Штрафы за нарушение 152-ФЗ в 2026 году: таблица и основания
С мая 2025 года штрафы по 152-ФЗ существенно выросли — ФЗ-420 ужесточил санкции для всех операторов. Нарушения суммируются: каждое нарушение — отдельный штраф. Для организаций обработка данных без согласия обходится в 300 000–700 000 руб., при повторных нарушениях — до 18 млн руб. Для ИП три нарушения одновременно дают до 400 000 руб.
Таблица штрафов по 152-ФЗ в 2026 году
После принятия ФЗ-420 в мае 2025 года суммы существенно изменились. Ниже актуальная таблица по основным нарушениям.
| Нарушение | ИП / Самозанятый | Организация (ООО, АО) |
|---|---|---|
| Нет политики конфиденциальности или не опубликована (ст. 18.1) | до 150 000 ₽ | до 300 000 ₽ |
| Обработка персональных данных без согласия субъекта (ст. 9) | до 150 000 ₽ | 300 000–700 000 ₽ |
| Отсутствие уведомления в Роскомнадзор (ст. 22) | до 100 000 ₽ | до 300 000 ₽ |
| Повторные нарушения (организации) | — | до 18 000 000 ₽ |
| Нарушение требований к cookie (ФЗ-156) | до 150 000 ₽ | до 500 000 ₽ |
Нарушения суммируются. Нет политики, нет согласия, не подано уведомление в РКН — это три самостоятельных нарушения с тремя штрафами. Для ИП сумма достигает 400 000 руб., для организаций — свыше 1 000 000 руб.
За что конкретно штрафует РКН
За 17 лет в кибербезопасности я видел, как предприниматели получали штрафы за казалось бы незначительные упущения. Вот реальные основания, которые проверяет Роскомнадзор:
1. Отсутствие политики конфиденциальности
По ст. 18.1 152-ФЗ каждый оператор персональных данных обязан опубликовать политику конфиденциальности на своём сайте в открытом доступе. Достаточно убрать страницу или сделать её недоступной — и нарушение зафиксировано. Скачать шаблон из интернета и не изменить реквизиты — тоже нарушение: в политике должны быть ваши данные.
2. Нет согласия пользователей на обработку ПДн
С 1 сентября 2025 года ФЗ-156 ввёл требование: согласие на обработку персональных данных — отдельный документ, не просто галочка в форме. Каждая форма сбора данных (обратная связь, подписка, регистрация) требует явного согласия, а оператор должен иметь возможность это согласие подтвердить.
3. Отсутствие уведомления в Роскомнадзор
Если вы собираете персональные данные пользователей, вы обязаны встать на учёт как оператор ПДн — подать уведомление через pd.rkn.gov.ru. Это разовое действие, но без него вы работаете нелегально с первого дня сбора данных.
4. Нарушения порядка хранения и передачи данных
Если ваш сайт или CRM хранит данные российских пользователей на зарубежных серверах — это нарушение требований о локализации данных (ФЗ-23, июль 2025). За это предусмотрены отдельные санкции вплоть до блокировки сайта.
Как Роскомнадзор находит нарушителей
Ещё 5 лет назад проверки были точечными — по жалобам. Сейчас работает иначе.
- Автоматический мониторинг сайтов. РКН использует автоматизированные системы, которые периодически сканируют сайты на наличие политики конфиденциальности, форм согласия и cookie-уведомлений.
- Плановые и внеплановые проверки. Попасть в план проверок может любая организация. Малый бизнес и ИП проверяются реже, но тоже проверяются.
- Жалобы пользователей. Один недовольный клиент может инициировать проверку всей вашей деятельности по ПДн.
- Публичные реестры РКН. Если вы не зарегистрированы в реестре операторов — это красный флаг при любой автоматической проверке.
Небольшой интернет-магазин на Tilda без политики конфиденциальности — классический случай. Конкурент подаёт жалобу, РКН проверяет, находит отсутствие уведомления в РКН и политики — два штрафа сразу. Собственник узнаёт о проблеме только из письма о проверке.
Кто является оператором ПДн и обязан соответствовать 152-ФЗ
Оператором является любое лицо, которое собирает, хранит или обрабатывает персональные данные граждан РФ. На практике это:
- Любой сайт с формой обратной связи, регистрацией или подпиской
- Интернет-магазин, который принимает заказы
- Самозанятый, записывающий имена и телефоны клиентов (даже в блокнот или Google Sheets)
- ИП с CRM или базой клиентов
- Telegram-бот, собирающий контактные данные
- Организация с формами на сайте, HR-системой или клиентской базой
Налоговый режим не важен — НПД, УСН, ОСНО, ООО или ИП — обязательства по 152-ФЗ одинаковы для всех.
Как закрыть вопрос со штрафами 152-ФЗ
Три документа адресуют три самых крупных штрафа по ФЗ-420:
- Политика конфиденциальности — ст. 18.1, штраф без неё до 300 000 ₽ (орг). Опубликовать на сайте в открытом доступе.
- Согласие на обработку персональных данных — ст. 9 + ФЗ-156, штраф 300 000–700 000 ₽ (орг). Добавить в каждую форму.
- Уведомление в Роскомнадзор — ст. 22, штраф до 300 000 ₽. Подать через pd.rkn.gov.ru (разовое действие).
Тариф Базовый (590 ₽) — «сайт работает легально»: эти три публичных документа закрывают то, что видит пользователь и что РКН проверяет в первую очередь. Около 70% вероятности прохождения поверхностной проверки.
Тариф Расширенный (990 ₽) — «внутренний документооборот выстроен»: полный набор для прохождения проверки РКН и трудовых инспекций: положение о защите ПДн, приказы, акты, политика cookie. Полный состав — в тарифах Privadoc.
Получите документы за 10 минут
Политика конфиденциальности, согласие на обработку ПДн и уведомление в РКН — с вашими реквизитами, в редактируемом формате, готовые к использованию.
Оформить документы — от 590 ₽Часто задаваемые вопросы
Для ИП нарушения суммируются: отсутствие политики — до 150 000 руб., обработка без согласия — до 150 000 руб., отсутствие уведомления в РКН — до 100 000 руб. Три нарушения одновременно дают до 400 000 руб. Для организаций за отсутствие согласия — до 700 000 руб., при повторных нарушениях — до 18 млн руб.
Да. РКН ведёт автоматический мониторинг сайтов и проводит плановые проверки. Жалоба пользователя не обязательна — сайт может быть проверен в рамках плановой кампании или по сигналу автоматической системы.
ФЗ-420 (май 2025) существенно увеличил санкции: штраф за обработку без согласия для организаций составляет 300 000–700 000 руб., при повторных нарушениях — до 18 млн руб. ФЗ-156 (сентябрь 2025) добавил требования к отдельному согласию на cookie. ФЗ-23 (июль 2025) ужесточил требования локализации данных.
Да, если вы записываете имя, телефон или email клиента — в любом виде (блокнот, таблица, CRM, мессенджер) — вы обрабатываете персональные данные и обязаны иметь документы. Сайт — не единственный признак оператора ПДн.
Минимальный комплект — политика конфиденциальности, согласие и уведомление в РКН — закрывает три основных основания для штрафов (Базовый тариф, 590 руб.). Документы с вашими реквизитами генерируются за 10 минут и приходят на email в редактируемом формате.