Разбираем действующие составы статьи 13.11 КоАП РФ, штрафы за отсутствие уведомления и политики, незаконную обработку, нарушения локализации и утечки персональных данных.
Закон № 152-ФЗ не устанавливает один общий штраф. Его статья 24 отсылает к другим нормам законодательства. Для бизнеса наиболее заметна административная ответственность по статье 13.11 КоАП РФ, но в зависимости от обстоятельств возможны также гражданско-правовые требования, дисциплинарная и материальная ответственность работников, а при наличии состава преступления — уголовная ответственность.
Поэтому вопрос «какой штраф за персональные данные» сначала нужно заменить другим: какое конкретное действие или бездействие нарушило какую обязанность. Неподача уведомления в Роскомнадзор, незаконная обработка, отсутствие опубликованной политики и утечка — разные составы с разными санкциями.
Основные составы закреплены в статье 13.11 КоАП РФ: от незаконной обработки и отсутствия политики до локализации, уведомлений и утечек.
Субъект может требовать возмещения убытков и морального вреда. Возмещение морального вреда не зависит от возмещения имущественного вреда и убытков.
К ответственному сотруднику могут применяться дисциплинарные меры, а вопрос материальной ответственности решается по правилам трудового законодательства.
Она возникает не за любую ошибку в документах. Например, статья 272.1 УК РФ касается незаконных действий с компьютерной информацией, содержащей персональные данные, полученной неправомерным путём.
Один инцидент может иметь последствия сразу в нескольких плоскостях: административное дело в отношении оператора, требования пострадавших, внутреннее расследование и оценку действий конкретных лиц. Однако каждый вид ответственности требует собственных юридических оснований.
Таблица ниже показывает санкции статьи 13.11 КоАП РФ для коммерческих организаций. Она не заменяет квалификацию конкретной ситуации. Перед расчётом риска проверьте пять обстоятельств.
Часть 2 статьи 13.11 КоАП РФ применяется к отсутствию письменного согласия именно в тех случаях, когда закон требует получить его в письменной форме, либо к нарушению требований к составу такого согласия. Нельзя автоматически считать любую обработку без чекбокса нарушением этой части.
Ниже приведены диапазоны для юридических лиц по частям 1–10 статьи 13.11 КоАП РФ. Для ИП порядок зависит от конкретной части статьи: в одних составах предусмотрен отдельный диапазон, в других ИП отвечает как должностное либо как юридическое лицо.
| Нарушение | Часть статьи 13.11 | Штраф для юридического лица |
|---|---|---|
| Обработка в непредусмотренных законом случаях либо несовместимо с целями сбора | ч. 1 | 150 000–300 000 ₽ |
| Повторное нарушение, предусмотренное частью 1 | ч. 1.1 | 300 000–500 000 ₽ |
| Отсутствие письменного согласия, когда оно обязательно, либо нарушение требований к его составу | ч. 2 | 300 000–700 000 ₽ |
| Повторное нарушение, предусмотренное частью 2 | ч. 2.1 | 1 000 000–1 500 000 ₽ |
| Не опубликована политика обработки персональных данных или не обеспечен иной неограниченный доступ | ч. 3 | 30 000–60 000 ₽ |
| Субъекту не предоставлена информация об обработке его данных | ч. 4 | 40 000–80 000 ₽ |
| Не исполнено требование об уточнении, блокировании или уничтожении данных | ч. 5 | 50 000–90 000 ₽ |
| Повторное нарушение, предусмотренное частью 5 | ч. 5.1 | 300 000–500 000 ₽ |
| Не обеспечена сохранность бумажных носителей при неавтоматизированной обработке, что повлекло неправомерные действия с данными | ч. 6 | 50 000–100 000 ₽ |
| Нарушение обязанности по локализации баз данных граждан РФ | ч. 8 | 1 000 000–6 000 000 ₽ |
| Повторное нарушение локализации | ч. 9 | 6 000 000–18 000 000 ₽ |
| Не подано либо несвоевременно подано уведомление о намерении обрабатывать персональные данные | ч. 10 | 100 000–300 000 ₽ |
В поиске это нарушение часто называют «штрафом за отсутствие регистрации». Юридически часть 10 статьи 13.11 устанавливает ответственность за невыполнение или несвоевременное выполнение обязанности направить уведомление о намерении осуществлять обработку персональных данных. Для юридического лица диапазон составляет от 100 000 до 300 000 рублей.
Запись в реестре не делает обработку законной автоматически. После подачи уведомления оператор продолжает отвечать за основания обработки, содержание документов, меры защиты и соответствие реальным процессам. Подробный порядок разобран на странице регистрации оператора персональных данных.
Часть 3 применяется не к отсутствию любого внутреннего документа, а к невыполнению обязанности опубликовать документ, определяющий политику оператора, либо иным образом обеспечить неограниченный доступ к нему. Для юридического лица штраф составляет от 30 000 до 60 000 рублей.
Если персональные данные собираются через сайт, оператор обязан опубликовать политику на страницах, где производится сбор. При этом политика должна описывать фактическую обработку, а не быть формальным текстом. Для проверки форм, согласий, cookie и сервисов используйте аудит сайта по 152-ФЗ.
С 30 мая 2025 года в статье 13.11 КоАП РФ действуют отдельные составы за неуведомление об инциденте и за действия или бездействие оператора, повлекшие неправомерную передачу, предоставление, распространение или доступ к данным. Размер санкции зависит от масштаба и категории информации.
| Нарушение | Часть статьи 13.11 | Штраф для юридического лица |
|---|---|---|
| Неуведомление или несвоевременное уведомление Роскомнадзора об инциденте, повлекшем нарушение прав субъектов | ч. 11 | 1 000 000–3 000 000 ₽ |
| Утечка данных 1 000–10 000 субъектов и/или 10 000–100 000 идентификаторов | ч. 12 | 3 000 000–5 000 000 ₽ |
| Утечка данных 10 000–100 000 субъектов и/или 100 000–1 000 000 идентификаторов | ч. 13 | 5 000 000–10 000 000 ₽ |
| Утечка данных более 100 000 субъектов и/или более 1 000 000 идентификаторов | ч. 14 | 10 000 000–15 000 000 ₽ |
| Повторная утечка после привлечения по специальным составам | ч. 15 | 1–3% выручки, но не менее 20 000 000 и не более 500 000 000 ₽ |
| Утечка специальных категорий персональных данных | ч. 16 | 10 000 000–15 000 000 ₽ |
| Утечка биометрических персональных данных | ч. 17 | 15 000 000–20 000 000 ₽ |
| Повторная утечка специальных или биометрических данных | ч. 18 | 1–3% выручки, но не менее 25 000 000 и не более 500 000 000 ₽ |
Штраф за сам инцидент и штраф за неуведомление о нём предусмотрены разными частями статьи. Поэтому после обнаружения признаков утечки необходимо параллельно ограничивать последствия, сохранять доказательства, устанавливать факты и контролировать обязательные уведомления. Для такой ситуации предусмотрено сопровождение при утечке персональных данных.
Нельзя взять колонку для юридических лиц и автоматически применить её к любому физическому лицу. Статья 13.11 отдельно называет граждан, должностных лиц, ИП и юридических лиц, а её примечания устанавливают специальные правила.
В одной части статьи предприниматель указан отдельно, в другой приравнивается к юридическому лицу, а в третьей применяется общее правило КоАП. Размер нужно определять по конкретному составу.
Чек-лист поможет провести первичную сверку сайта, реестра, документов и реальных процессов.
Одна проверка может выявить несколько самостоятельных нарушений: например, неподачу уведомления, отсутствие опубликованной политики и незаконную обработку. Но это не означает, что штраф автоматически умножается на каждую форму сайта, сотрудника или документ.
Необходимо определить, образуют ли действия один эпизод или несколько самостоятельных составов, кем они совершены и какие правила назначения наказания применимы. В КоАП РФ существуют нормы о назначении наказания при выявлении нескольких нарушений в ходе одного контрольного мероприятия, однако их применение зависит от фактической и юридической связи между составами.
Отдельно оценивается повторность. Повторным признаётся не просто похожее действие, а новое правонарушение в период, когда лицо считается подвергнутым административному наказанию, с учётом специальной конструкции соответствующей части статьи.
Статья 13.11 обычно устанавливает диапазон. Конкретное наказание назначается по правилам КоАП РФ с учётом характера нарушения, имущественного и финансового положения, смягчающих и отягчающих обстоятельств. Самостоятельное устранение последствий может иметь значение, но не аннулирует состав автоматически.
Фактический масштаб, последствия, повторность, действия по прекращению нарушения, содействие и документы, подтверждающие принятые меры.
Фразы «больше не повторится», новая политика без внедрения и ссылка на незнание закона сами по себе не исключают ответственность.
Для оборотных штрафов по частям 15 и 18 статья 4.1 КоАП РФ предусматривает специальный механизм определения наказания при одновременном выполнении установленных условий. Это не универсальная «скидка»: соответствие каждому условию должно подтверждаться применительно к конкретному делу.
Первая задача — остановить продолжающееся нарушение и сохранить достоверную хронологию. Попытка срочно оформить всё задним числом ухудшает позицию и не подтверждает, что процедура действительно работала.
Определите дату, процессы, категории данных, круг затронутых лиц, системы и ответственных участников.
Ограничьте лишний сбор или доступ, отключите проблемную интеграцию либо исправьте форму — в зависимости от ситуации.
Проверьте, требуется ли уведомление Роскомнадзора, ответ субъекту, изменение сведений в реестре или иное действие.
Зафиксируйте исходное состояние и предпринятые меры, версии документов, журналы, переписку и подтверждения отправки.
Обновите сайт, реестр, документы, договоры, доступы и фактический порядок работы.
Разделите подтверждённые факты, правовую оценку и дальнейшие меры. Не выдавайте предположения за установленные обстоятельства.
Нельзя гарантировать отсутствие проверки или штрафа. Реально снизить риск помогает не набор шаблонов, а согласованная система, которую можно подтвердить документами и действиями.
Формы, согласия, политику, cookie, аналитику, чаты, авторизацию и маршруты заявок.
Опишите цели, субъектов, состав данных, системы, получателей, сроки хранения и способы уничтожения.
Убедитесь, что заявленные сведения соответствуют текущим процессам и при необходимости актуализируйте их.
Подготовьте локальные акты по реальным целям, правила доступа, хранения, уничтожения, обращений и инцидентов.
Определите, кому передаются данные и кто обрабатывает их по поручению, закрепите необходимые условия.
Распределите ответственность, ограничьте доступы, обучите сотрудников и периодически проверяйте работу процедур.
«Штраф возникает не из-за отсутствия красивой папки с документами, а из-за конкретного нарушения. Поэтому сначала мы устанавливаем реальные процессы и риски, а затем приводим в соответствие сайт, реестр, документы и действия сотрудников».
Татьяна Цыхманова Генеральный директор ООО «Онлайн услуги 24»Единого максимума для всех нарушений нет. По частям 15 и 18 статьи 13.11 КоАП РФ для юридических лиц возможен оборотный штраф от 1 до 3% выручки, но не более 500 млн рублей. Эти части относятся к специальным случаям повторной утечки, а не к любой ошибке в обработке данных.
По части 10 статьи 13.11 КоАП РФ для юридического лица штраф составляет от 100 000 до 300 000 рублей. Для ИП по этой части действует правило об ответственности как для юридического лица.
По части 3 статьи 13.11 КоАП РФ штраф составляет 30 000–60 000 рублей для юридического лица и 10 000–20 000 рублей для ИП. Состав касается неопубликования политики или необеспечения иным образом неограниченного доступа к ней.
Нет. Сначала определяется правовое основание обработки. Согласие — не единственное возможное основание. Часть 2 статьи 13.11 относится к отсутствию письменного согласия, когда именно письменная форма обязательна, или к нарушению требований к его составу.
Для юридического лица первичные штрафы зависят от количества субъектов или идентификаторов и составляют от 3 до 15 млн рублей. Для специальных данных предусмотрено 10–15 млн рублей, для биометрических — 15–20 млн рублей. Повторные специальные составы могут повлечь оборотный штраф.
Да. По части 11 статьи 13.11 КоАП РФ неуведомление или несвоевременное уведомление Роскомнадзора об установленном инциденте влечёт для юридического лица штраф от 1 до 3 млн рублей.
Такая возможность существует, но ответственность каждого лица устанавливается отдельно. Нужно определить обязанности, действия и вину конкретного должностного лица, а также учитывать специальные примечания к соответствующей части статьи.
Да, текущие несоответствия нужно устранять. Это снижает вероятность продолжения нарушения и может учитываться при рассмотрении дела, но не гарантирует освобождения за уже совершённое действие. Документы нельзя оформлять задним числом.
Запись в реестре подтверждает подачу сведений, но не полное соблюдение 152-ФЗ. Отдельно проверяются основания обработки, сайт, политика, согласия, документы, безопасность, подрядчики и реальные процессы.
Перед каждым внешним использованием. Составы и размеры санкций меняются, поэтому таблица должна содержать дату актуализации и ссылку на действующую редакцию статьи 13.11 КоАП РФ.
Размеры штрафов и нормативные ссылки проверены 5 сентября 2026 года. Материал носит информационный характер: квалификация конкретного события зависит от его обстоятельств и применимой редакции закона.
Покажем конкретные несоответствия, расставим приоритеты и определим, какие действия необходимы именно вашему бизнесу.
