За что чаще всего штрафуют сайты по 152-ФЗ?

Чаще всего — не за утечки, а за формальные нарушения, которые легко заметить без содержательной проверки: отсутствие политики конфиденциальности, форма без согласия на обработку данных, cookie-баннер без активного действия пользователя. Такие нарушения дешевле выявить автоматически, поэтому статистически они встречаются в разы чаще многомиллионных дел об утечках.

Как Роскомнадзор находит нарушения на сайте?

Три основных канала: автоматический скан сайтов на признаки обработки персональных данных, жалобы пользователей через приёмную РКН и плановые/внеплановые проверки операторов, уже внесённых в реестр. Автоматический скан работает без участия человека и проверяет тысячи сайтов в фоновом режиме — наличие форм, cookie-баннера, политики конфиденциальности.

Штрафуют ли за сайт-визитку без форм?

Если на сайте нет ни одной формы, счётчиков аналитики и cookie, которые идентифицируют посетителя, формальных оснований для штрафа по 152-ФЗ обычно нет — обработки персональных данных не происходит. Но большинство сайтов-визиток всё равно ставят Яндекс.Метрику или форму обратной связи — и в этот момент уже подпадают под закон.

Можно ли отделаться предупреждением?

Для юрлиц штраф — стандартная мера уже при первом выявленном нарушении по большинству составов ст. 13.11 КоАП, предупреждение не гарантировано. Малому бизнесу и ИП в отдельных случаях назначают штраф по льготной сетке (для ИП суммы ниже, чем для юрлиц), но это не освобождение от ответственности, а другая вилка сумм.

Штраф за персональные данные на сайте: за что штрафуют владельцев

Штраф за персональные данные на сайте — это не абстрактный риск для крупного бизнеса, а реальная практика, которая касается любого сайта с формой заявки, счётчиком аналитики или онлайн-чатом. Роскомнадзор проверяет сайты не только по жалобам — у него есть автоматический скан, который находит нарушения без участия человека. Разберём, какие пять нарушений встречаются чаще всего, сколько они стоят и как устроена проверка.

Кто проверяет сайты и как РКН находит нарушителей

У Роскомнадзора три канала выявления нарушений, и они работают параллельно.

Автоматический скан. Специализированные системы РКН регулярно обходят сайты и ищут признаки обработки персональных данных: формы с полями «имя», «телефон», «email», счётчики аналитики, виджеты чатов, cookie-баннеры. Отсутствие политики конфиденциальности при наличии такой формы — это то, что скан находит без участия человека и без содержательной проверки бизнес-процессов.

Жалобы пользователей. Любой посетитель сайта может подать жалобу через приёмную РКН — например, если ему не удалось отозвать согласие на рассылку или сайт передал его данные третьим лицам без предупреждения. Жалобы обрабатываются быстрее плановых проверок, потому что уже содержат конкретный факт и часто скриншоты.

Плановые и внеплановые проверки. Если компания уже стоит в реестре операторов персональных данных, у неё есть график проверок, как у любого поднадзорного бизнеса. Внеплановая проверка запускается после жалобы, инцидента у контрагента или требования прокуратуры.

Из этих трёх каналов автоматический скан даёт наибольший поток дел именно по сайтам — просто потому, что он не требует ручного труда инспектора и покрывает тысячи доменов ежедневно.

Пять типичных нарушений на сайте и штрафы

Ниже — состав нарушений, которые чаще всего фиксируют именно на сайтах (а не в офлайн-процессах компании), со ссылкой на статью КоАП и актуальную сумму для юрлица.

Нарушение	Статья	Штраф для юрлиц
Форма на сайте без согласия на обработку ПДн	ч. 2 ст. 13.11 КоАП	до 700 000 ₽
Повторное нарушение по обработке без согласия	ч. 2 ст. 13.11 КоАП	до 1 500 000 ₽
Нет политики конфиденциальности на сайте	ч. 1 ст. 13.11 КоАП	до 60 000 ₽
Политика есть, но недоступна или не заполнена	ч. 3 ст. 13.11 КоАП	до 60 000 ₽
Cookie-баннер без активного действия пользователя	ч. 2 ст. 13.11 КоАП (обработка без согласия)	до 700 000 ₽

Обратите внимание: формально самое дорогое нарушение из таблицы — не утечка данных, а обычная форма без чекбокса согласия. Утечки караются отдельно и суммы там на порядок выше — от 3 млн ₽ за первичный инцидент, подробный разбор всей сетки сумм 2026 года — в статье «Штраф за нарушение 152-ФЗ: таблица КоАП». Но по количеству реальных дел именно перечисленные пять пунктов встречаются на сайтах чаще всего — их проще найти автоматически.

Какие данные на сайте вообще считаются персональными

Часто владелец сайта уверен, что персональные данные — это только паспорт или адрес, и не видит нарушения в собственной форме заявки. На практике перечень гораздо шире. К персональным данным относится любая информация, которая прямо или косвенно относится к конкретному человеку:

имя, телефон, email — стандартные поля любой формы заявки;
IP-адрес и идентификатор устройства (cookie, ID рекламных сетей) — именно поэтому cookie-баннер подпадает под закон;
геолокация, если сайт её запрашивает или собирает через браузер;
данные о поведении на сайте, если их можно связать с конкретным пользователем — например, через личный кабинет.

Даже одна Яндекс.Метрика без единой формы на сайте формально делает компанию оператором персональных данных, потому что счётчик собирает IP и поведенческие данные посетителей. Это и есть причина, по которой почти любой действующий сайт — а не только интернет-магазины с формами оплаты — подпадает под требования 152-ФЗ.

Что именно проверяет РКН на странице сайта

Инспектор (или автоматическая система) смотрит на конкретные элементы, а не на сайт целиком:

Наличие формы сбора данных — обратный звонок, заявка, регистрация, подписка на рассылку.
Чекбокс согласия рядом с формой — должен быть отдельным активным действием, не предзаполненным.
Ссылку на политику конфиденциальности — доступна ли она из футера, открывается ли, актуальна ли дата редакции.
Cookie-баннер — есть ли явный выбор пользователя (принять/отклонить), а не просто уведомительная плашка.
Наименование оператора персональных данных — указано ли, кто именно собирает данные, с реквизитами.
Запись в реестре операторов — если сайт собирает данные, а компания не подавала уведомление в РКН, это отдельное нарушение по ст. 19.7 КоАП.

Если хотя бы один из этих пунктов не соответствует требованиям, формального основания для штрафа уже достаточно — не нужно доказывать умысел или реальный вред пользователю.

Типичный сценарий проверки

Разберём условный, но частый пример. Интернет-магазин ставит на сайт форму «Оформить заказ» и виджет обратного звонка. Формы работают, заказы поступают, но чекбокса согласия на обработку персональных данных нет — разработчик просто не добавил его при вёрстке. Отдельно на сайте нет политики конфиденциальности: компания планировала добавить её «после запуска», но так и не вернулась к задаче.

Автоматический скан РКН фиксирует оба факта в одном заходе: обработка без согласия (до 700 000 ₽) и отсутствие политики конфиденциальности (до 60 000 ₽). Составы не поглощают друг друга — суммы складываются, а не выбирается худшая. Итоговая сумма для такого магазина может дойти до 760 000 ₽ за нарушения, которые устраняются за один рабочий день: добавить чекбокс и опубликовать документ.

Полный список того, что нужно проверить и закрыть на сайте, чтобы не попасть в такую ситуацию, — в статье «Что нужно сделать на сайте по 152-ФЗ: 12 требований».

Штрафуют ли сайты-визитки без форм

Если на сайте нет ни одной формы, нет счётчиков аналитики и нет cookie, которые идентифицируют посетителя, формальной обработки персональных данных не происходит — и штрафовать, по сути, не за что. Такие сайты существуют, но встречаются редко: почти любой владелец рано или поздно ставит Яндекс.Метрику для статистики посещений или форму обратной связи для заявок — и в этот момент сайт уже подпадает под требования закона.

Проверить, есть ли на конкретном сайте формы или счётчики, которые формально делают его оператором персональных данных, — можно за пару минут через автоматический сканер, не дожидаясь проверки РКН.

Как снизить риск штрафа

Три шага закрывают большинство типичных нарушений с сайтов:

Опубликовать политику конфиденциальности — актуальную, со ссылкой из футера каждой страницы, а не только с главной.
Добавить согласие рядом с каждой формой — отдельным чекбоксом, без предзаполнения, с корректной формулировкой цели обработки.
Настроить cookie-баннер с реальным выбором — «принять» и «отклонить» как равнозначные кнопки, а не незаметная ссылка на отказ.

Отдельно стоит проверить, подавала ли компания уведомление в РКН о начале обработки — без него запись в реестре операторов отсутствует, а это отдельный состав по ст. 19.7 КоАП. Если сайт собирает данные для нескольких целей — заказы, рассылка, аналитика, — по каждой цели нужно отдельное согласие: подробнее в статье «Штраф за отсутствие политики конфиденциальности на сайте».

Чем сайт отличается от офлайн-нарушений компании

Штрафы по 152-ФЗ формально не делят компании на «интернет-бизнес» и «офлайн-бизнес» — статья 13.11 КоАП одна для всех. Но с точки зрения того, как нарушение находят, сайт устроен иначе, чем бумажный документооборот или CRM внутри офиса.

Нарушение во внутренних процессах компании — например, менеджер хранит анкеты клиентов в незащищённой папке — РКН находит только по жалобе, инциденту или плановой проверке с выездом. А нарушение на сайте видно снаружи, без запроса документов и без визита инспектора: форма, чекбокс, футер с политикой — всё это часть публичной страницы, которую можно просканировать программно. Отсюда разница в частоте: дела по утечкам данных из внутренних систем возникают реже, но с гораздо более высокими суммами, а дела по нарушениям на сайте — чаще, но по фиксированным и предсказуемым составам.

Для владельца сайта это значит одно: то, что нарушение «мелкое» по сумме относительно утечки, не делает его менее вероятным поводом для штрафа. Наоборот — простые нарушения находят в первую очередь, именно потому что их проще найти.

Быстрее всего понять, что именно не так на конкретном сайте, — прогнать его через бесплатный сканер: он проверяет формы, cookie-баннер и наличие политики за минуту и выдаёт конкретный список того, что нужно исправить, без ожидания результатов проверки Роскомнадзора.