Штрафы за персональные данные в 2026 году: сколько и за что
С 30 мая 2025 года штрафы за персональные данные выросли в разы — реформа 152-ФЗ и статьи 13.11 КоАП РФ превратила их из символических в чувствительные даже для малого бизнеса. Ниже — обзор того, за что и на сколько штрафует Роскомнадзор в 2026 году: от неподачи уведомления и отсутствия политики обработки до утечки персональных данных и оборотных штрафов за повторные нарушения.
Быстрый ответ. Штрафы за персональные данные в 2026 году: неподача уведомления в Роскомнадзор — до 300 тыс. ₽; отсутствие политики обработки — до 60 тыс. ₽; обработка без согласия — до 700 тыс. ₽; утечка ПДн — от 3 до 15 млн ₽ в зависимости от числа субъектов; повторная утечка — оборотный штраф 1–3% годовой выручки. Точные диапазоны — в таблицах ниже.
За что штрафуют: обзор нарушений с персональными данными
Штрафы за персональные данные — это не один состав, а целый набор нарушений в статье 13.11 КоАП РФ. Одни касаются «бумажной» стороны (нет уведомления, нет политики, нет согласий), другие — реальных инцидентов (утечка, несообщение о ней). В таблице ниже — ориентировочные диапазоны штрафов для юридических лиц после реформы 2025 года.
| Нарушение | Штраф для юрлица | Норма |
|---|---|---|
| Не подано уведомление об обработке ПДн в Роскомнадзор | 100–300 тыс. ₽ | ст. 13.11 КоАП |
| Нет политики обработки на сайте или не обеспечен доступ к ней | 30–60 тыс. ₽ | ч. 3 ст. 13.11 |
| Обработка ПДн без согласия, когда оно обязательно | 300–700 тыс. ₽ (повтор до 1,5 млн) | ч. 2 ст. 13.11 |
| Не сообщили в Роскомнадзор об утечке (сроки 24 и 72 часа) | 1–3 млн ₽ | ст. 13.11 КоАП |
| Утечка персональных данных | от 3 до 15 млн ₽ (см. таблицу ниже) | ст. 13.11 КоАП |
| Повторная утечка персональных данных | оборотный: 1–3% выручки, 20–500 млн ₽ | ст. 13.11 КоАП |
Суммы приведены по редакции КоАП РФ после Федерального закона № 420-ФЗ (в силе с 30 мая 2025 года). Законодатель регулярно корректирует размеры штрафов — перед действиями сверяйтесь с актуальной редакцией статьи 13.11 КоАП РФ.
Штрафы за утечку персональных данных
Самые крупные штрафы за персональные данные — за утечку. С мая 2025 года их размер привязан к масштабу утечки: чем больше субъектов пострадало, тем выше штраф. Для юридических лиц диапазоны такие:
| Масштаб утечки | Штраф для юрлица |
|---|---|
| От 1 000 до 10 000 субъектов ПДн | 3–5 млн ₽ |
| От 10 000 до 100 000 субъектов | 5–10 млн ₽ |
| Более 100 000 субъектов | 10–15 млн ₽ |
| Повторная утечка (любой масштаб) | 1–3% годовой выручки, от 20 до 500 млн ₽ |
Важно: штраф за саму утечку и штраф за несообщение о ней в Роскомнадзор — это два разных состава. Если вовремя не подать уведомление об инциденте, штраф за молчание (до 3 млн ₽) добавится к штрафу за утечку. Поэтому при инциденте критично уложиться в сроки уведомления об утечке — 24 и 72 часа, а что делать при утечке, разобрано в пошаговом плане действий.
Штраф за неподачу уведомления в Роскомнадзор
Самый частый и при этом самый «дешёвый» штраф за персональные данные — за неподачу уведомления об обработке. Для юридических лиц это 100–300 тыс. ₽, для должностных лиц — 30–50 тыс., для граждан — 5–10 тыс. рублей. Сумма невелика, но у этого штрафа есть коварная особенность.
Отсутствие в реестре операторов — это красный флаг для Роскомнадзора: обычно оно означает, что не выполнен и весь остальной комплекс требований 152-ФЗ. А за это (обработка без согласия, отсутствие политики, незащищённые данные) штрафы уже кратно выше. Поэтому уведомление об обработке стоит подать в первую очередь — как самый простой способ снять один штраф и не привлекать внимание к остальным. Как подать уведомление в Роскомнадзор — в пошаговой инструкции, а кто вообще обязан это делать — в гайде о том, кто подаёт уведомление.
Кого штрафуют: юрлица, ИП и должностные лица
Штрафы за персональные данные распространяются на всех, кто их обрабатывает, — вопрос только в размере. КоАП РФ различает несколько категорий нарушителей:
- Юридические лица — максимальные суммы; именно к ним применяются миллионные штрафы за утечки и оборотные штрафы за повтор.
- Должностные лица (директор, ответственный за обработку) — отдельный штраф поверх штрафа на организацию.
- Индивидуальные предприниматели — по ряду составов приравнены к должностным лицам, но за грубые нарушения суммы близки к корпоративным.
- Граждане и самозанятые — меньшие суммы, но ответственность возникает так же, если человек обрабатывает чужие данные.
Форма бизнеса не освобождает от штрафа: если вы обрабатываете персональные данные, вы оператор. Разобраться, попадаете ли вы под требования и обязаны ли подавать уведомление, помогает гайд о том, кто должен подавать уведомление в Роскомнадзор и кто освобождён.
Как снизить риск штрафа за персональные данные
Большинство штрафов за персональные данные закрываются базовой гигиеной. Пройдите по чеклисту — он снимает самые частые составы ещё до любой проверки:
- Подайте уведомление об обработке в Роскомнадзор — снимает штраф за неподачу и убирает красный флаг.
- Опубликуйте политику обработки ПДн на сайте и обеспечьте к ней доступ — снимает штраф за её отсутствие.
- Собирайте согласия на обработку там, где они требуются, — снимает штраф за обработку без согласия.
- Минимизируйте данные: не собирайте и не храните лишнего — то, чего нет, не утечёт и не станет штрафом.
- Подготовьте реакцию на утечку: при инциденте уведомите Роскомнадзор за 24 и 72 часа — молчание это отдельный штраф.
Добросовестные действия оператора — своевременное уведомление, наличие политики и согласий — учитываются как смягчающие обстоятельства и напрямую влияют на итоговый размер штрафа. Начать проще всего с уведомления в Роскомнадзор об обработке персональных данных и политики обработки персональных данных.
Читайте также
- Уголовная ответственность за утечку персональных данных: ст. 272.1 УК РФ — вторая линия последствий: штраф платит компания, по УК отвечает человек.
- Оборотный штраф за утечку персональных данных: что это и как избежать — самый крупный штраф — за повторную утечку.
- Уведомление в Роскомнадзор об обработке персональных данных: как подать в 2026 — как снять самый первый штраф.
- Кто должен подавать уведомление в Роскомнадзор и кто освобождён — проверьте, оператор ли вы.
- Сроки уведомления об утечке персональных данных: 24 и 72 часа — чтобы не получить штраф за молчание.
- Что делать при утечке персональных данных: пошаговый план действий — как действовать в момент инцидента.
Частые вопросы
01Какие штрафы за персональные данные действуют в 2026 году?
02Сколько составляет штраф за утечку персональных данных?
03Что такое оборотный штраф и когда он применяется?
04Какой штраф за неподачу уведомления в Роскомнадзор об обработке ПДн?
05Штрафуют ли ИП и самозанятых за персональные данные?
06Как избежать или снизить штраф за персональные данные?
Материал носит информационный характер и не является юридической консультацией. Размеры штрафов приведены по редакции КоАП РФ после закона № 420-ФЗ и могут меняться — сверяйтесь с актуальной редакцией 152-ФЗ и КоАП РФ.