Штраф за персональные данные: сколько платит компания и за что

5 нарушений, за которые чаще всего назначают штраф за персональные данные

Проверка обычно начинается с того, что видно снаружи, без единого запроса в компанию: открытый сайт, форма обратной связи, текст согласия под ней.

Уведомление об обработке не подано. Оператор обязан сообщить о намерении обрабатывать данные до начала обработки (ч. 1 ст. 22 152-ФЗ). Случаи, когда уведомление не нужно, перечислены в ч. 2 той же статьи, и с 1 сентября 2022 года их почти не осталось. Если ваша компания ведет сайт, нанимает работников или собирает клиентскую базу, вы обязаны подать такое уведомление. Не подала — 100 000–300 000 рублей организации и 30 000–50 000 ее руководителю (ч. 10 ст. 13.11 КоАП РФ).

Политики обработки нет в открытом доступе. Политику обработки вы обязаны опубликовать так, чтобы ее нашел любой посетитель вашего сайта. Ссылка в подвале есть, а страница отдает ошибку — нарушение уже есть. Штраф здесь мягкий: 30–60 тысяч рублей организации (ч. 3 той же статьи). Опасен он другим: с этого состава проверяющий переходит к остальным.

Данные собираются без основания или не для той цели. Анкета просит паспорт там, где для доставки хватает имени и телефона. Резюме кандидата, который не прошел отбор 2 года назад, лежит в общей папке. Это ч. 1 ст. 13.11 КоАП РФ: 150 000–300 000 рублей организации, 50 000–100 000 руководителю.

Согласия нет или оно не такое, как требует закон. Галочка проставлена заранее, текст согласия отсылает к несуществующему документу, одна форма собирает согласие сразу на рассылку, скоринг и передачу партнерам. Вилка тут выше вдвое: 300 000–700 000 рублей организации (ч. 2 той же статьи).

Об утечке не сообщили. Самостоятельный состав, который живет отдельно от самой утечки: 1–3 миллиона рублей организации (ч. 11 той же статьи). Молчание обходится дороже, чем признание.

Первые 2 состава вы можете закрыть за неделю силами вашей компании. Остальные 3 требуют разбора документов, и именно они попадают в протокол чаще всего.

Размеры штрафов по ст. 13.11 КоАП РФ для компаний и директоров

В ст. 13.11 КоАП РФ 18 частей, и разброс между ними тысячекратный. Ниже опорные суммы для организации, ее руководителя и рядового работника, который действовал сам.

Обработка данных без надлежащего основания стоит организации 150–300 тысяч рублей, руководителю — 50–100 тысяч, работнику как гражданину — 10–15. Состав описан в ч. 1 той же статьи. Если основания нет вовсе, то есть согласие не получено, вилка удваивается: организация отдает 300–700 тысяч, руководитель — 100–300, и отвечает за это ч. 2 той же статьи.

Бумажные составы стоят дешевле. Неопубликованная политика обработки обходится компании в 30–60 тысяч рублей, руководителю — в 6–12 (ч. 3 той же статьи). Невыполненное требование субъекта данных — в 50–90 тысяч компании и 8–20 руководителю по ч. 5 той же статьи. Неподанное уведомление об обработке дороже: 100–300 тысяч с организации и 30–50 с руководителя (ч. 10 той же статьи).

Разрыв между этими цифрами и есть главный вывод. За одно и то же действие организация отвечает вдесятеро против человека и втрое–вшестеро против собственного руководителя. Отсюда и поведение проверяющего: дело он ведет против компании, а работник в нем почти никогда не появляется.

Дальше открывается вторая шкала, и счет там идет на миллионы. Утекшую базу считают по головам. От 1 000 до 10 000 пострадавших обходятся организации в 3–5 миллионов рублей, до 100 тысяч — в 5–10, свыше 100 тысяч — в 10–15. Ступени записаны в ч. 12 той же статьи, в ч. 13 и в ч. 14 той же статьи. Медицинские сведения, судимости и прочие специальные категории тянут на те же 10–15 миллионов по ч. 16, а отпечатки и слепки лица — на 15–20 по ч. 17 той же статьи.

Локализация баз данных: от 1 до 18 миллионов за зарубежные сервисы

Этот состав стоит особняком, потому что суммы в нем на порядок выше всех остальных, а нарушают его компании, которые считают себя добросовестными. Речь о требовании собирать и хранить персональные данные граждан России в базах, находящихся на территории России.

Невыполнение этой обязанности обходится организации в 1 000 000–6 000 000 рублей, руководителю — в 100 000–200 000 (ч. 8 той же статьи). Повтор поднимает планку до 6 000 000–18 000 000 для компании и до 500 000–800 000 для директора (ч. 9 той же статьи). Это самый дорогой состав всей статьи после утечек.

Попадают в него неожиданным образом. Компания ставит зарубежный сервис рассылок, и адреса клиентов уезжают на иностранные серверы. Отдел кадров ведет анкеты в облачной таблице, привязанной к зарубежному аккаунту. Сайт собирает заявки через иностранную форму, а заявки хранятся там же. Ни в одном из этих случаев компания не думает о базах данных — она думает об удобстве работы.

Проверяется этот состав снаружи, как и остальные. Надзорному органу достаточно посмотреть, куда уходят данные из формы на вашем сайте и какие сторонние скрипты на нем стоят. Отсюда практический вывод: перечень сервисов, которые получают данные ваших клиентов и сотрудников, стоит составить раньше, чем это сделает проверяющий.

Порядок действий при утечке: регламентные сроки уведомления Роскомнадзора

Делом утечка становится в тот момент, когда о ней узнает надзорный орган — от вас или помимо вас. Разница в деньгах измеряется миллионами.

Закон дает 2 срока. В течение 24 часов оператор сообщает уполномоченному органу о самом инциденте, его предполагаемых причинах, предполагаемом вреде и уже принятых мерах, а также о контактах своего представителя. Внутри вашей компании в этот же день фиксируют, кто и когда обнаружил инцидент, какие системы затронуты и чьи данные могли уйти. Записанная по горячим следам хронология потом становится доказательством: она показывает, что оператор узнал о событии тогда же, когда сообщил, и опровергает довод о сокрытии. Восстановить ее через месяц по памяти сотрудников не получается.

В течение 72 часов — результаты внутреннего расследования и сведения о лицах, чьи действия стали причиной (ч. 3.1 ст. 21 152-ФЗ).

Сутки — это мало. Обычно первые часы уходят на то, чтобы понять, что вообще произошло, и в результате уведомление опаздывает. Порядок, который работает: ответственный за обработку получает право отправить первое сообщение без согласования, шаблон уведомления лежит готовым, а точный объем утечки уточняется уже во втором документе. Первое уведомление не обязано быть исчерпывающим — оно обязано быть вовремя.

Молчание обходится организации в штраф 1–3 миллиона рублей (ч. 11 ст. 13.11 КоАП РФ) и почти всегда тянет за собой второе дело — по самой передаче. Уведомление, отправленное в срок, эту вторую часть не отменяет, но опровергает довод о сокрытии, а он в заседании работает против компании сильнее любого технического обстоятельства.

Отдельно стоит помнить о риске, который деньгами не измеряется. Незаконные сбор, хранение и передача компьютерной информации, содержащей персональные данные, образуют состав преступления (ч. 1 ст. 272.1 УК РФ). Отвечает по нему конкретный человек, а не организация, и адресат нормы — не только сторонний взломщик, но и работник, который вынес базу.

Оборотные штрафы: ответственность компании за повторные инциденты

Самое дорогое в этой статье — повторное нарушение. Для повторного нарушения законодатель отказался от вилки в рублях и перешел к доле выручки.

Повторная неправомерная передача наказывается штрафом в 1–3 % совокупного размера выручки, но не менее 20 миллионов и не более 500 миллионов рублей (ч. 15 ст. 13.11 КоАП РФ). Если речь о специальных категориях или биометрии, нижняя граница поднимается до 25 миллионов (ч. 18 той же статьи).

Считайте сами, что это значит для компании с оборотом в 3 миллиарда: один процент — 30 миллионов рублей. Такая сумма видна в отчетности отдельным событием.

Из такой конструкции следует практический вывод. После первого дела компания попадает в положение, где любая следующая ошибка стоит несопоставимо дороже, а срок, в течение которого нарушение считается повторным, отсчитывается от исполнения предыдущего наказания. Поэтому первое дело нужно вести всерьез даже тогда, когда сумма кажется небольшой: платите вы не только эти 100 тысяч, но и статус нарушителя на будущее.

Судебный порядок рассмотрения: подсудность мировых судей и тактика защиты

Дело по ст. 13.11 КоАП РФ решает судья, а не надзорный орган. Это отличает споры об обработке данных от большинства административных дел, и это ваш главный ресурс. Но сначала — про суд, потому что за последний год он менялся дважды.

С 30 мая 2025 года дела компаний по этой статье вел арбитражный суд. С 1 января 2026 года это уже не так: Федеральный закон от 28 декабря 2025 года № 508-ФЗ исключил ст. 13.11 из перечня дел арбитражных судов, и теперь их рассматривает мировой судья по месту совершения нарушения (ч. 3 ст. 23.1 КоАП РФ). Постановление мирового судьи обжалуется в районный суд, а не в апелляционный арбитражный.

Практическое следствие простое, и оно дороже, чем кажется. Материалы в интернете и шаблоны заявлений отстают от закона на год: заявление, поданное в арбитражный суд, вернут, а 10 суток на обжалование за это время истекут. Проверяйте суд по дате протокола, а не по прошлогодней статье.

Смена суда изменила и тактику. Мировой судья рассматривает дело по общим правилам главы 29 КоАП РФ: заседание назначается быстро, письменных позиций там ждут реже, чем в арбитраже, а решает многое устное выступление и полнота приложенных документов. Готовить материалы приходится сразу и целиком, потому что второго заседания может не быть. Общий порядок работы с постановлением — сроки, инстанции и доводы — разобран на странице обжалования административных штрафов.

Штраф по этой статье назначает не проверяющий. Надзорный орган проводит проверку и составляет протокол. Само дело по ст. 13.11 КоАП РФ рассматривает судья (ч. 1 ст. 23.1 КоАП РФ). Значит, между актом проверки и списанием денег есть заседание, на котором можно возражать, приносить документы и спорить о квалификации.

Что реально решается в этом заседании:

• Правильно ли выбрана часть статьи. Обработку без надлежащего основания легко перепутать с обработкой без согласия, а разница между ч. 1 ст. 13.11 КоАП РФ и ч. 2 той же статьи — это разница между 300 000 и 700 000 рублей для организации.
• Одно нарушение или несколько. Проверяющий охотно дробит одну ситуацию на 4 состава. Возражение о единстве события исключает лишние эпизоды.
• Есть ли исключительные обстоятельства. При их наличии судья вправе назначить наказание ниже низшего предела (ч. 3.2 ст. 4.1 КоАП РФ), но не менее половины минимальной суммы для организации (ч. 3.3 ст. 4.1 КоАП РФ). Довод доступен только там, где минимальный штраф для организации — от 100 тысяч рублей: по неопубликованной политике и по невыполненному требованию субъекта данных опуститься ниже вилки нельзя.
• Не малозначительно ли нарушение. При малозначительности возможно освобождение с устным замечанием (ст. 2.9 КоАП РФ). По формальным составам вроде неопубликованной политики этот довод иногда проходит.

Постановление судьи по делу компании обжалуется в вышестоящий суд общей юрисдикции (ч. 1 ст. 30.1 КоАП РФ), и на это есть 10 суток со дня вручения копии (ч. 1 ст. 30.3 КоАП РФ). В заседание идут с папкой, собранной заранее: протокол, акт проверки, переписка с надзорным органом, документы об устранении и расчет по вилке. Судья рассматривает такие дела быстро, и второго захода с недостающей бумагой обычно не бывает. Общий порядок такого обжалования разобран в отдельном материале об обжаловании административного штрафа компании.

Сроки давности привлечения к административной ответственности

Срок давности по этим делам короткий, и он помогает защитить вашу компанию чаще, чем принято думать.

Срок давности составляет 60 календарных дней со дня совершения нарушения, а при рассмотрении дела судьей — 90 календарных дней (ч. 1 ст. 4.5 КоАП РФ). Специального удлиненного срока для этой сферы не установлено.

Ловушка в другом. При длящемся нарушении срок исчисляется не со дня совершения, а со дня обнаружения (ч. 2 ст. 4.5 КоАП РФ). Неопубликованная политика, неподанное уведомление, хранение данных сверх срока — все это длящиеся нарушения, и часы по ним начинают идти только тогда, когда проверяющий их увидел.

А вот разовое действие — одна передача данных, один отказ выполнить требование человека — привязано к своей дате. Если между ним и заседанием прошло больше 90 дней, производство подлежит прекращению. Проверять дату стоит первым делом: она стоит в протоколе и в акте проверки, и расхождение между ними встречается регулярно. Истечение срока — безусловное основание прекратить производство, а не смягчающее обстоятельство (ч. 1 ст. 24.5 КоАП РФ). Заявлять его нужно письменно и до вынесения постановления, а если документ уже подписан — тем же доводом в жалобе.

Малый бизнес и ИП: где скидка есть, а где компания платит штраф полностью

Здесь спрятана ловушка, из-за которой компании считают свои риски вдвое ниже реальных.

Обычное правило благоприятное: организации из реестра малого и среднего предпринимательства наказываются как индивидуальные предприниматели, то есть по нижней шкале (ч. 1 ст. 4.1.2 КоАП РФ). А за впервые совершенное нарушение, выявленное при государственном контроле, штраф вообще заменяется предупреждением, если нет вреда и угрозы вреда (ч. 1 ст. 4.1.1 КоАП РФ).

Но в примечании к ст. 13.11 КоАП РФ сказано: за нарушения, предусмотренные ч. 1.1 и ч. 8–18, предприниматели без образования юридического лица отвечают как юридические лица. А правила смягчения для малого бизнеса не применяются там, где такие лица уже приравнены к организациям (ч. 4 ст. 4.1.2 КоАП РФ).

Перевод на язык практики: небольшая компания и предприниматель получают льготу по мелким организационным составам, а штраф за утечку платят полностью. Магазин с базой в 20 тысяч покупателей отвечает по ч. 13 ст. 13.11 КоАП РФ ровно так же, как федеральная сеть, — 5–10 миллионов рублей. Скидки на размер бизнеса в этой части нет.

5 действий до проверки: как снизить риск штрафа за персональные данные

5 действий закрывают большинство поводов, по которым надзорный орган открывает дело. Ни одно из них не требует бюджета.

1. Проверьте уведомление. Найдите свою организацию в открытом реестре операторов. Нет записи — подавайте уведомление сегодня, до начала любой проверки.
2. Откройте политику обработки вашей компании с чужого устройства. Зайдите как обычный посетитель: с телефона, из поиска по сайту. Ссылка обязана открываться.
3. Сверьте анкеты с целями. Каждое поле формы должно быть нужно для заявленной цели. Лишние поля удаляются быстрее, чем потом объясняются.
4. Назначьте ответственного и дайте ему право первого уведомления. 24 часа не оставляют времени на согласование.
5. Установите срок хранения и удаляйте по нему. Резюме, анкеты и заявки, которые лежат годами, — самая частая находка проверяющего.

Проверьте список получателей: бухгалтерия отдает сведения в банк, кадры — в страховую компанию и в агентство подбора, маркетинг — в сервис рассылок. Каждая такая передача либо описана в политике и в согласии, либо превращается в вопрос на проверке. Отдельно посмотрите договоры с подрядчиками, которые обрабатывают данные за вас: там должны стоять цели, перечень разрешенных действий и обязанность хранить конфиденциальность. Пустое место в таком договоре проверяющий читает как передачу без основания.

Если проверка уже началась, порядок другой: сначала ответ на запрос, потом документы. Ответ определяет, какой состав попадет в протокол, и переписать его потом нельзя. Как строятся возражения по проверкам надзорных органов, разобрано в разделе о спорах с государственными органами; отдельная практика по этой теме — у наших юристов по защите персональных данных.

Разберем запрос или протокол в тот же день: скажем, какая часть статьи применима, что успеваете исправить до заседания и на сколько реально снизить сумму.

Практика защиты бизнеса и снижения штрафов в суде

Разбор начинается с протокола и с квалификации: какая часть статьи вменена и правильно ли она выбрана. Между ч. 1 и ч. 2 ст. 13.11 КоАП РФ разница в 400 тысяч рублей, а граница между ними тоньше, чем кажется, и проверяющие ее регулярно смещают в сторону дорогой части.

Дальше считаем эпизоды. Одна и та же ситуация — неопубликованная политика, отсутствие уведомления, лишние поля в анкете — часто разносится по 4 составам, хотя событие одно. Возражение о единстве события снимает лишние эпизоды и вместе с ними лишние суммы. Строится оно на хронологии: если сайт, анкета и внутренний регламент смотрели в один заход и записали в один акт, перед вами одно контрольное мероприятие. Хронологию удобно выложить таблицей — дата поручения, дата выхода проверяющего, даты осмотра каждого объекта, дата акта. Подается такая таблица письменно и до заседания: там же уместно попросить объединить эпизоды.

Третий слой — процедура: основание проверки, полномочия составившего протокол, извещение компании о рассмотрении дела, срок давности. Дело, возбужденное за пределами срока давности, прекращается независимо от того, что нашли по существу.

Считаем и саму сумму: даже при подтвержденном составе вилка внутри части оставляет пространство, и судья смотрит, устранила ли компания нарушение добровольно, наступил ли вред и попадает ли она под эту норму впервые. Бумаги об исправлении — обновленная политика, удаленные поля анкеты, приказ о сроках хранения — приносят на заседание, а не досылают после него.

По результатам оценки мы прямо определяем перспективы: отменяем постановление целиком, снижаем санкцию до нижней границы либо добиваемся замены штрафа предупреждением. Если оснований нет, скажем в первый же день. В практике компании «Юристы для Бизнеса» более 100 побед в административных спорах, мы выигрываем 90–95 % дел в судах, добиваясь полной отмены постановлений либо существенного снижения штрафов. Профильное направление — споры по персональным данным.

Если протокол уже составлен, посчитайте 2 срока: сколько прошло со дня нарушения и когда назначено рассмотрение. Первый срок работает на вас, второй — против.