Штраф за нарушение 152-ФЗ: полная таблица составов КоАП на 2026 год

Штраф за нарушение 152-ФЗ — это не одна цифра, а больше десятка разных составов обработки персональных данных в статье 13.11 КоАП, у каждого из которых своя сумма для граждан, должностных лиц, ИП и юрлиц. Кто-то ищет «штраф за 152-ФЗ» и находит только пример с оборотными миллионами за утечку — и решает, что раз данных мало и утечек не было, риска нет. Это ошибка: чаще всего оператора персональных данных штрафуют вовсе не за утечку, а за отсутствие политики конфиденциальности или формы без согласия — суммы скромнее, но случаев на порядок больше.

Собрали все составы в одну таблицу — от 3 000 ₽ до 500 млн ₽ — и разобрали, что изменилось с 30 мая 2025 года.

Сводная таблица: все составы ст. 13.11 КоАП и смежных норм

Ниже — полная картина по состояниям на 2026 год. Суммы для юрлиц указаны верхней границей вилки; для остальных категорий — там, где норма их предусматривает отдельно.

Нарушение	Норма	Юрлицо	Должностное лицо / ИП	Гражданин
Обработка ПДн без надлежащего согласия	ч. 2 ст. 13.11 КоАП	до 700 000 ₽	до 100 000 ₽	до 10 000 ₽
Повторное нарушение по обработке без согласия	ч. 2 ст. 13.11 КоАП	до 1 500 000 ₽	до 200 000 ₽	до 20 000 ₽
Отсутствие публичной политики обработки ПДн	ч. 1 ст. 13.11 КоАП	до 60 000 ₽	до 8 000 ₽	—
Политика опубликована, но недоступна или неполна	ч. 3 ст. 13.11 КоАП	до 60 000 ₽	до 12 000 ₽	—
Утечка: 1 000–10 000 субъектов	ст. 13.11 КоАП (в ред. 420-ФЗ)	3 000 000 – 5 000 000 ₽	—	—
Утечка: 10 000–100 000 субъектов	ст. 13.11 КоАП (в ред. 420-ФЗ)	5 000 000 – 10 000 000 ₽	—	—
Утечка: свыше 100 000 субъектов или спецкатегории/биометрия	ст. 13.11 КоАП (в ред. 420-ФЗ)	15 000 000 – 20 000 000 ₽	—	—
Повторная утечка (любой масштаб)	ст. 13.11 КоАП (в ред. 420-ФЗ)	оборотный: 1–3% выручки, от 20 до 500 млн ₽	—	—
Неуведомление РКН об утечке в срок 24/72 часа	ст. 13.11 КоАП (в ред. 420-ФЗ)	1 000 000 – 3 000 000 ₽	—	—
Неподача уведомления в реестр операторов	ст. 19.7 КоАП	3 000 – 5 000 ₽	300 – 500 ₽	100 – 300 ₽

Подробный расчёт оборотного штрафа на конкретном примере и регламент 24/72 часа — в статье «Штрафы за утечку персональных данных в 2026 году: таблица». Здесь задача другая — увидеть все составы сразу, а не только утечки.

Что изменилось с 30 мая 2025 года

До реформы 420-ФЗ статья 13.11 КоАП была почти универсальной нормой: одна и та же формулировка покрывала и утечку, и обработку без согласия, и отсутствие документов, а суммы редко превышали 100 000 ₽ для юрлица — независимо от масштаба инцидента. Разбор старых и новых правил целиком — в статье «Новые штрафы за персональные данные с 30 мая 2025».

Три ключевых изменения:

1. Составы разделили. Вместо одной общей нормы — отдельные пункты для обработки без согласия, отсутствия политики, недоступности политики и утечки. У каждого своя вилка сумм.
2. Появился оборотный штраф. Раньше утечка любого масштаба каралась фиксированной суммой. Теперь при повторной утечке штраф считается от выручки нарушителя — 1–3%, но не менее 20 млн ₽.
3. Суммы за утечку выросли на порядок. Даже первичная утечка 1 000–10 000 записей теперь стоит от 3 млн ₽ — раньше подобные случаи закрывались штрафом в разы меньше.

Почему составы не поглощают друг друга

Частое заблуждение — что за одну проверку можно получить только один штраф. На практике нарушения по разным пунктам складываются, а не выбирают «самый тяжёлый».

Типичный сценарий: утечка данных клиентской базы, о которой компания не сообщила в Роскомнадзор в течение 24 часов. Это сразу два состава — сама утечка (от 3 млн ₽ в зависимости от масштаба) и отдельно неуведомление в срок (1–3 млн ₽). При этом если параллельно выясняется, что на сайте не было формы согласия на обработку данных, добавляется ещё до 700 000 ₽ по ч. 2 ст. 13.11 КоАП. Итоговая сумма — это не выбор худшего пункта, а арифметическая сумма всех выявленных нарушений.

Именно поэтому мелкие и с виду безобидные несоответствия — отсутствующая ссылка на политику, устаревший субъект персональных данных в реквизитах — стоит закрывать сразу, а не откладывать до момента, когда их находят вместе с чем-то более серьёзным.

Как считают оборотный штраф на практике

Оборотный штраф — самая непрозрачная строка таблицы, поэтому разберём его на условном примере. Компания с годовой выручкой 400 млн ₽ допускает повторную утечку данных (первая утечка уже была зафиксирована и оштрафована ранее). Регулятор берёт 1–3% от выручки — это 4–12 млн ₽ — и сравнивает с минимальным порогом 20 млн ₽. Поскольку расчётная сумма ниже минимума, применяется минимум: 20 млн ₽.

Для крупной компании с выручкой 3 млрд ₽ расчёт даёт 30–90 млн ₽ — уже выше минимального порога, и именно эта сумма (в пределах вилки и с учётом максимума 500 млн ₽) ляжет в основу штрафа. Отсюда практический вывод: чем крупнее оборот компании, тем ощутимее становится именно процентная, а не минимальная часть нормы — то есть у крупного бизнеса цена повторной утечки растёт вместе с выручкой, а не остаётся плоской суммой. Реальные примеры дел и то, как суды применяли новые нормы в 2025–2026 годах, — в статье «Утечка персональных данных: судебная практика».

Кто и как штрафует по 152-ФЗ

Дело возбуждает Роскомнадзор — по плановой проверке, по жалобе субъекта персональных данных или по факту утечки, о которой стало известно из открытых источников. Дальше есть три типичных канала обнаружения:

• Автоматический скан сайтов. РКН и сторонние сервисы регулярно проверяют публичные страницы на наличие политики конфиденциальности, форм согласия и корректного cookie-баннера — без участия человека.
• Жалоба субъекта. Человек, чьи данные обработали без согласия или не удалили по запросу, вправе пожаловаться напрямую в РКН.
• Факт утечки. Утечка становится известна из открытых источников (публикация в даркнете, СМИ) либо от самого оператора — если он подал уведомление вовремя.

Инспектор фиксирует нарушение протоколом, а штраф назначает суд. Между обнаружением проблемы и реальным взысканием обычно проходит время — и это время можно использовать, чтобы устранить нарушение до того, как дело дойдёт до протокола.

С чего обычно начинается проверка

На практике самые дешёвые по номиналу составы — отсутствие политики конфиденциальности (до 60 000 ₽) и неподача уведомления в реестр операторов (3 000–5 000 ₽) — статистически встречаются гораздо чаще многомиллионных утечек. Причина простая: их легче всего обнаружить автоматически, без содержательной проверки бизнес-процессов.

Порядок действий для минимизации риска обычно такой:

1. Проверить, есть ли компания в реестре операторов — если уведомление не подавалось, это первый и самый дешёвый пункт для закрытия.
2. Убедиться, что на сайте опубликована актуальная и доступная политика обработки персональных данных.
3. Проверить формы сбора данных на корректное согласие — отдельным документом, без «пакетных» формулировок.
4. Только после этого разбирать более сложные и дорогие риски — трансграничную передачу, хранение биометрии, регламент реагирования на утечку.

Для первых трёх пунктов не нужен юрист — их можно проверить самостоятельно за несколько минут, прогнав сайт через автоматическую проверку и сверив результат с этой таблицей.

Итог

Полная сетка штрафов по 152-ФЗ в 2026 году — от 3 000 ₽ за неподачу уведомления в реестр до 500 млн ₽ за повторную утечку с оборотным штрафом. Между этими полюсами — обработка без согласия (до 700 000 ₽, до 1 500 000 ₽ повторно) и отсутствие политики конфиденциальности (до 60 000 ₽). Составы складываются, а не поглощают друг друга, и большинство реальных дел начинается не с утечки, а с самых простых и легко обнаруживаемых нарушений — тех, что можно закрыть за один день без юриста.