Штрафы за нарушение 152-ФЗ о персональных данных установлены статьёй 13.11 КоАП РФ (ред. от 04.08.2026). Для организаций они начинаются с 30–60 тыс. ₽ за неопубликованную политику, доходят до 15–20 млн ₽ за утечку биометрии, а за повторную утечку — до 1–3% годовой выручки, но не более 500 млн ₽. Отдельно с 11.12.2024 действует уголовная статья 272.1 УК РФ.
Какая бывает ответственность за нарушение закона о персональных данных
Ответственность за нарушение закона о персональных данных бывает трёх видов:
- Административная — ст. 13.11 КоАП РФ «Нарушение законодательства Российской Федерации в области персональных данных». Это основной риск для бизнеса: штрафы назначают оператору (организации или ИП) и его должностным лицам.
- Уголовная — ст. 272.1 УК РФ о незаконных использовании, передаче, сборе и хранении компьютерной информации, содержащей персональные данные. Отвечает конкретный человек, а не компания.
- Гражданско-правовая — претензии самих субъектов данных, если нарушены их права.
Штраф за персональные данные зависит от трёх вещей: какое нарушение (часть статьи 13.11), кто нарушитель (гражданин, должностное лицо, ИП, юрлицо) и впервые или повторно. Ниже — все части статьи в двух таблицах.
Таблица штрафов по ст. 13.11 КоАП: обработка, согласие, политика
Суммы в рублях, редакция КоАП от 04.08.2026. Прочерк — для этой категории отдельная санкция в части не установлена (о том, как тогда отвечает ИП, — под таблицей).
| Часть | Нарушение | Граждане | Должностные лица | ИП | Юрлица |
|---|---|---|---|---|---|
| ч. 1 | Обработка в случаях, не предусмотренных законом, или несовместимая с целями сбора | 10–15 тыс. | 50–100 тыс. | — | 150–300 тыс. |
| ч. 1.1 | То же повторно | 15–30 тыс. | 100–200 тыс. | как юрлица | 300–500 тыс. |
| ч. 2 | Обработка без письменного согласия, когда оно обязательно, или согласие с нарушением требований к содержанию | 10–15 тыс. | 100–300 тыс. | — | 300–700 тыс. |
| ч. 2.1 | То же повторно | 15–30 тыс. | 300–500 тыс. | 500 тыс. – 1 млн | 1–1,5 млн |
| ч. 3 | Не опубликована политика обработки ПД или нет доступа к ней | 1 500–3 000 | 6–12 тыс. | 10–20 тыс. | 30–60 тыс. |
| ч. 4 | Не предоставлена информация субъекту по его запросу | 2–4 тыс. | 8–12 тыс. | 20–30 тыс. | 40–80 тыс. |
| ч. 5 | Не выполнено требование уточнить, блокировать или уничтожить данные | 2–4 тыс. | 8–20 тыс. | 20–40 тыс. | 50–90 тыс. |
| ч. 5.1 | То же повторно | 20–30 тыс. | 30–50 тыс. | 50–100 тыс. | 300–500 тыс. |
| ч. 6 | Не обеспечена сохранность бумажных носителей, что повлекло неправомерный доступ | 1 500–4 000 | 8–20 тыс. | 20–40 тыс. | 50–100 тыс. |
| ч. 8 | Нарушена локализация баз данных граждан РФ (ч. 5 ст. 18 152-ФЗ) | 30–50 тыс. | 100–200 тыс. | как юрлица | 1–6 млн |
| ч. 9 | То же повторно | 50–100 тыс. | 500–800 тыс. | как юрлица | 6–18 млн |
| ч. 10 | Не подано или подано несвоевременно уведомление в Роскомнадзор о намерении обрабатывать ПД | 5–10 тыс. | 30–50 тыс. | как юрлица | 100–300 тыс. |
Штраф для ИП. По примечаниям к ст. 13.11 предприниматели по ч. 1.1 и 8–18 отвечают как юридические лица. В ч. 2.1–6 для ИП указаны собственные суммы. Где отдельной санкции для ИП нет (ч. 1 и 2), применяется общее правило примечания к ст. 2.4 КоАП: ИП отвечает как должностное лицо, если иное не установлено.
Штраф за обработку без согласия — это обычно не одна, а две разные части. Если для обработки вообще нет законного основания (ни согласия, ни договора, ни закона), это ч. 1. Если закон прямо требует письменное согласие (например, для данных о здоровье или биометрии) и его нет либо в нём не хватает обязательных сведений — ч. 2. Разобраться, когда согласие действительно нужно, поможет статья нужно ли согласие на обработку персональных данных.
Штраф за утечку персональных данных
Штраф за утечку персональных данных зависит от масштаба: считают и людей (субъектов), и записи-идентификаторы. Отдельно наказывается молчание об инциденте: оператор обязан уведомить Роскомнадзор в течение 24 часов, а в течение 72 часов — сообщить результаты внутреннего расследования (ч. 3.1 ст. 21 152-ФЗ).
| Часть | Нарушение | Граждане | Должностные лица | Юрлица и ИП |
|---|---|---|---|---|
| ч. 11 | Не уведомили или несвоевременно уведомили РКН об утечке | 50–100 тыс. | 400–800 тыс. | 1–3 млн |
| ч. 12 | Утечка: 1 000–10 000 субъектов и/или 10 000–100 000 идентификаторов | 100–200 тыс. | 200–400 тыс. | 3–5 млн |
| ч. 13 | 10 000–100 000 субъектов и/или 100 000–1 000 000 идентификаторов | 200–300 тыс. | 300–500 тыс. | 5–10 млн |
| ч. 14 | Более 100 000 субъектов и/или более 1 000 000 идентификаторов | 300–400 тыс. | 400–600 тыс. | 10–15 млн |
| ч. 15 | Повторная утечка по ч. 12–14 | 400–600 тыс. | 0,8–1,2 млн | 1–3% выручки, от 20 до 500 млн |
| ч. 16 | Утечка специальных категорий данных | 300–400 тыс. | 1–1,3 млн | 10–15 млн |
| ч. 17 | Утечка биометрических данных | 400–500 тыс. | 1,3–1,5 млн | 15–20 млн |
| ч. 18 | Повторно по ч. 16–17 | 500–800 тыс. | 1,5–2 млн | 1–3% выручки, от 25 до 500 млн |
Что изменилось 30 мая 2025 года
Федеральный закон от 30.11.2024 № 420-ФЗ переписал ст. 13.11 КоАП. Изменения вступили в силу 30.05.2025:
- Выросли штрафы по ч. 1. Для юрлиц было 60–100 тыс. ₽, стало 150–300 тыс. ₽; для граждан — было 2–6 тыс., стало 10–15 тыс.; для должностных лиц — было 10–20 тыс., стало 50–100 тыс.
- Появилась ч. 10 — отдельный штраф за неподачу уведомления в Роскомнадзор, для организаций 100–300 тыс. ₽. Подробно — в статье как подать уведомление в РКН.
- Появились ч. 11–18 — штрафы за утечки, градация по числу субъектов и идентификаторов, отдельные составы для спецкатегорий и биометрии.
- Появились оборотные штрафы за повторные утечки (ч. 15 и 18).
Оборотные штрафы: пример расчёта
Оборотные штрафы применяются только к повторным утечкам. Базой служит выручка от реализации всех товаров, работ и услуг за календарный год, предшествующий году выявления нарушения (для банков — размер собственных средств). Формула для ч. 15:
Штраф = от 1% до 3% × выручка, но не меньше 20 млн ₽ и не больше 500 млн ₽
Посчитаем на условных компаниях:
| Выручка за прошлый год | 1% | 3% | Итоговый диапазон по ч. 15 |
|---|---|---|---|
| 800 млн ₽ | 8 млн | 24 млн | 20–24 млн ₽ (нижняя граница поднята до минимума) |
| 5 млрд ₽ | 50 млн | 150 млн | 50–150 млн ₽ |
| 30 млрд ₽ | 300 млн | 900 млн | 300–500 млн ₽ (верх ограничен максимумом) |
Пример для первой строки: 800 000 000 × 1% = 8 000 000 ₽ — это меньше минимума, поэтому нижняя граница становится 20 млн ₽; 800 000 000 × 3% = 24 000 000 ₽ — верхняя граница. Для малого бизнеса с выручкой меньше 667 млн ₽ (20 млн ÷ 3%) весь диапазон «схлопывается» в фиксированные 20 млн ₽. По ч. 18 (повторная утечка спецкатегорий или биометрии) расчёт тот же, но минимум — 25 млн ₽.
Уголовная ответственность: ст. 272.1 УК РФ
Статья 272.1 УК РФ введена Федеральным законом от 30.11.2024 № 421-ФЗ и действует с 11.12.2024. Она касается незаконных использования и передачи, сбора и хранения компьютерной информации, содержащей персональные данные. По ч. 1 — штраф до 300 тыс. ₽ или принудительные работы до 4 лет; за квалифицированные составы — вплоть до 10 лет лишения свободы. Отвечает физическое лицо, например сотрудник, незаконно передавший базу, а штрафы по КоАП для компании это не отменяет.
Срок давности и замена штрафа предупреждением
Срок давности привлечения за нарушение законодательства в области персональных данных — 90 календарных дней со дня совершения нарушения (ч. 1 ст. 4.5 КоАП). Для длящегося нарушения срок считается со дня его обнаружения (ч. 2 ст. 4.5). Поэтому рассчитывать, что старое нарушение «прошло», не стоит: если оно продолжается (например, политика так и не опубликована), отсчёт начнётся с момента, когда его выявят.
Статья 4.1.1 КоАП позволяет заменить штраф предупреждением, если нарушение совершено впервые, выявлено при государственном контроле и есть обстоятельства из ч. 2 ст. 3.4 КоАП. Статья 13.11 не входит в список исключений из этого правила, но замена — право, а не гарантия: решение принимают по обстоятельствам конкретного дела.
Как снизить риски: чек-лист оператора
- Опишите цели и основания. Для каждой цели — какие данные, чьи, на каком основании (ст. 6 152-ФЗ). Это защищает от ч. 1.
- Опубликуйте политику на сайте рядом с каждой формой — её можно собрать в генераторе политики (ч. 3).
- Получайте согласие там, где оно нужно, отдельным документом или действием; где закон требует письменную форму — с полным набором сведений из ч. 4 ст. 9 (ч. 2). Текст соберёт генератор согласия.
- Подайте уведомление в Роскомнадзор до начала обработки и обновляйте его при изменениях (ч. 10).
- Проверьте хостинг и сервисы: базы с данными граждан РФ должны быть в России (ч. 8).
- Заведите регламент ответа субъектам: 10 рабочих дней на ответ, продление не более чем на 5 (ст. 20) — это ч. 4 и 5.
- Подготовьте план на случай утечки: кто и как уведомит РКН за 24 часа и отчитается за 72 часа (ч. 11).
- Ограничьте доступ к базам и храните бумажные анкеты под замком (ч. 6, 12–18).
Частые вопросы
Какой штраф за персональные данные для ИП?
Зависит от части ст. 13.11. Например, за отсутствие политики на сайте ИП платит 10–20 тыс. ₽, а по ч. 1.1, 8–18 (повторная незаконная обработка, локализация, уведомление, утечки) отвечает как юридическое лицо — за неподачу уведомления это 100–300 тыс. ₽.
Какой штраф за утечку персональных данных?
Для организаций — от 3–5 млн ₽ (до 10 000 субъектов) до 10–15 млн ₽ (более 100 000 субъектов), за утечку биометрии — 15–20 млн ₽. Повторная утечка — оборотный штраф 1–3% выручки, от 20 до 500 млн ₽. Плюс 1–3 млн ₽, если не уведомить Роскомнадзор.
Какой штраф за обработку персональных данных без согласия?
Если нет никакого законного основания — ч. 1 ст. 13.11: организациям 150–300 тыс. ₽. Если нет обязательного письменного согласия или оно оформлено с нарушениями — ч. 2: 300–700 тыс. ₽, повторно — 1–1,5 млн ₽.
Что такое оборотные штрафы?
Штраф в процентах от выручки: 1–3% за календарный год, предшествующий году выявления нарушения. Он применяется только за повторную утечку (ч. 15 и 18 ст. 13.11), не меньше 20 или 25 млн ₽ и не больше 500 млн ₽.
Могут ли наказать и компанию, и директора?
Да. В большинстве частей ст. 13.11 санкции предусмотрены и для юридического лица, и для должностного лица — это разные субъекты ответственности.
Какой срок давности по штрафам за персональные данные?
90 календарных дней со дня нарушения (ч. 1 ст. 4.5 КоАП), а для длящегося нарушения — со дня его обнаружения.
Источники: ст. 13.11 КоАП РФ (ред. от 04.08.2026), ст. 4.5 КоАП РФ, ст. 4.1.1 КоАП РФ, 152-ФЗ «О персональных данных» (ред. от 26.07.2026), УК РФ, ст. 272.1. Проверено 26.10.2026.