Штрафы за нарушение 152-ФЗ в 2026 году: таблица и основания
С мая 2025 года штрафы по 152-ФЗ существенно выросли — ФЗ-420 ужесточил санкции для всех операторов. Нарушения суммируются: каждое нарушение — отдельный штраф. Для организаций обработка данных без законного основания — например, счетчики, которые работают без согласия, — обходится в 150 000–300 000 руб., а если закон требовал письменного согласия, то и в 700 000 руб. Для ИП три нарушения одновременно дают до 420 000 руб.
Таблица штрафов по 152-ФЗ в 2026 году
После принятия ФЗ-420 в мае 2025 года суммы существенно изменились. Ниже актуальная таблица по основным нарушениям.
| Нарушение | ИП / Самозанятый | Организация (ООО, АО) |
|---|---|---|
| Политика обработки ПДн не опубликована (ч. 3 ст. 13.11) | 10 000–20 000 ₽ самозанятый — 1 500–3 000 ₽ | 30 000–60 000 ₽ |
| Обработка ПДн без законного основания, в т. ч. счетчики без согласия (ч. 1 ст. 13.11) | 50 000–100 000 ₽ самозанятый — 10 000–15 000 ₽ | 150 000–300 000 ₽ |
| То же повторно (ч. 1.1 ст. 13.11) | 300 000–500 000 ₽ самозанятый — 15 000–30 000 ₽ | 300 000–500 000 ₽ |
| Обработка без согласия в письменной форме там, где оно обязательно: здоровье, биометрия (ч. 2 ст. 13.11) | 100 000–300 000 ₽ самозанятый — 10 000–15 000 ₽ | 300 000–700 000 ₽ |
| То же повторно (ч. 2.1 ст. 13.11) | 500 000–1 000 000 ₽ | 1 000 000–1 500 000 ₽ |
| Не подано уведомление в Роскомнадзор (ч. 10 ст. 13.11) | 100 000–300 000 ₽ самозанятый — 5 000–10 000 ₽ | 100 000–300 000 ₽ |
| Не уведомил РКН об утечке (ч. 11 ст. 13.11) | 1–3 млн ₽ самозанятый — 50 000–100 000 ₽ | 1–3 млн ₽ |
| Сама утечка ПДн (ч. 12–14 ст. 13.11)от числа пострадавших: 1–10 тыс. / 10–100 тыс. / 100 тыс.+ | 3–15 млн ₽ | 3–15 млн ₽ |
| Повторная утечка (ч. 15 ст. 13.11) | 1–3% выручки20–500 млн ₽ | 1–3% выручки20–500 млн ₽ |
Нарушения суммируются. Нет политики, счетчики работают без согласия, не подано уведомление в РКН — это три самостоятельных нарушения с тремя штрафами: для ИП до 420 000 руб. разом (20 000 + 100 000 + 300 000), для организаций — до 660 000 руб. (60 000 + 300 000 + 300 000). Отдельно: по частям 1.1 и 8–18 (повторная обработка без основания, локализация, неуведомление РКН, утечки) ИП отвечает не как должностное лицо, а как организация — примечание 1 к ст. 13.11 КоАП.
За что конкретно штрафует РКН
За 17 лет в кибербезопасности я видел, как предприниматели получали штрафы за казалось бы незначительные упущения. Вот реальные основания, которые проверяет Роскомнадзор:
1. Отсутствие политики конфиденциальности
По ст. 18.1 152-ФЗ каждый оператор персональных данных обязан иметь политику обработки ПДн и обеспечить к ней свободный доступ. Если данные собираются через сайт, политику публикуют на этом сайте. Достаточно убрать страницу или сделать ее недоступной — и нарушение зафиксировано. Скачать шаблон из интернета и не изменить реквизиты — тоже нарушение: в политике должны быть ваши данные.
2. Нет законного основания для обработки
У каждой обработки должно быть основание из ст. 6 152-ФЗ. Для заявки, заказа и обращения в поддержку это исполнение договора по инициативе самого человека (п. 5 ч. 1 ст. 6) — отдельное согласие не требуется, достаточно уведомления со ссылкой на политику. А вот рассылка, реклама и счетчики аналитики работают только на согласии: если Метрика запускается до того, как посетитель нажал «Принять», законного основания нет. С 1 сентября 2025 года (ФЗ-156) такое согласие оформляется отдельно от других документов: его нельзя встроить в договор, оферту или пользовательское соглашение, а оператор должен уметь подтвердить, что согласие получено.
3. Отсутствие уведомления в Роскомнадзор
Если вы собираете персональные данные пользователей, вы обязаны встать на учет как оператор ПДн — подать уведомление через pd.rkn.gov.ru. Это разовое действие, но без него вы работаете нелегально с первого дня сбора данных.
4. Нарушения порядка хранения и передачи данных
Если ваш сайт или CRM хранит данные российских пользователей на зарубежных серверах — это нарушение требований о локализации данных (ФЗ-23, июль 2025). За это предусмотрены отдельные санкции вплоть до блокировки сайта.
Как Роскомнадзор находит нарушителей
Еще 5 лет назад проверки были точечными — по жалобам. Сейчас работает иначе.
- Автоматический мониторинг сайтов. РКН использует автоматизированные системы, которые периодически сканируют сайты на наличие политики конфиденциальности, форм согласия и cookie-уведомлений.
- Плановые и внеплановые проверки. Попасть в план проверок может любая организация. Малый бизнес и ИП проверяются реже, но тоже проверяются.
- Жалобы пользователей. Один недовольный клиент может инициировать проверку всей вашей деятельности по ПДн.
- Публичные реестры РКН. Если вы не зарегистрированы в реестре операторов — это красный флаг при любой автоматической проверке.
Небольшой интернет-магазин на Tilda без политики конфиденциальности — классический случай. Конкурент подает жалобу, РКН проверяет, находит отсутствие уведомления в РКН и политики — два штрафа сразу. Собственник узнает о проблеме только из письма о проверке.
Кто является оператором ПДн и обязан соответствовать 152-ФЗ
Оператором является любое лицо, которое собирает, хранит или обрабатывает персональные данные граждан РФ. На практике это:
- Любой сайт с формой обратной связи, регистрацией или подпиской
- Интернет-магазин, который принимает заказы
- Самозанятый, записывающий имена и телефоны клиентов (даже в блокнот или Google Sheets)
- ИП с CRM или базой клиентов
- Telegram-бот, собирающий контактные данные
- Организация с формами на сайте, HR-системой или клиентской базой
Налоговый режим не важен — НПД, УСН, ОСНО, ООО или ИП — обязательства по 152-ФЗ одинаковы для всех.
Как закрыть вопрос со штрафами 152-ФЗ
Три документа закрывают три самых частых основания для штрафа:
- Политика конфиденциальности — ст. 18.1 152-ФЗ, штраф за неопубликование 30 000–60 000 ₽ (орг), 10 000–20 000 ₽ (ИП). Опубликовать на сайте в открытом доступе.
- Согласие на обработку персональных данных — ст. 6 и 9 152-ФЗ + ФЗ-156: нужно там, где нет другого основания (рассылка, реклама, счетчики). Без него штраф 150 000–300 000 ₽ (орг), 50 000–100 000 ₽ (ИП); повторно — 300 000–500 000 ₽. У формы заявки — строка со ссылкой на политику, для рассылки — отдельная галочка.
- Уведомление в Роскомнадзор — ст. 22 152-ФЗ, штраф 100 000–300 000 ₽ (орг и ИП), 5 000–10 000 ₽ (самозанятый). Подать через pd.rkn.gov.ru (разовое действие).
Тариф Базовый (590 ₽) — «сайт работает легально»: эти три документа закрывают то, что видит пользователь и что РКН проверяет в первую очередь.
Тариф Расширенный (990 ₽) — «внутренний документооборот выстроен»: внутренние документы, которые запрашивают при проверке: положение о защите ПДн, перечень ПДн, приказ об ответственном, акт уничтожения, политика cookie.
Тариф Про (1 990 ₽) — максимальный комплект до 16 документов: плюс акт определения уровня защищенности ИСПДн, журнал учета обращений субъектов, форма отзыва согласия, согласие на распространение ПДн и инструкции — для спецкатегорий ПДн и углубленной подготовки к проверке. Полный состав — в тарифах Privadoc.
Проверьте, за что вас могут оштрафовать
Бесплатный аудит показывает нарушения, которые видно с улицы: нет политики, согласие собрано неверно, трекеры работают без cookie-баннера. Именно это находит проверяющий. Первые находки покажем сразу на экране.
Проверить сайт бесплатноЧасто задаваемые вопросы
Для ИП нарушения суммируются: политика не опубликована — 10 000–20 000 руб., обработка без законного основания, например счетчики без согласия — 50 000–100 000 руб., нет уведомления в РКН — 100 000–300 000 руб. Три нарушения одновременно дают до 420 000 руб. Для организаций те же три нарушения — до 660 000 руб. Повторная обработка без основания — 300 000–500 000 руб. Отдельная и куда более дорогая группа — утечки: от 3 млн руб. За неуведомление РКН, за повтор и за утечки ИП отвечает как организация.
Да. РКН ведет автоматический мониторинг сайтов и проводит плановые проверки. Жалоба пользователя не обязательна — сайт может быть проверен в рамках плановой кампании или по сигналу автоматической системы.
ФЗ-420 (май 2025) существенно увеличил санкции: обработка без законного основания для организаций — 150 000–300 000 руб., повторно — 300 000–500 000 руб.; обработка без письменного согласия там, где оно обязательно, — до 700 000 руб., повторно — до 1,5 млн руб.; утечка данных — от 3 млн руб. ФЗ-156 (сентябрь 2025) требует оформлять согласие на обработку ПДн отдельно от других документов. ФЗ-23 (июль 2025) ужесточил требования локализации данных.
Да, если вы записываете имя, телефон или email клиента — в любом виде (блокнот, таблица, CRM, мессенджер) — вы обрабатываете персональные данные и обязаны иметь документы. Сайт — не единственный признак оператора ПДн.
Минимальный комплект — политика конфиденциальности, согласие и уведомление в РКН — закрывает три основных основания для штрафов (Базовый тариф, 590 руб.). Документы с вашими реквизитами генерируются за 10 минут, ссылка на скачивание приходит на email, файлы в редактируемом формате.