Максим Ишханов
Статья 13.11 КоАП РФ — основной инструмент ответственности оператора за нарушение закона о персональных данных. После поправок, действующих с 30 мая 2025 года, базовые штрафы по ней выросли примерно в 2,5–3 раза, а за утечки данных появились отдельные многомиллионные и оборотные санкции, которых в статье раньше не было вовсе.
При этом заголовки вроде «штраф до 500 миллионов» и реальная практика — разные вещи. Ниже — что именно наказывается по статье 13.11 и какие суммы стоят в законе. И, что важнее, какие суммы назначают суды: с опорой на конкретные дела с номерами из нашей базы.
Из чего состоит статья 13.11 КоАП
В статье 13.11 больше пятнадцати частей, но по смыслу они складываются в шесть групп нарушений.
| Группа нарушений | Части | Вилка для юрлица |
|---|---|---|
| Обработка без законного основания или без согласия | ч. 1, 1.1, 2, 2.1 | 150 000 – 1 500 000 ₽ |
| Нет документов: политика (ч. 3), ответ субъекту на запрос (ч. 4) | ч. 3, 4 | 30 000 – 60 000 ₽ / 40 000 – 80 000 ₽ |
| Не отреагировал на требование субъекта или уполномоченного органа (уточнить, заблокировать, удалить данные) | ч. 5 | 50 000 – 90 000 ₽ |
| Не уведомил Роскомнадзор о начале обработки | ч. 10 | 100 000 – 300 000 ₽ |
| Данные россиян не на серверах в России (локализация) | ч. 8, 9 | 1 000 000 – 18 000 000 ₽ |
| Утечка персональных данных и молчание о ней | ч. 11–15 | 1 000 000 ₽ – оборотный штраф |
Отвечать по статье может должностное лицо, ИП или юрлицо. Ключевой нюанс из примечания 1 к статье 13.11: за нарушение локализации и за утечки (части 8–18), а также за повторную обработку без основания (часть 1.1), ИП несёт ответственность как юридическое лицо — то есть по самым высоким суммам. За остальные нарушения ИП отвечает как должностное лицо.
Отдельно стоит выделить часть 5 — оператор не выполнил в срок требование субъекта или уполномоченного органа об уточнении, блокировании или уничтожении его данных (например, проигнорировал заявление об удалении). Для юрлица это 50 000–90 000 ₽. На практике этот состав встречается реже остальных, но он напрямую связан с механизмом отзыва согласия: если человек отозвал согласие, а оператор не прекратил обработку, дело может пойти и по части 1, и по части 5 одновременно.
Обработка без основания и без согласия (ч. 1, 1.1, 2, 2.1)
Самая частая группа. Сюда попадает сбор данных, для которого нет ни согласия, ни другого основания из статьи 6 152-ФЗ, а также согласие, оформленное с нарушением обязательных требований.
| Часть | Состав | Должностное лицо | Юрлицо |
|---|---|---|---|
| ч. 1 | обработка в случаях, не предусмотренных законом | 50 000 – 100 000 ₽ | 150 000 – 300 000 ₽ |
| ч. 1.1 | то же, повторно | 100 000 – 200 000 ₽ | 300 000 – 500 000 ₽ |
| ч. 2 | нет обязательного письменного согласия в обязательных случаях | 100 000 – 300 000 ₽ | 300 000 – 700 000 ₽ |
| ч. 2.1 | то же, повторно (ИП — 500 000 – 1 000 000 ₽) | 300 000 – 500 000 ₽ | 1 000 000 – 1 500 000 ₽ |
В нашей базе по этой группе, например: дело № А32-68195/2025 — обработка данных клиента после того, как он отозвал согласие, часть 1, 150 000 ₽ юрлицу (минимум по статье); дело № 05-1081/452/2025 — счётчики аналитики на сайте ИП без согласия посетителей, часть 1.1 (нарушение повторное, поэтому ИП отвечает как юрлицо), штраф 300 000 ₽.
Закрыть этот риск помогают согласие на обработку персональных данных и бесплатный генератор политики и согласия для сайта.
Нет документов: политика и ответ субъекту (ч. 3, 4)
Часть 3 — нет опубликованной политики обработки персональных данных либо она недоступна. Должностное лицо — 6 000–12 000 ₽, ИП — 10 000–20 000 ₽, юрлицо — 30 000–60 000 ₽. Состав срабатывает и тогда, когда политика написана, но не размещена на сайте.
Часть 4 — оператор не предоставил субъекту информацию об обработке его данных в ответ на запрос. Должностное лицо — 8 000–12 000 ₽, ИП — 20 000–30 000 ₽, юрлицо — 40 000–80 000 ₽.
Пример: дело № А56-72349/2025 — политика на сайте была, но не описывала счётчик веб-аналитики, который собирал данные о посетителях; часть 3, штраф 30 000 ₽.
Что закрывает риск: политика обработки персональных данных и полный комплект документов оператора.
Не уведомил Роскомнадзор (ч. 10)
Часть 10 — оператор не подал уведомление о намерении обрабатывать персональные данные. Граждане — 5 000–10 000 ₽, должностные лица — 30 000–50 000 ₽, юрлица и ИП — 100 000–300 000 ₽. До поправок 2025 года это нарушение наказывалось значительно мягче — по общей статье 19.7 КоАП, где штраф для организации измеряется тысячами рублей; теперь это полноценный крупный состав.
Это один из самых частых составов в судебной практике по сайтам: дело № 5-181/2026 — ИП собирала данные клиентов через сайт и не уведомила Роскомнадзор, штраф 50 000 ₽ (суд ушёл ниже минимума, учтя статус малого бизнеса и наличие малолетнего ребёнка); дело № А40-342666/25 — то же у юридического лица, 50 000 ₽ (ровно половина минимума — компания в реестре малых предприятий, статья 4.1.2 КоАП).
Закрыть этот риск помогают регистрация в реестре операторов персональных данных и подача уведомления под ключ.
Данные не в России: локализация (ч. 8, 9)
Часть 8 — при сборе данных россиян через интернет оператор не использует базы данных на территории России. Должностные лица — 100 000–200 000 ₽, юрлица и ИП — от 1 000 000 до 6 000 000 ₽.
Часть 9 — то же повторно: юрлица и ИП — от 6 000 000 до 18 000 000 ₽.
Здесь суммы уже настоящие, а не номинальные: дело № А40-353424/25 — данные российских пользователей хранились на зарубежном сервере, часть 8, штраф 1 000 000 ₽; дело № А40-348409/25 — повторное нарушение локализации, часть 9, 6 000 000 ₽.
Закрыть этот риск помогает приведение сайта в соответствие 152-ФЗ — перенос хостинга в РФ, замена зарубежной аналитики.
Утечка персональных данных (ч. 11–15)
Отдельный блок, появившийся с 30 мая 2025 года.
- Часть 11 — оператор не уведомил Роскомнадзор об утечке. Наказывается сам факт молчания об инциденте: юрлицо — от 1 000 000 до 3 000 000 ₽.
- Части 12–14 — утечка по числу пострадавших: данные 1–10 тысяч субъектов — 3–5 млн ₽; 10–100 тысяч — 5–10 млн ₽; более 100 тысяч — 10–15 млн ₽ для юрлица.
- Часть 15 — повторная утечка (после того, как оператора уже штрафовали по частям 12–14): для юрлица — оборотный штраф от 1 до 3 % совокупной годовой выручки, но не менее 20 млн и не более 500 млн ₽.
Оборотный штраф считается от всей выручки за год, а не от прибыли, и минимум в 20 млн ₽ применяется даже к небольшой компании. Для специальных категорий данных и биометрии (части 16–18) санкции ещё выше.
Реальные суммы: что показывает практика
В нашей базе — двенадцать дел по статье 13.11, рассмотренных судами. Вот часть из них.
| Дело | Нарушение | Субъект | Часть | Штраф |
|---|---|---|---|---|
| № 05-1249/452/2024 | нет политики на сайте | ИП | ч. 3 | 10 000 ₽ |
| № А56-72349/2025 | политика не покрывает аналитику | госучреждение | ч. 3 | 30 000 ₽ |
| № А07-27941/2025 | не уведомил Роскомнадзор (данные уходили за границу) | директор | ч. 10 | предупреждение |
| № 5-181/2026 | не уведомил Роскомнадзор | ИП | ч. 10 | 50 000 ₽ |
| № А40-342668/25 | сбор через формы и счётчики без оснований | юрлицо (малое) | ч. 1 | 75 000 ₽ |
| № А32-68195/2025 | обработка после отзыва согласия | юрлицо | ч. 1 | 150 000 ₽ |
| № 05-1081/452/2025 | аналитика без согласия, повторно | ИП | ч. 1.1 | 300 000 ₽ |
| № А40-348409/25 | нарушение локализации, повторно | иностранная компания | ч. 9 | 6 000 000 ₽ |
Разброс по одной и той же части объясним. Минимум по части 1 для юрлица — 150 000 ₽ (дело № А32-68195/2025), но малому предприятию суд назначает половину минимума по статье 4.1.2 КоАП — отсюда 75 000 ₽ в деле № А40-342668/25. ИП в деле № 05-1081/452/2025 получил 300 000 ₽ не за обычное нарушение, а за повторное: по примечанию 1 к статье 13.11 за повтор ИП отвечает как юрлицо.
Общая закономерность, которую видно и по нашим делам, и по практике в целом: по типовым нарушениям сайта — нет политики, нет согласия, не подано уведомление — суды назначают у нижней границы вилки или ниже, а иногда ограничиваются предупреждением. Миллионные суммы — это локализация и утечки, а не забытая политика конфиденциальности.
Это не повод расслабляться. Во-первых, «ниже минимума» и «предупреждение» — не гарантия, а результат того, что оператор оказался субъектом малого предпринимательства, нарушил впервые и устранил проблему до заседания; при повторном нарушении или отказе исправлять суд назначает полную сумму. Во-вторых, за последний год число дел выросло, и суммы в новых решениях подтягиваются к обновлённым вилкам. Наконец, штраф — не единственное последствие: Роскомнадзор вправе выдать предписание, а его неисполнение — уже отдельный состав с отдельным штрафом.
Как Роскомнадзор находит нарушителей
Выездная проверка для штрафа не нужна. На сопровождении проверок я чаще всего вижу, что дело начинается не с выезда, а с письма: Роскомнадзор запрашивает документы и пояснения. А до этого запроса ведомство доходит одним из двух способов.
Первый — жалоба: клиент, бывший сотрудник или просто внимательный посетитель сообщает, что данные обрабатывают после отзыва согласия или что на сайте нет политики. В нескольких делах из нашей базы поводом стало обращение одного человека. Второй — мониторинг: Роскомнадзор проверяет сайты, в том числе автоматически, на наличие политики и корректность форм согласия, и по результатам возбуждает дела. Проверить чужой сайт таким образом может кто угодно за минуту, поэтому расчёт «нас мало, до нас не дойдут» почти никогда не оправдывается — до оператора доходят через его же сайт.
Дальше, если по документам и пояснениям нарушение подтверждается, Роскомнадзор составляет протокол и передаёт дело в суд. Спорить на этой стадии обычно бесполезно — эффективнее быстро устранить нарушение, о чём ниже.
Как суд снижает штраф по статье 13.11 малому бизнесу
Вилка в законе — это не приговор. Работают несколько механизмов.
- Статья 4.1.1 КоАП — за впервые совершённое нарушение, выявленное в ходе государственного контроля, штраф заменяется предупреждением. Условие — отсутствие имущественного ущерба и угрозы жизни и здоровью (часть 2 статьи 3.4 КоАП).
- Статья 4.1.2 КоАП — малому предприятию (юрлицу) и социально ориентированной НКО штраф назначается в размере от половины минимального до половины максимального. На индивидуальных предпринимателей это правило не распространяется.
- Смягчающие обстоятельства — устранение нарушения до вынесения постановления, добровольное сообщение, содействие, отсутствие вреда.
На практике оператор, который к моменту заседания уже опубликовал политику, собрал согласия и подал уведомление, получает штраф заметно меньше, чем тот, кто ничего не исправил.
Штрафы складываются
Одна проверка обычно находит не одно нарушение. Нет политики — часть 3. Нет согласия под формой — часть 1. Не подано уведомление — часть 10. Это три отдельных состава, и штраф назначается за каждое — как правило, отдельными постановлениями. В сумме для юрлица даже по нижней границе это выходит около 280 000 ₽, а по верхней — больше миллиона, ещё до применения смягчающих.
Логика простая: каждый пропущенный документ или процедура — самостоятельное нарушение, а не одно общее «несоблюдение 152-ФЗ». Поэтому статья про комплект документов по 152-ФЗ и есть, по сути, список того, за что можно получить отдельный штраф. Обратная сторона: закрыв всё разом до проверки, оператор снимает не один риск, а сразу несколько.
Что изменилось в статье 13.11 с 30 мая 2025 года
Санкции повысил Федеральный закон от 30.11.2024 № 420-ФЗ.
| Нарушение | Сейчас (юрлицо) | Суть изменения |
|---|---|---|
| Нет опубликованной политики | 30 000 – 60 000 ₽ | штраф вырос примерно вдвое |
| Обработка без согласия / без основания | 150 000 – 300 000 ₽ (ч. 1) 300 000 – 700 000 ₽ (ч. 2) | базовый штраф вырос в 2,5–3 раза; добавлена часть 2 — до 700 000 ₽ за нарушение требований к письменному согласию |
| Не уведомил Роскомнадзор | 100 000 – 300 000 ₽ | раньше — незначительный штраф по статье 19.7 КоАП; теперь отдельный крупный состав |
| Утечка персональных данных | 3 – 15 млн ₽ | совершенно новые составы (части 12–14) — отдельного штрафа за утечку в статье не было |
| Повторная утечка | оборотный штраф 1–3 % выручки | новый состав (часть 15), минимум 20 млн ₽ |
| Не сообщил об утечке в Роскомнадзор | 1 – 3 млн ₽ | новый состав (часть 11) |
Итог
Чтобы не попасть под статью 13.11, оператору нужно закрыть пять базовых вещей:
- Проверить основание обработки — есть ли согласие или другое основание из статьи 6 152-ФЗ.
- Опубликовать политику обработки персональных данных и собрать согласия под формы.
- Подать уведомление в Роскомнадзор.
- Перенести данные россиян на серверы в России, если собираете их через сайт.
- Настроить порядок действий на случай утечки, включая уведомление регулятора.
По каждому пункту есть отдельный разбор и услуга под ключ: политика и согласие, комплект документов, уведомление в Роскомнадзор, техническое приведение сайта. А посмотреть, чем нарушения оборачиваются на практике, можно в базе судебных дел.
Читайте дальше: согласие на обработку персональных данных: образец, как заполнить и отозвать, политика обработки персональных данных: что должно быть и куда её разместить, регистрация в реестре операторов персональных данных.
Источники:
- КонсультантПлюс, КоАП РФ, ст. 13.11, проверено 2026-09-08
- КонсультантПлюс, КоАП РФ, ст. 4.1.1, проверено 2026-09-08
- КонсультантПлюс, КоАП РФ, ст. 4.1.2, проверено 2026-09-08
- Федеральный закон от 30.11.2024 № 420-ФЗ, проверено 2026-09-08
- КонсультантПлюс, обзор «Персональные данные: новые штрафы с 30 мая 2025 года», проверено 2026-09-08
- База судебных дел по ст. 13.11 КоАП — zapugali.ru/sudebnaya-praktika
Частые вопросы
Какой штраф за нарушение персональных данных в 2026 году?
Зависит от того, что именно нарушено. Отсутствие опубликованной политики обработки персональных данных — от 30 000 до 60 000 ₽ для юридического лица. Обработка без законного основания или без обязательного письменного согласия — от 150 000 до 700 000 ₽. Неподача уведомления в Роскомнадзор — от 100 000 до 300 000 ₽. Хранение данных россиян за пределами России — от 1 000 000 ₽. Утечка персональных данных — от 3 000 000 ₽ по числу пострадавших. Для должностных лиц и ИП суммы ниже — кроме нарушений локализации и утечек (части 8–18) и повторной обработки без основания (часть 1.1), где ИП по примечанию к статье 13.11 отвечает как юридическое лицо. При этом вилка в законе — это диапазон, а не фиксированная сумма: по типовым нарушениям сайта суды на практике назначают ближе к нижней границе, а малому бизнесу за первое нарушение штраф часто заменяют предупреждением. В судебных решениях за отсутствие политики встречаются суммы 10 000–30 000 ₽, за неподачу уведомления — около 50 000 ₽, то есть заметно ниже верхней планки. Миллионные штрафы в практике — это почти всегда либо нарушение локализации, либо утечка, а не забытый на сайте документ.
Правда ли, что за утечку персональных данных штраф до 500 млн рублей?
Оборотный штраф в размере от 1 до 3 % совокупной годовой выручки, но не менее 20 млн и не более 500 млн ₽, предусмотрен частью 15 статьи 13.11 КоАП и применяется только за повторную утечку данных 1 000 и более субъектов — то есть когда компанию уже штрафовали за утечку, и она произошла снова. За первую утечку штраф фиксированный: от 3 до 5 млн ₽ при утечке данных 1–10 тысяч человек, от 5 до 10 млн ₽ при 10–100 тысячах и от 10 до 15 млн ₽ при утечке данных более 100 тысяч субъектов. Считается оборотный штраф от всей выручки за год, а не от прибыли, поэтому даже небольшая компания получает не меньше 20 млн ₽. Отдельно, по части 11, наказывается сам факт того, что оператор не сообщил в Роскомнадзор об инциденте — от 1 до 3 млн ₽ юридическому лицу, независимо от размера утечки. То есть за одну утечку можно получить сразу два штрафа: за саму утечку и за молчание о ней.
Штрафуют ли за персональные данные самозанятых и ИП?
Да. Статус оператора персональных данных не зависит от налогового режима: если самозанятый или ИП собирает и хранит контакты клиентов, он оператор и несёт ответственность по статье 13.11 КоАП. Размер штрафа для ИП определяется примечанием к статье: за нарушение требований о локализации и за утечки (части 8–18), а также за повторную обработку без основания (часть 1.1) ИП отвечает как юридическое лицо — то есть по самым высоким суммам. За остальные нарушения — отсутствие политики, отсутствие согласия, неподачу уведомления — ИП отвечает как должностное лицо, и суммы ниже. Смягчение по статье 4.1.2 КоАП, которое даёт малым предприятиям половинный штраф, на индивидуальных предпринимателей не распространяется — это установлено судебной практикой. При этом ИП может рассчитывать на замену штрафа предупреждением за первое нарушение (статья 4.1.1 КоАП) и на снижение ниже минимума при исключительных обстоятельствах. В нашей базе есть дело, где ИП оштрафовали за неподачу уведомления на 50 000 ₽ — ниже минимума, суд учёл статус малого бизнеса и наличие малолетнего ребёнка; и дело, где за отсутствие политики назначили 10 000 ₽ — это ровно нижняя граница вилки для ИП, без каких-либо смягчающих.
Что будет за отсутствие политики, согласия и уведомления одновременно?
Это три отдельных состава по статье 13.11 КоАП, и на одной проверке штраф назначается за каждое нарушение — как правило, отдельными постановлениями, но платить оператор будет их сумму. Отсутствие опубликованной политики — часть 3, для юридического лица 30 000–60 000 ₽. Обработка без согласия — часть 1 (150 000–300 000 ₽) или часть 2 (300 000–700 000 ₽), если требовалось именно письменное согласие. Неподача уведомления в Роскомнадзор — часть 10, 100 000–300 000 ₽. Суммарно для юридического лица по нижней границе это около 280 000 ₽, по верхней — больше миллиона, ещё до применения смягчающих обстоятельств. На практике эти нарушения почти всегда идут в связке: если у оператора нет политики, обычно не оформлены и согласия, и уведомление не подавалось. Поэтому исправлять их имеет смысл тоже вместе — опубликовать политику, собрать согласия и подать уведомление до того, как придёт запрос от Роскомнадзора: устранение нарушений до вынесения постановления суд учитывает как смягчающее обстоятельство и заметно снижает итоговую сумму.
Могут ли оштрафовать без выездной проверки?
Да, и на практике так происходит чаще всего. Роскомнадзор возбуждает дела по жалобам субъектов персональных данных и по результатам мониторинга сайтов — в том числе автоматизированного, когда система проверяет наличие политики и корректность форм на большом числе сайтов подряд. Значительная часть дел в судебной практике началась с обращения одного человека: клиент пожаловался, что его данные обрабатывают после отзыва согласия, или что на сайте нет политики. Дальше Роскомнадзор запрашивает у оператора документы и пояснения, и если нарушение подтверждается, составляет протокол — выездная проверка для этого не нужна. Плановые проверки тоже есть, но их немного и они касаются в основном крупных операторов. Поэтому расчёт «нас мало, до нас не дойдут» не работает: до оператора «доходят» через одного недовольного посетителя сайта или через плановый обход сайтов роботом. Отдельно стоит помнить, что жалобу может подать не только клиент, но и бывший сотрудник, конкурент или просто внимательный пользователь — а проверить наличие политики и корректность формы согласия на чужом сайте может любой за минуту.
Как снизить штраф по статье 13.11 КоАП?
Есть несколько механизмов. За впервые совершённое нарушение, выявленное в ходе государственного контроля, штраф может быть заменён предупреждением по статье 4.1.1 КоАП — при условии, что нет имущественного ущерба и угрозы жизни и здоровью. Малому предприятию (юридическому лицу) штраф назначается в размере от половины минимального до половины максимального по статье 4.1.2 КоАП; на ИП это правило не распространяется. Кроме того, суд учитывает смягчающие обстоятельства: устранение нарушения до вынесения постановления, добровольное сообщение о нарушении, содействие, отсутствие вреда, тяжёлое финансовое положение. На практике оператор, который к моменту заседания уже опубликовал политику, собрал согласия и подал уведомление, получает штраф заметно ниже, чем тот, кто ничего не исправил, — а иногда отделывается предупреждением. Поэтому первое, что стоит сделать, получив запрос от Роскомнадзора, — не спорить, а быстро закрыть нарушения и приложить к пояснениям подтверждающие документы: опубликованную политику, тексты согласий, скриншот поданного уведомления. Отдельно можно ходатайствовать о применении статьи 4.1.1 или 4.1.2, прямо сославшись на них в объяснениях по делу.
Выросли ли штрафы по статье 13.11 КоАП в 2025 году?
Да, существенно. С 30 мая 2025 года действует Федеральный закон от 30.11.2024 № 420-ФЗ, который повысил санкции статьи 13.11 КоАП. Базовые штрафы — за отсутствие политики и за обработку без согласия — выросли примерно в 2,5–3 раза: за обработку без согласия для юридического лица теперь 150 000–300 000 ₽ по части 1 и до 700 000 ₽ по части 2, за отсутствие политики — 30 000–60 000 ₽. Неподача уведомления в Роскомнадзор раньше наказывалась незначительным штрафом по статье 19.7 КоАП, а теперь это отдельный состав со штрафом до 300 000 ₽. Кроме того, введены совершенно новые составы: отдельные штрафы за утечку персональных данных (от 3 до 15 млн ₽ по масштабу), оборотный штраф за повторную утечку (1–3 % выручки) и штраф за то, что оператор не сообщил регулятору об инциденте. Согласия и политики, оформленные до 2025 года, при этом продолжают действовать, но новые документы должны соответствовать актуальным требованиям. Проще говоря, если у бизнеса до сих пор нет базовых документов, цена бездействия за последний год выросла в разы.
