Штрафы за персональные данные в 2026 году для компании с обычным сайтом выглядят так: от 150 000 до 300 000 ₽ за форму без согласия, от 30 000 до 60 000 ₽ за отсутствие открытой политики, от 100 000 до 300 000 ₽ за неподанное уведомление в Роскомнадзор. Это три самые частые строки, и они складываются. Суммы действуют с 30 мая 2025 года, когда заработал закон 420-ФЗ; до него за то же самое платили в разы меньше.
Цифры до 500 миллионов, которыми пугают заголовки, тоже настоящие, но они про утечки. Сайту с формой обратного звонка до них далеко, а вот до трёхсот-шестисот тысяч близко: хватит формы без флажка согласия и пустого места там, где должна быть ссылка на политику. Ниже вся статья 13.11 в одной таблице, потом расчёт на условном сайте по пунктам, отдельно про ИП и про то, чего в этой статье нет, хотя штрафуют за это тоже на сайте.
Вся статья 13.11 в одной таблице
Суммы для юридических лиц, сверены с текстом кодекса в сентябре 2026 года.
| Нарушение | Часть | Компании | Повторно |
|---|---|---|---|
| Обработка без законного основания или не для тех целей | 1 | 150-300 тыс. ₽ | 300-500 тыс. ₽ |
| Нет письменного согласия там, где закон требует письменного | 2 | 300-700 тыс. ₽ | 1-1,5 млн ₽ |
| Политика обработки данных не опубликована | 3 | 30-60 тыс. ₽ | - |
| Человеку не ответили, что о нём хранят | 4 | 40-80 тыс. ₽ | - |
| Не уточнили, не заблокировали, не удалили данные по требованию | 5 | 50-90 тыс. ₽ | 300-500 тыс. ₽ |
| База с данными россиян ведётся за рубежом | 8 | 1-6 млн ₽ | 6-18 млн ₽ |
| Не подано уведомление в Роскомнадзор | 10 | 100-300 тыс. ₽ | - |
| Не сообщили об утечке | 11 | 1-3 млн ₽ | - |
| Утечка: от 1 000 до 10 000 человек | 12 | 3-5 млн ₽ | 1-3% выручки |
| Утечка: от 10 000 до 100 000 человек | 13 | 5-10 млн ₽ | 1-3% выручки |
| Утечка: больше 100 000 человек | 14 | 10-15 млн ₽ | 1-3% выручки |
Таблица делится на две неравные половины. Нижняя, с миллионами, требует события: данные должны утечь или база должна оказаться за границей. Верхняя не требует ничего, кроме самого сайта. Она срабатывает в тот момент, когда на странице появилась форма.
Считаем на условном сайте
Пример условный, но узнаваемый. Компания, ООО, сайт услуг на конструкторе. На главной форма "Оставьте телефон, мы перезвоним", в шапке счётчик Метрики, в подвале название компании и почта. Страницы с политикой нет. Уведомление в Роскомнадзор никто не подавал, потому что никто не знал, что его надо подавать.
Что здесь нарушено и по какой строке.
Форма собирает телефон без флажка согласия. Телефон вместе с именем относится к персональным данным, а других законных оснований, кроме согласия, у такой формы обычно нет. Значит, обработка идёт без основания: часть 1, от 150 000 до 300 000 ₽. Во многих обзорах сюда ставят часть 2 с её 300-700 тысячами, но она написана про случаи, где закон требует согласия в письменной форме: специальные категории данных вроде сведений о здоровье, биометрия. Медицинской анкете на сайте клиники она грозит, форме обратного звонка нет. Флажок с галочкой, проставленной заранее, и согласие, зашитое в оферту одним пунктом, не спасают: с сентября 2025-го согласие должно существовать самостоятельным документом, а не строкой внутри чужого.
Политики нет. Часть 3, от 30 000 до 60 000 ₽. Самая дешёвая строка и самая заметная: отсутствие ссылки в подвале видно за три секунды.
Уведомление не подано. Часть 10, от 100 000 до 300 000 ₽. Снаружи этого не видно, зато проверяется одним запросом по ИНН в реестре операторов на сайте Роскомнадзора. Реестр открытый.
Счётчик стартует до согласия на cookie. Отдельной строки за баннер в кодексе нет, такие случаи квалифицируют по той же части 1; подробно это разобрано в статье про согласие на cookie, здесь в расчёт не включаем, чтобы не считать спорное.
Итого по трём бесспорным пунктам: от 280 000 до 660 000 ₽ на компанию. Плюс штраф на должностное лицо, то есть на директора: по части 1 от 50 000 до 100 000 ₽, по части 3 от 6 000 до 12 000 ₽. Нижняя граница вместе с директором получается 336 000 ₽, и это за сайт, на котором ничего не случилось.
Почему пункты складываются. По статье 4.4 кодекса за каждое нарушение наказывают отдельно. Послабление есть только для одинаковых нарушений, найденных за одну проверку: десять форм без согласия посчитают как одну. Но отсутствие согласия, отсутствие политики и неподанное уведомление записаны в разных частях статьи, и каждая даёт свой штраф.
Исправление всего перечисленного занимает день-два работы: документ политики, текст согласия, флажок в форме, электронная форма уведомления на портале Роскомнадзора. Дешевле любой строки таблицы. Образцы документов и порядок подачи уведомления есть у Digital Impuls, мы шаблонами не занимаемся и повторять их не будем.
ИП и самозанятые: суммы другие, но не везде
В выдаче по этому запросу обычно пишут "для ИП штрафы ниже" и на этом останавливаются. На деле статья устроена хитрее, и ошибиться можно в обе стороны.
В примечании к статье сказано, что ИП отвечает как юридическое лицо по частям 1.1 и с 8 по 18. То есть локализация, неуведомление Роскомнадзора и все утечки обходятся предпринимателю ровно во столько же, во сколько компании: те же 100-300 тысяч за неподанное уведомление, те же 1-6 миллионов за базу за рубежом.
В частях 3, 4, 5 у ИП собственная строка. За неопубликованную политику это от 10 000 до 20 000 ₽, втрое меньше, чем у компании.
А в частях 1 и 2 строки для ИП нет вообще. Тогда работает общее правило кодекса из примечания к статье 2.4: предприниматель отвечает как должностное лицо. Форма без согласия стоит ИП от 50 000 до 100 000 ₽, а не 150-300 тысяч. Это наше прочтение текста кодекса; перед спором с проверяющим его стоит подтвердить у юриста, потому что практика по свежей редакции ещё складывается.
Самозанятый без статуса ИП для кодекса обычный гражданин: по части 1 это от 10 000 до 15 000 ₽. Обязанности при этом те же, что у всех: собираешь телефоны через форму, значит, оператор.
Для малых и микропредприятий есть ещё статья 4.1.2: компании из реестра малого бизнеса штраф назначают в размере, предусмотренном для ИП, а если такой строки нет, то в половину от суммы для юридического лица. Форма без согласия для ООО из реестра малого бизнеса выходит в 75-150 тысяч. Тоже не подарок, особенно в сумме с уведомлением.
Штрафуют на сайте не только по статье 13.11
Проверяющий смотрит сайт целиком, и часть претензий к тем же страницам лежит в других статьях кодекса. В обзорах штрафов за персональные данные их обычно нет, потому что формально они про другое. Владельцу сайта от этого не легче.
Реквизиты. Сайт, который что-то продаёт, обязан показать, кто продавец: название, ИНН, ОГРН, адрес. Статья 14.8, для компаний обычно от 5 000 до 10 000 ₽. Сумма смешная, но отсутствие реквизитов часто становится поводом посмотреть на сайт внимательнее.
Вход через иностранные сервисы. Кнопка "Войти через Google" с июля 2026 года стоит компании от 500 000 до 700 000 ₽, при повторе до 1,4 миллиона. Закон о штрафах подписан 26 июня 2026 года, и это вдвое дороже, чем форма без согласия.
Реклама без маркировки. Рекламный блок без токена erid: от 200 000 до 500 000 ₽ по статье 14.3. Описание собственных товаров рекламой не считается, баннер партнёра считается.
Если прибавить к условному сайту из расчёта кнопку входа через Google, нижняя граница подходит к 800 тысячам, а верхняя переваливает за 1,3 миллиона.
Что видно снаружи, а что нет
Большая часть дешёвых и средних строк таблицы проверяется без доступа к серверу, просто открытием страницы. Для проверки не нужны ни запрос документов, ни визит: достаточно открыть сайт, и сделать это может кто угодно, от инспектора до обиженного клиента, который пишет жалобу.
Снаружи видно: есть ли политика и открывается ли ссылка; стоит ли у формы флажок согласия и не проставлен ли он заранее; появляется ли баннер о cookie; работает ли сайт по защищённому соединению; есть ли реквизиты; нет ли иностранных кнопок входа; помечена ли реклама; стоят ли зарубежные счётчики вроде Google Analytics.
Снаружи не видно: подано ли уведомление (видно по реестру, но не по сайту), где физически лежит база, кому передаются данные, есть ли внутренние документы и что произойдёт при утечке. Строки с миллионами почти целиком сидят здесь, и ни один онлайн-сервис, включая наш, их не закроет. Кто обещает "полную проверку на 152-ФЗ по адресу сайта", обещает невозможное.
Как мы это проверяем
У нас есть бесплатная проверка сайта по восьми видимым требованиям закона: вставляете адрес, через несколько секунд получаете светофор. Регистрация не нужна. В кабинете, тоже бесплатном, по каждому пункту показано, что именно нашли на странице, какая норма нарушена и какая строка штрафа ей соответствует, то есть расчёт вроде того, что выше, но по вашему сайту, а не по условному.
Мы не юристы и не выдаём заключений. Проверка отвечает на один вопрос: что увидит человек или робот, открывший ваш сайт с целью найти нарушение. Для пунктов, которые проверяются документами, в результате стоит прямая оговорка.
Источники
- Кодекс об административных правонарушениях, статья 13.11 в редакции закона от 30.11.2024 № 420-ФЗ, действует с 30 мая 2025 года; статьи 2.4 (примечание), 4.1.2, 4.4, 4.5, 14.3, 14.8. Текст сверен по КонсультантПлюс 17 сентября 2026 года.
- Федеральный закон от 27.07.2006 № 152-ФЗ "О персональных данных": статьи 9, 18.1, 22.
- Закон о штрафах за авторизацию через иностранные сервисы: законопроект № 1069392-8, подписан 26 июня 2026 года.
- Реестр операторов персональных данных: pd.rkn.gov.ru.
вопросы
Частые вопросы
01Какие штрафы за персональные данные действуют в 2026 году?
Для компаний по статье 13.11 КоАП: обработка без законного основания, в том числе форма без согласия, от 150 000 до 300 000 ₽; нет письменного согласия там, где закон требует именно письменного, от 300 000 до 700 000 ₽; нет открытой политики от 30 000 до 60 000 ₽, не подано уведомление в Роскомнадзор от 100 000 до 300 000 ₽, база за пределами России от 1 до 6 млн ₽. Суммы действуют с 30 мая 2025 года.
02Складываются ли штрафы, если нарушений несколько?
Да, по разным частям статьи наказание назначается отдельно за каждое нарушение. Исключение одно: одинаковые нарушения, найденные за одну проверку, считаются как одно. Поэтому сайт без политики, без согласия и без уведомления получает три штрафа, а не один.
03ИП платит столько же, сколько компания?
Не везде. За нарушение локализации, за неуведомление Роскомнадзора и за утечки ИП отвечает как юридическое лицо. По политике у ИП своя строка: от 10 000 до 20 000 ₽. По частям 1 и 2, где отдельной строки нет, ИП по общему правилу кодекса отвечает как должностное лицо: от 50 000 до 100 000 и от 100 000 до 300 000 ₽.
04За что штрафуют чаще: за утечку или за оформление сайта?
Крупные суммы в новостях относятся к утечкам. Но утечка случается не у всех, а форма без согласия и сайт без политики видны любому, кто открыл страницу, включая автоматический сканер. Поэтому для обычного коммерческого сайта реальный риск сидит в строках по 30-300 тысяч.
05Есть ли срок давности?
Да. По нарушениям законодательства о персональных данных постановление не выносят позже года со дня совершения, а для длящегося нарушения со дня обнаружения. Форма без согласия, которая стоит на сайте сегодня, длится сегодня, так что рассчитывать на давность бессмысленно.
06Можно ли заранее увидеть, за что оштрафуют сайт?
Ту часть, что видна снаружи, можно: наличие политики и ссылки на неё, флажок согласия у форм, баннер о cookie, защищённое соединение, реквизиты, иностранные кнопки входа, зарубежные счётчики. Уведомление в Роскомнадзор, место хранения базы и готовность к утечке проверяются только документами.