Штрафы по 152-ФЗ в 2026 году: за неподачу уведомления, согласие, cookie и утечки

В 2025 году ответственность за нарушения с персональными данными изменилась сильнее, чем за предыдущие десять лет. Появились оборотные штрафы за утечки, отдельный состав за неподачу уведомления и выросли суммы по старым составам. Ниже таблица на 2026 год и комментарии к строкам, которые касаются обычной компании с сайтом.

Суммы приведены для первого нарушения, если не указано иное. Статьи указаны по Кодексу об административных правонарушениях.

Таблица

Нарушение	Норма	Граждане	Должностные лица и ИП	Организации
Неподача уведомления в Роскомнадзор	ч. 10 ст. 13.11	5–10 тыс.	30–50 тыс.	100–300 тыс.
Обработка без согласия или в случаях, не предусмотренных законом	ч. 1 ст. 13.11	10–15 тыс.	100–200 тыс.	150–300 тыс.
То же, повторно	ч. 1.1 ст. 13.11	15–30 тыс.	300–500 тыс.	300–500 тыс.
Не опубликована политика обработки	ч. 3 ст. 13.11	1,5–3 тыс.	12–20 тыс.	30–60 тыс.
Не предоставлена информация субъекту по запросу	ч. 4 ст. 13.11	2–4 тыс.	12–20 тыс.	40–80 тыс.
Нарушение требований к согласию в письменной форме	ч. 2 ст. 13.11	10–20 тыс.	40–100 тыс.	300–700 тыс.
Нарушение локализации: базы данных россиян за рубежом	ч. 8 ст. 13.11	30–50 тыс.	100–200 тыс.	1–6 млн
Не уведомили Роскомнадзор об утечке	ч. 11 ст. 13.11	50–100 тыс.	400–800 тыс.	1–3 млн
Утечка данных 1–10 тыс. субъектов	ч. 12 ст. 13.11	100–200 тыс.	200–400 тыс.	3–5 млн
Утечка 10–100 тыс. субъектов	ч. 13 ст. 13.11	200–300 тыс.	300–500 тыс.	5–10 млн
Утечка свыше 100 тыс. субъектов	ч. 14 ст. 13.11	300–400 тыс.	400–600 тыс.	10–15 млн
Повторная утечка	ч. 15 ст. 13.11	400–500 тыс.	800 тыс.–1,2 млн	1–3% выручки, от 20 до 500 млн

Нормы действуют с 30 мая 2025 года в редакции закона № 420-ФЗ. Перед принятием решений сверяйтесь с актуальной редакцией кодекса: суммы меняются.

Что из этого реально грозит компании с сайтом

Утечки на миллионы это истории про большие базы. Для компании с сайтом и CRM на несколько тысяч клиентов практический риск складывается из трёх строк.

Неподача уведомления, до 300 тысяч. Самое проверяемое нарушение: инспектор открывает реестр, вас там нет. Как подать, разобрано в главном гайде.

Обработка без согласия, до 300 тысяч за первое и до 500 за повторное. Сюда попадают формы без чекбокса, предотмеченные чекбоксы, счётчики аналитики до согласия на cookie, рассылки без подтверждённой подписки. Каждая форма на сайте потенциально отдельный эпизод.

Отсутствие политики, до 60 тысяч. Самый дешёвый штраф и самое заметное нарушение. Политика должна быть опубликована и доступна с каждой страницы, где собираются данные.

Эти три нарушения находит дистанционная проверка сайта без выезда и без запроса документов. Про то, как она проходит, отдельная статья: что проверяет Роскомнадзор на сайте.

Как считаются утечки

Утечка это неправомерная передача данных, которая привела к их распространению или доступу третьих лиц. Размер штрафа зависит от числа субъектов, чьи данные пострадали, и от того, были ли среди них специальные категории или биометрия: для них вилки выше.

Повторной считается утечка, допущенная оператором, который в течение года уже привлекался по частям 12–14. Тогда штраф исчисляется от выручки за предшествующий год: от 1 до 3 процентов, минимум 20 миллионов, максимум 500. Для компании с выручкой в 100 миллионов минимальная планка в 20 миллионов это пятая часть годового оборота.

Отдельно штрафуют за молчание: об утечке нужно уведомить Роскомнадзор в течение 24 часов с момента выявления, а в течение 72 часов направить результаты внутреннего расследования. Не уведомили, до 3 миллионов, независимо от размера самой утечки.

Что снижает риск

Порядок действий, который мы рекомендуем клиентам, повторяет порядок строк таблицы снизу вверх по вероятности.

1. Проверить себя в реестре операторов и подать или обновить уведомление.
2. Проверить сайт: политика, согласия в формах, cookie и счётчики. Это можно сделать за минуту сканером.
3. Убедиться, что базы данных россиян хранятся в России, включая облачные сервисы и конструкторы.
4. Написать и отрепетировать регламент на случай утечки: кто, кого и в какие сроки уведомляет. 24 часа это очень мало, если регламента нет.
5. Минимизировать данные: не собирать то, что не нужно, удалять то, что устарело. Штраф за утечку считается по числу субъектов, а меньше данных означает меньше ответственности.

Полная проверка этих пунктов с документами и системами это аудит персональных данных, на выходе список правок со сметой.