Что изменилось за последние два года
Три перемены, которые важнее остальных.
- Оборотные штрафы за утечки. За повторную утечку санкция считается не фиксированной суммой, а процентом от годовой выручки компании — с нижней границей в десятки миллионов рублей и верхней в сотни.
- Уведомление Роскомнадзора стало обязательным почти для всех. Раньше действовал широкий перечень исключений, и большинство небольших компаний под него подпадало. Теперь подавать уведомление должен практически любой, кто собирает данные людей, — включая сайт с одной формой обратной связи.
- Появилась уголовная ответственность за незаконный оборот персональных данных — статья 272.1 УК РФ.
Основные составы по статье 13.11 КоАП
Суммы ниже — ориентиры для юридических лиц. Для должностных лиц и индивидуальных предпринимателей они ниже, но тоже заметные.
- Обработка данных без согласия там, где согласие требуется, — до 700 000 ₽; при повторном нарушении суммы переходят в миллионы. Именно сюда попадают счётчики и рекламные пиксели, стартующие до нажатия на баннер.
- Обработка в случаях, не предусмотренных законом, либо несовместимая с заявленными целями, — отдельный состав с меньшими суммами, но применяется часто, потому что цели обработки в политике обычно описаны формально.
- Неопубликованная политика обработки персональных данных или отсутствие в ней обязательных сведений — до 60 000 ₽.
- Невыполнение обязанности по уведомлению регулятора — отдельный состав, появившийся в 2025 году.
- Нарушение требований о хранении данных россиян на серверах в России — самые крупные суммы среди «неутечечных» составов; именно по этому основанию получали многомиллионные штрафы иностранные сервисы.
- Утечка персональных данных. Размер зависит от объёма: чем больше затронуто людей, тем выше сумма. За массовую утечку речь идёт о десятках миллионов, за повторную включается оборотный механизм.
Кого проверяют
Распространённое заблуждение — «мы слишком маленькие, до нас не дойдут». Проверки приходят не только по плану: поводом становится жалоба посетителя, публикация в СМИ, обращение конкурента или автоматический мониторинг сайтов. Сайт устроен так, что его нарушения видны снаружи любому — форма без галочки согласия и счётчик, стартующий до баннера, обнаруживаются за минуту, без всякого доступа к внутренним системам.
Что делать в первую очередь
По убыванию соотношения «риск к трудозатратам»:
- Опубликовать политику обработки персональных данных и описать в ней cookie. Самое дешёвое действие с самым понятным составом нарушения.
- Добавить согласие в формы — отдельной галочкой, не заранее отмеченной, со ссылкой на политику.
- Заблокировать аналитические и рекламные счётчики до согласия. Это техническая работа, но именно она закрывает самый дорогой состав.
- Подать уведомление в Роскомнадзор, если ещё не подано.
- Начать вести журнал согласий — записи с датой, версией баннера и выбором посетителя. Задним числом такой журнал не создаётся.
Важная оговорка
Этот материал — обзор, а не юридическая консультация. Формулировки КоАП меняются, а размер санкции в конкретном деле зависит от обстоятельств, повторности и того, устранено ли нарушение. Перед принятием решений сверяйтесь с действующей редакцией кодекса и при необходимости с юристом.