BlogУведомление в Роскомнадзор об обработке персональных данных: кому, когда и как подать
Актуальная таблица штрафов за нарушения в сфере персональных данных: уведомление в Роскомнадзор, обработка без согласия, отсутствие политики, утечки и оборотные штрафы. С разбором, кто и за что платит.
Published · 4 min · Arson Tech
В 2025 году ответственность за нарушения с персональными данными изменилась сильнее, чем за предыдущие десять лет. Появились оборотные штрафы за утечки, отдельный состав за неподачу уведомления и выросли суммы по старым составам. Ниже таблица на 2026 год и комментарии к строкам, которые касаются обычной компании с сайтом.
Суммы приведены для первого нарушения, если не указано иное. Статьи указаны по Кодексу об административных правонарушениях.
| Нарушение | Норма | Граждане | Должностные лица и ИП | Организации |
|---|---|---|---|---|
| Неподача уведомления в Роскомнадзор | ч. 10 ст. 13.11 | 5–10 тыс. | 30–50 тыс. | 100–300 тыс. |
| Обработка без согласия или в случаях, не предусмотренных законом | ч. 1 ст. 13.11 | 10–15 тыс. | 100–200 тыс. | 150–300 тыс. |
| То же, повторно | ч. 1.1 ст. 13.11 | 15–30 тыс. | 300–500 тыс. | 300–500 тыс. |
| Не опубликована политика обработки | ч. 3 ст. 13.11 | 1,5–3 тыс. | 12–20 тыс. | 30–60 тыс. |
| Не предоставлена информация субъекту по запросу | ч. 4 ст. 13.11 | 2–4 тыс. | 12–20 тыс. | 40–80 тыс. |
| Нарушение требований к согласию в письменной форме | ч. 2 ст. 13.11 | 10–20 тыс. | 40–100 тыс. | 300–700 тыс. |
| Нарушение локализации: базы данных россиян за рубежом | ч. 8 ст. 13.11 | 30–50 тыс. | 100–200 тыс. | 1–6 млн |
| Не уведомили Роскомнадзор об утечке | ч. 11 ст. 13.11 | 50–100 тыс. | 400–800 тыс. | 1–3 млн |
| Утечка данных 1–10 тыс. субъектов | ч. 12 ст. 13.11 | 100–200 тыс. | 200–400 тыс. | 3–5 млн |
| Утечка 10–100 тыс. субъектов | ч. 13 ст. 13.11 | 200–300 тыс. | 300–500 тыс. | 5–10 млн |
| Утечка свыше 100 тыс. субъектов | ч. 14 ст. 13.11 | 300–400 тыс. | 400–600 тыс. | 10–15 млн |
| Повторная утечка | ч. 15 ст. 13.11 | 400–500 тыс. | 800 тыс.–1,2 млн | 1–3% выручки, от 20 до 500 млн |
Нормы действуют с 30 мая 2025 года в редакции закона № 420-ФЗ. Перед принятием решений сверяйтесь с актуальной редакцией кодекса: суммы меняются.
Утечки на миллионы это истории про большие базы. Для компании с сайтом и CRM на несколько тысяч клиентов практический риск складывается из трёх строк.
Неподача уведомления, до 300 тысяч. Самое проверяемое нарушение: инспектор открывает реестр, вас там нет. Как подать, разобрано в главном гайде.
Обработка без согласия, до 300 тысяч за первое и до 500 за повторное. Сюда попадают формы без чекбокса, предотмеченные чекбоксы, счётчики аналитики до согласия на cookie, рассылки без подтверждённой подписки. Каждая форма на сайте потенциально отдельный эпизод.
Отсутствие политики, до 60 тысяч. Самый дешёвый штраф и самое заметное нарушение. Политика должна быть опубликована и доступна с каждой страницы, где собираются данные.
Эти три нарушения находит дистанционная проверка сайта без выезда и без запроса документов. Про то, как она проходит, отдельная статья: что проверяет Роскомнадзор на сайте.
Утечка это неправомерная передача данных, которая привела к их распространению или доступу третьих лиц. Размер штрафа зависит от числа субъектов, чьи данные пострадали, и от того, были ли среди них специальные категории или биометрия: для них вилки выше.
Повторной считается утечка, допущенная оператором, который в течение года уже привлекался по частям 12–14. Тогда штраф исчисляется от выручки за предшествующий год: от 1 до 3 процентов, минимум 20 миллионов, максимум 500. Для компании с выручкой в 100 миллионов минимальная планка в 20 миллионов это пятая часть годового оборота.
Отдельно штрафуют за молчание: об утечке нужно уведомить Роскомнадзор в течение 24 часов с момента выявления, а в течение 72 часов направить результаты внутреннего расследования. Не уведомили, до 3 миллионов, независимо от размера самой утечки.
Порядок действий, который мы рекомендуем клиентам, повторяет порядок строк таблицы снизу вверх по вероятности.
Полная проверка этих пунктов с документами и системами это аудит персональных данных, на выходе список правок со сметой.
Personal data audit (152-FZ)
Leave a contact and we will review your case with an estimate within one business day.
Разбираем без юридического тумана: кто обязан уведомить Роскомнадзор, какие сроки, что писать в форме, как подать через Госуслуги, как проверить себя в реестре и что будет, если не подать.
Роскомнадзор проверяет сайты автоматически. Разбираем, что известно о системе мониторинга, какие признаки нарушений она фиксирует, чем это грозит и как проверить свой сайт теми же методами до того, как это сделает ведомство.
Как устроена проверка сайта без выезда: что смотрит инспектор и автоматические системы, какие нарушения находят чаще всего и как подготовиться, чтобы проверка закончилась ничем.