крупного бизнеса
При масштабной обработке данных разовый аудит недостаточен — нужна системная работа. Это означает штатного или привлечённого DPO (Data Protection Officer), регулярный аудит не реже раза в год, пен-тестирование для оценки технической защищённости и интеграцию compliance-требований в DevOps-процессы: проверка новых функций на соответствие 152-ФЗ ещё на стадии проектирования обходится значительно дешевле последующих исправлений.
Для владельцев сайтов и SaaS-продуктов
Ключевые зоны риска — все формы сбора данных (в том числе скрытые, через виджеты чатов и аналитику), cookie-политика и механизм получения согласия до установки трекеров, а также передача данных в зарубежные сервисы. Использование Яндекс.Метрики с функцией записи сессий или пикселей рекламных систем без уведомления пользователя — типичное нарушение. Быструю проверку всех этих точек можно провести с помощью специализированного сканера: scanbase.ru автоматически выявляет передачу данных третьим сторонам и отсутствие корректных форм согласия.
Изменения в 152-ФЗ за последние два года
Регуляторная картина существенно изменилась с 2022 года, когда вступил в силу Закон № 266-ФЗ с масштабными поправками к 152-ФЗ. Поправки 2024 года добавили два принципиально новых инструмента: оборотные штрафы и уголовную ответственность. Обновились и требования к реестру операторов — теперь при изменении целей или способов обработки данных уведомление необходимо обновлять без промедления.
В части законодательных инициатив 2026 года на рассмотрении находятся поправки, уточняющие порядок трансграничной передачи данных и расширяющие перечень биометрических данных, подпадающих под особый режим защиты. Общая тенденция однозначна: регулирование ужесточается, а не смягчается.
Тренды правоприменения в 2025–2026
Роскомнадзор фиксирует рост числа жалоб от физических лиц — субъектов данных становится всё больше, и они лучше осведомлены о своих правах. Фокус регулятора смещается к крупным утечкам и системным нарушителям: разовые малые ошибки при добросовестном их устранении реже заканчиваются максимальными штрафами. В качестве ориентира при разработке правоприменительной практики всё более явно прослеживается GDPR — европейский стандарт защиты данных, с которым российское законодательство сближается структурно.
FAQ
Если сайт не собирает никаких данных — ни через формы, ни через аналитику, ни через cookies — формально обязанностей оператора у вас нет. Однако большинство сайтов используют хотя бы счётчик посетителей или живой чат, что автоматически создаёт обработку данных. Рекомендуем проверить сайт специализированным сканером, чтобы убедиться в отсутствии скрытых точек сбора.
Да, если вы обрабатываете данные клиентов. Исключения из обязанности уведомления касаются очень узкого перечня случаев (например, данные, обрабатываемые исключительно в личных и семейных целях). Если вы ведёте клиентскую базу, принимаете заказы или рассылаете письма — уведомление обязательно.
Само по себе использование Google Analytics не запрещено, но создаёт риски. Данные передаются на серверы вне РФ, что может квалифицироваться как трансграничная передача. Для снижения риска: разместите в политике конфиденциальности упоминание передачи данных, получите согласие до загрузки трекера и рассмотрите настройку анонимизации IP. Яндекс.Метрика с серверами в РФ с этой точки зрения безопаснее.
Любой несанкционированный доступ к персональным данным, их изменение, блокирование, копирование, распространение или уничтожение. Это включает как взлом базы данных, так и ошибочную отправку данных не тому получателю, утерю незашифрованного носителя, а также несанкционированные действия сотрудника.
Можно, при условии использования дата-центров этих провайдеров, расположенных в России. AWS и Microsoft Azure имеют российскую инфраструктуру — при выборе региона RU данные будут локализованы корректно. Хранение в европейских или американских регионах этих же провайдеров — нарушение требований локализации.
Начните с автоматической проверки сайта — это займёт меньше минуты. Специализированный сканер на scanbase.ru выявит проблемные точки: формы без согласия, передачу данных третьим сторонам, отсутствие HTTPS и другие нарушения. Результат сканирования даст чёткую картину приоритетов для устранения.
Штрафы по 152-ФЗ выросли кратно, риски реальны для бизнеса любого размера, а незнание закона не освобождает от ответственности. Первый шаг — понять текущее состояние своего сайта и процессов обработки данных. Используйте чек-лист выше для самодиагностики и не откладывайте устранение очевидных пробелов.
Проверьте ваш сайт на соответствие 152-ФЗ
Автоматическое сканирование выявит проблемные формы, передачу данных третьим сторонам и другие нарушения — за несколько минут
Запустить проверку →
Эксперт по соответствию сайтов 152-ФЗ. Пишет о практике защиты персональных данных, требованиях Роскомнадзора и технической стороне закона.