Утечка персональных данных: полная таблица штрафов 2026
Коротко
Штрафы за ПДн перестали быть символическими
До 2024 года штраф за отсутствие Политики обработки ПДн на сайте составлял 5 000 – 10 000 ₽. Многие компании не воспринимали это всерьёз: «пять тысяч — не деньги, проще заплатить, чем возиться с документами».
С середины 2025 года подход изменился кардинально. Законодатель ввёл оборотные штрафы, привязанные к выручке компании — по аналогии с антимонопольными делами. Теперь проверка Роскомнадзора — это не «просто заплати 10 тысяч и забудь», а риск, измеряемый миллионами рублей.
Почему это важно именно сейчас
- Проверки стали массовыми. В 2025 году количество внеплановых проверок Роскомнадзора выросло на 40%. Проверяют всех: от интернет-магазина с формой заказа до SaaS-платформы с тысячами пользователей.
- Штрафы складываются. Если у вас на сайте нет Политики ОПД и нет Согласия на обработку — это два состава, и штрафы по ним суммируются. Типичный сайт без документов: 4 состава × до 500 000 ₽ каждый = до 2 000 000 ₽.
- Повторность = оборотный штраф. Если после проверки вы не устранили нарушение или допустили его снова — штраф считается от выручки (1–3%), а не по фиксированной ставке.
Полная таблица штрафов по ст. 13.11 КоАП РФ
| Нарушение | Штраф для ИП/должностных лиц | Штраф для организаций | Повторное нарушение | Статья КоАП |
|---|---|---|---|---|
| Обработка ПДн без законных оснований | до 100 000 ₽ | до 300 000 ₽ | до 200 000 ₽ (должн.), до 500 000 ₽ (орг.) | ч. 1, 1.1 ст. 13.11 |
| Обработка ПДн не в тех целях, для которых собраны | до 100 000 ₽ | до 300 000 ₽ | до 200 000 ₽ (должн.), до 500 000 ₽ (орг.) | ч. 1, 1.1 ст. 13.11 |
| Обработка без письменного согласия или с неполными сведениями | до 300 000 ₽ | до 700 000 ₽ | до 500 000 ₽ (должн.), до 1 500 000 ₽ (орг.) | ч. 2, 2.1 ст. 13.11 |
| Нет опубликованной Политики ОПД | до 12 000 ₽ | до 60 000 ₽ | – | ч. 3 ст. 13.11 |
| Не предоставили субъекту информацию о его ПДн | до 12 000 ₽ | до 80 000 ₽ | до 30 000 ₽ (ИП) | ч. 4 ст. 13.11 |
| Не уточнили / не уничтожили недостоверные ПДн | до 20 000 ₽ | до 90 000 ₽ | до 50 000 ₽ (должн.), до 500 000 ₽ (орг.) | ч. 5, 5.1 ст. 13.11 |
| Нет мер по сохранности ПДн при ручной обработке | до 20 000 ₽ | до 100 000 ₽ | – | ч. 6 ст. 13.11 |
Утечки ПДн: градация штрафов по масштабу
Самая чувствительная тема для бизнеса — утечка данных. Штраф зависит от количества субъектов, чьи данные утекли, и категории этих данных.
| Масштаб утечки | Штраф (должн. лицо) | Штраф (организация) | Статья КоАП |
|---|---|---|---|
| 1 – 10 тыс. субъектов | 400 000 ₽ | 5 000 000 ₽ | ч. 12 ст. 13.11 |
| 10 – 100 тыс. субъектов | 500 000 ₽ | 10 000 000 ₽ | ч. 13 ст. 13.11 |
| Более 100 тыс. субъектов | 600 000 ₽ | 15 000 000 ₽ | ч. 14 ст. 13.11 |
| Утечка спецкатегорий ПДн | 1 300 000 ₽ | 15 000 000 ₽ | ч. 16 ст. 13.11 |
| Утечка биометрических ПДн | 1 500 000 ₽ | 20 000 000 ₽ | ч. 17 ст. 13.11 |
Если утечка произошла повторно (ч. 15 ст. 13.11 КоАП РФ), фиксированные суммы уже не применяются. Штраф для организации: 1–3% от годовой выручки, но не менее 20 млн ₽ и не более 500 млн ₽. Для ИП и должностных лиц: 800 000 – 1 200 000 ₽.
При повторной утечке спецкатегорий или биометрии (ч. 18 ст. 13.11): не менее 25 млн ₽ и не более 500 млн ₽ для организаций, а для должностных лиц — 1 500 000 – 2 000 000 ₽.
Для сравнения: средняя выручка IT-компании из 50 сотрудников — около 120 млн ₽ в год. Оборотный штраф в 3% = 3,6 млн ₽. Это уже сопоставимо с годовым ФОТ одного разработчика.
Что ещё штрафуют: три состава, о которых забывают
1. Локализация: хранение ПДн за границей
Закон требует, чтобы запись, систематизация, накопление и хранение ПДн граждан РФ велись на серверах в России. Это не рекомендация — это обязанность (ч. 5 ст. 18 ФЗ-152).
Если ваш хостинг, CRM или облачное хранилище физически находятся за пределами РФ — вы нарушаете требование локализации. И штраф здесь сопоставим со штрафом за утечку.
2. Неуведомление Роскомнадзора
| Нарушение | Штраф (должн. лицо) | Штраф (организация) | Статья |
|---|---|---|---|
| Не уведомили о начале обработки ПДн | до 50 000 ₽ | до 300 000 ₽ | ч. 10 ст. 13.11 |
| Не уведомили об утечке в течение 24 часов | до 800 000 ₽ | до 3 000 000 ₽ | ч. 11 ст. 13.11 |
Срок уведомления об утечке — 24 часа с момента обнаружения, а не 3-5 рабочих дней как принято считать. Если утечка произошла в пятницу вечером — в субботу вы уже опоздали. Штраф за опоздание с уведомлением назначается независимо от штрафа за саму утечку.
3. Нарушение правил работы с биометрией
| Нарушение | Штраф (должн. лицо) | Штраф (организация) | Статья |
|---|---|---|---|
| Нарушение порядка размещения биометрии в ЕБС | до 300 000 ₽ | до 1 000 000 ₽ | ч. 1 ст. 13.11.3 |
| Нарушение порядка обработки биометрии в ЕБС | до 300 000 ₽ | до 1 000 000 ₽ | ч. 2 ст. 13.11.3 |
| Нет мер по безопасности биометрических ПДн | до 500 000 ₽ | до 1 500 000 ₽ | ч. 3 ст. 13.11.3 |
Не только КоАП: другие виды ответственности
Административные штрафы — не единственное, что грозит за нарушения в сфере ПДн. Закон предусматривает четыре вида ответственности, и они могут применяться одновременно.
Гражданско-правовая ответственность
Субъект персональных данных вправе требовать компенсацию морального вреда и возмещение убытков (ст. 151, 1064, 1068 ГК РФ; ст. 24 ФЗ-152). В отличие от штрафов КоАП, которые идут в бюджет, компенсация идёт напрямую пострадавшему.
Пример из практики. EdTech-компания передала базу контактов учеников рекламному подрядчику без оформления Договора поручения. Родители учеников получили рекламу от сторонней организации и подали коллективный иск. Суд взыскал компенсацию морального вреда по 15 000 ₽ каждому истцу — при 400 истцах общая сумма превысила 6 млн ₽.
Дисциплинарная ответственность
Работники, имеющие доступ к ПДн, могут быть привлечены к дисциплинарной ответственности: замечание, выговор, увольнение (ст. 192–193 ТК РФ).
Пример. Менеджер по продажам выгрузил клиентскую базу из CRM и использовал её после увольнения для работы в конкурирующей компании. Основание для увольнения — разглашение ПДн. Кроме того, работодатель может предъявить иск о возмещении убытков.
Материальная ответственность работника
Если действия работника привели к убыткам работодателя (например, утечка по вине сотрудника, повлёкшая штраф для компании) — работник несёт материальную ответственность (ст. 238–248 ТК РФ).
Пример. Сотрудник потерял ноутбук без пароля, на котором хранились анкеты клиентов. Компания получила штраф 5 млн ₽ по ч. 12 ст. 13.11 КоАП РФ. Сотрудник возмещает прямой ущерб в пределах своего среднемесячного заработка, если договор о полной материальной ответственности не заключён.
Уголовная ответственность
Наиболее серьёзные последствия — по Уголовному кодексу.
| Преступление | Наказание | Статья УК РФ |
|---|---|---|
| Незаконное использование, передача, сбор или хранение компьютерной информации с ПДн | Штраф до 300 000 ₽, принудительные работы до 4 лет, либо лишение свободы до 4 лет | ст. 272.1 |
| То же деяние с передачей ПДн за границу | Штраф до 500 000 ₽, принудительные работы до 5 лет, либо лишение свободы до 8 лет | ч. 2 ст. 272.1 |
| То же деяние, совершённое группой лиц или с причинением крупного ущерба | Лишение свободы до 10 лет со штрафом до 3 млн ₽ | ч. 3 ст. 272.1 |
| Неправомерный отказ должностного лица в предоставлении гражданину документов, затрагивающих его права | Штраф до 200 000 ₽ либо лишение свободы до 2 лет | ст. 140 |
Как оценить свои риски: чек-лист из 6 вопросов
Есть ли Политика ОПД в открытом доступе?
Откройте сайт → футер → ссылка «Политика обработки персональных данных». Если ссылки нет или она ведёт на пустую страницу — штраф до 60 000 ₽ (ч. 3 ст. 13.11). Ссылка должна быть на каждой странице сайта, а не только на главной.
Берёте ли вы письменное согласие на обработку ПДн?
Проверьте все формы на сайте: заказ, регистрация, обратный звонок, подписка. Рядом с каждой формой должен быть чекбокс со ссылкой на текст Согласия. Чекбокс не должен быть проставлен заранее. Если согласия нет — штраф до 700 000 ₽ (ч. 2 ст. 13.11).
Получаете ли вы отдельное согласие на рассылку?
Если после регистрации или заказа вы отправляете клиенту рекламные письма или смс — нужно отдельное согласие на рассылку. Без него — штраф до 500 000 ₽ по ст. 14.3 КоАП РФ (закон «О рекламе»).
Где физически хранятся данные?
Хостинг, CRM, облако, сервис рассылок — у всех есть физическое расположение серверов. Если серверы за границей — вы нарушаете требование локализации. Штраф: до 6 млн ₽ за первое нарушение, до 18 млн ₽ за повторное (ч. 8, 9 ст. 13.11).
Есть ли Договоры поручения с обработчиками?
Каждый внешний сервис, куда попадают ПДн ваших клиентов (хостинг, CRM, почтовый сервис), должен быть связан с вами Договором поручения. Без договора — обработка без законных оснований, штраф до 300 000 ₽ (ч. 1 ст. 13.11).
Уведомили ли вы Роскомнадзор о начале обработки?
Если вы не подпадаете под исключения — обязаны уведомить РКН о начале обработки ПДн через форму на pd.rkn.gov.ru. Не уведомили — штраф до 300 000 ₽ (ч. 10 ст. 13.11). Исключения: обработка без автоматизации, в рамках трудовых отношений или исключительно для исполнения договора с субъектом.
Даже один состав из таблицы — повод для Роскомнадзора выписать штраф. Но четыре состава одновременно (Политика + Согласие + Рассылка + Договор поручения) — это уже рутинная ситуация. Начните с бесплатной проверки сайта и закройте самый критичный пробел первым. Обычно это отсутствие Политики ОПД в футере — устраняется за 30 минут.
Часто задаваемые вопросы
Часто задаваемые вопросы
Источники
- ст. 13.11 КоАП РФ — административные штрафы за нарушения в сфере ПДн
- ст. 13.11.3 КоАП РФ — штрафы за нарушения при обработке биометрических ПДн
- ст. 14.3 КоАП РФ — ответственность за нарушение законодательства о рекламе (рассылка без согласия)
- ст. 272.1 УК РФ — уголовная ответственность за незаконный оборот ПДн
- ст. 140 УК РФ — отказ в предоставлении информации гражданину
- ст. 151, 1064, 1068 ГК РФ — гражданско-правовая ответственность
- ст. 192-193, 238-248 ТК РФ — дисциплинарная и материальная ответственность работников
- ст. 18, 19, 24 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»
Дата публикации: 15.07.2026 | Автор: Роман Старов, юрист по IT-праву и защите ПДн