Штраф зависит от конкретного нарушения, а не количества документов в папке. Для ООО недоступная политика — 30–60 тысяч рублей, неподача обязательного уведомления Роскомнадзора — 100–300 тысяч. Миллионные и оборотные санкции предусмотрены для других составов, в том числе отдельных утечек и повторных нарушений.
Какие нормы действуют
С 30 мая 2025 года статья 13.11 КоАП предусматривает отдельные составы за отсутствие уведомлений и неправомерную передачу данных, включая специальные и биометрические. Старые таблицы с небольшим общим штрафом за неподачу уведомления больше не подходят как универсальный ориентир.
Ниже — основные диапазоны, проверенные по тексту закона 9 октября 2026 года. Для конкретного события учитывают дату, применимую редакцию, статус лица и обстоятельства. Таблица не является расчётом наказания и не охватывает все возможные составы.
Основные штрафы для ООО
| Нарушение | Часть статьи 13.11 | Штраф |
|---|---|---|
| Обработка без законного основания или несовместимая с целью сбора, при условиях нормы | 1 | 150–300 тыс. ₽ |
| Повторное нарушение части 1 | 1.1 | 300–500 тыс. ₽ |
| Нет обязательного письменного согласия или нарушен его требуемый состав | 2 | 300–700 тыс. ₽ |
| Повторное нарушение части 2 | 2.1 | 1–1,5 млн ₽ |
| Не обеспечен необходимый доступ к политике или сведениям о защите | 3 | 30–60 тыс. ₽ |
| Субъекту не предоставлена требуемая информация о его данных | 4 | 40–80 тыс. ₽ |
| Пропущен срок применимого требования об уточнении, блокировании или уничтожении | 5 | 50–90 тыс. ₽ |
| Не подано вовремя обязательное уведомление о намерении обрабатывать данные | 10 | 100–300 тыс. ₽ |
| Не выполнена вовремя обязанность уведомить о предусмотренном законом инциденте | 11 | 1–3 млн ₽ |
Часть 2 относится к случаям, когда необходимо именно письменное согласие. Нельзя автоматически применять её штраф к любой галочке на сайте. Сначала определяют основание обработки и требуемую форму. Для рекламы дополнительно действуют специальные нормы: законно полученный для доставки телефон не означает разрешения на рекламную рассылку.
Размещённый PDF сам по себе не гарантирует исполнения обязанности по политике. Ссылка должна работать без регистрации и покупки, а документ — относиться к вашему оператору и фактической обработке. Политика конкурента с чужими получателями и контактами проблему не решает.
Чем отличаются штрафы для ИП
У предпринимателей нет единой ставки на все нарушения. По примечанию 1 к статье 13.11 за нарушения частей 1.1 и 8–18 ИП отвечают как юридические лица. Поэтому отсутствие ООО не исключает миллионные санкции.
| Нарушение | Норма | Штраф для ИП |
|---|---|---|
| Недоступная политика или сведения о защите | Часть 3 | 10–20 тыс. ₽ |
| Непредоставление информации субъекту | Часть 4 | 20–30 тыс. ₽ |
| Просрочка применимого требования об уточнении, блокировании или уничтожении | Часть 5 | 20–40 тыс. ₽ |
| Повторное нарушение требований к обязательному письменному согласию | Часть 2.1 | 500 тыс. — 1 млн ₽ |
| Отсутствие обязательного уведомления о начале обработки | Часть 10 | 100–300 тыс. ₽ |
| Отсутствие обязательного уведомления об инциденте | Часть 11 | 1–3 млн ₽ |
| Нарушение локализации при условиях нормы | Часть 8 | 1–6 млн ₽ |
Налоговый режим НПД не равнозначен статусу ИП: таблицу нельзя переносить на самозанятого без регистрации предпринимателем. Для должностных лиц также нужно учитывать специальные определения в примечаниях, а не автоматически выбирать соответствующую графу для директора коммерческой компании.
Утечки и оборотные санкции
Для частей 12–14 учитываются количество субъектов и идентификаторов, а также остальные условия состава. Строка в выгрузке не обязательно равна одному человеку: могут быть повторы и несколько записей об одном лице. Приблизительного размера CSV для квалификации недостаточно.
| Условия нормы | Часть | Штраф |
|---|---|---|
| От 1 тыс. до 10 тыс. субъектов и/или от 10 тыс. до 100 тыс. идентификаторов | 12 | 3–5 млн ₽ |
| От 10 тыс. до 100 тыс. субъектов и/или от 100 тыс. до 1 млн идентификаторов | 13 | 5–10 млн ₽ |
| Более 100 тыс. субъектов и/или более 1 млн идентификаторов | 14 | 10–15 млн ₽ |
| Передача специальных категорий данных при условиях нормы | 16 | 10–15 млн ₽ |
| Передача биометрических данных с учётом исключения в норме | 17 | 15–20 млн ₽ |
| Нарушения частей 12–14 при условиях повторности части 15 | 15 | 1–3% расчётной базы; 20–500 млн ₽ |
| Нарушения частей 16 или 17 при условиях повторности части 18 | 18 | 1–3% расчётной базы; 25–500 млн ₽ |
Пороговые значения приведены в формулировках закона. Базу оборотного штрафа, расчётный период и особенности для кредитных организаций определяет норма, а не произвольные 3% месячной выручки. Утечка меньше тысячи записей не гарантирует отсутствия ответственности: проверяются другие составы и категории сведений. Обычная фотография, в свою очередь, не становится биометрией автоматически — важно её использование для установления личности.
Почему исправление документов не отменяет нарушение
Политика не закрывает публичную ссылку на базу и не прекращает незаконную рассылку. При обнаружении проблемы важны прекращение нарушения и сохранение достоверных сведений: времени выявления, затронутых систем, масштаба и предпринятых действий. Удаление журналов и переписки мешает установить причины.
При предусмотренной статьёй 21 Закона № 152-ФЗ неправомерной или случайной передаче либо доступе, повлекших нарушение прав субъектов, Роскомнадзор уведомляют в течение 24 часов; результаты внутреннего расследования сообщают в течение 72 часов. Срок связан с выявлением инцидента, а не завершением внутреннего согласования. Не каждый технический сбой подпадает под это правило.
Можно ли уменьшить наказание
Учитываются доказанность события и вины, статус лица, процессуальные обстоятельства и применимые правила КоАП. Специальные нормы для малого бизнеса, включая статью 4.1.2, имеют условия и исключения. Первое нарушение не означает автоматически предупреждение, а приведённые суммы нельзя без проверки делить пополам.
Добровольное устранение полезно, но не гарантирует освобождения. Поздняя подача уведомления не делает его своевременным. Штрафы из таблиц не складываются автоматически; при этом одно событие может затрагивать несколько обязанностей. Кроме административной ответственности возможны требования о возмещении вреда и расходы на расследование, а при соответствующих признаках — оценка уголовной ответственности.
