Как устроена статья 13.11
Статья 13.11 КоАП — основная норма об ответственности за нарушения в сфере персональных данных (ПДн). Таблицы ниже составлены по тексту КоАП в редакции от 04.08.2026. Суммы по разным частям установлены разными законами: ч. 2 и 2.1 изменены Федеральным законом от 12.12.2023 № 589‑ФЗ, ч. 1 и 1.1 повышены, а ч. 10–18 введены Федеральным законом от 30.11.2024 № 420‑ФЗ, который действует с 30 мая 2025 года.
Части статьи делятся на три группы: нарушения правил обработки (ч. 1–9), неуведомление Роскомнадзора (ч. 10–11) и утечки (ч. 12–18). Штраф зависит от того, кто нарушил: гражданин, должностное лицо, индивидуальный предприниматель (ИП) или организация.
Повторным считается нарушение, совершённое, пока лицо считается подвергнутым наказанию за такое же нарушение: со дня вступления постановления в силу и до истечения года после его исполнения.
Штрафы за нарушения правил обработки (ч. 1–9)
| Часть и нарушение | Граждане | Должностные лица | ИП | Юрлица |
|---|---|---|---|---|
| ч. 1 — обработка без законного основания или несовместимая с целями сбора | 10 000–15 000 | 50 000–100 000 | как должностные лица | 150 000–300 000 |
| ч. 1.1 — то же повторно | 15 000–30 000 | 100 000–200 000 | как юрлица | 300 000–500 000 |
| ч. 2 — обработка без письменного согласия, когда оно обязательно, или согласие без обязательных сведений | 10 000–15 000 | 100 000–300 000 | как должностные лица | 300 000–700 000 |
| ч. 2.1 — то же повторно | 15 000–30 000 | 300 000–500 000 | 500 000–1 000 000 | 1 000 000–1 500 000 |
| ч. 3 — не опубликована политика обработки или сведения о мерах защиты, нет неограниченного доступа к ним | 1 500–3 000 | 6 000–12 000 | 10 000–20 000 | 30 000–60 000 |
| ч. 4 — субъекту не предоставили информацию об обработке его данных | 2 000–4 000 | 8 000–12 000 | 20 000–30 000 | 40 000–80 000 |
| ч. 5 — не выполнено требование уточнить, заблокировать или уничтожить данные | 2 000–4 000 | 8 000–20 000 | 20 000–40 000 | 50 000–90 000 |
| ч. 5.1 — то же повторно | 20 000–30 000 | 30 000–50 000 | 50 000–100 000 | 300 000–500 000 |
| ч. 6 — не обеспечена сохранность бумажных носителей, что привело к неправомерному доступу | 1 500–4 000 | 8 000–20 000 | 20 000–40 000 | 50 000–100 000 |
| ч. 7 — госорган или муниципальный орган не обезличил данные | — | 6 000–12 000 | — | — |
| ч. 8 — данные граждан России при сборе записываются и хранятся в базах за рубежом | 30 000–50 000 | 100 000–200 000 | как юрлица | 1 000 000–6 000 000 |
| ч. 9 — то же повторно | 50 000–100 000 | 500 000–800 000 | как юрлица | 6 000 000–18 000 000 |
«Как должностные лица» — по общему правилу ст. 2.4 КоАП: ИП отвечает как должностное лицо, если статья не говорит иное. «Как юрлица» — по примечанию 1 к ст. 13.11 для ч. 1.1 и 8–18.
Штрафы за неуведомление и утечки (ч. 10–18)
| Часть и нарушение | Граждане | Должностные лица* | ИП и юрлица |
|---|---|---|---|
| ч. 10 — не подано или подано с опозданием уведомление о намерении обрабатывать ПДн | 5 000–10 000 | 30 000–50 000 | 100 000–300 000 |
| ч. 11 — не сообщили или сообщили с опозданием в Роскомнадзор об утечке | 50 000–100 000 | 400 000–800 000 | 1 000 000–3 000 000 |
| ч. 12 — утечка данных 1–10 тыс. субъектов и (или) 10–100 тыс. идентификаторов | 100 000–200 000 | 200 000–400 000 | 3 000 000–5 000 000 |
| ч. 13 — утечка 10–100 тыс. субъектов и (или) 100 тыс. – 1 млн идентификаторов | 200 000–300 000 | 300 000–500 000 | 5 000 000–10 000 000 |
| ч. 14 — утечка более 100 тыс. субъектов и (или) более 1 млн идентификаторов | 300 000–400 000 | 400 000–600 000 | 10 000 000–15 000 000 |
| ч. 15 — повторная утечка | 400 000–600 000 | 800 000–1 200 000 | 1–3% выручки, от 20 до 500 млн |
| ч. 16 — утечка специальных категорий ПДн (здоровье, убеждения и др.) | 300 000–400 000 | 1 000 000–1 300 000 | 10 000 000–15 000 000 |
| ч. 17 — утечка биометрических ПДн | 400 000–500 000 | 1 300 000–1 500 000 | 15 000 000–20 000 000 |
| ч. 18 — повторная утечка специальных категорий или биометрии | 500 000–800 000 | 1 500 000–2 000 000 | 1–3% выручки, от 25 до 500 млн |
* В ч. 10–18 под должностными лицами понимаются должностные лица государственных и муниципальных органов и некоммерческих организаций, а под юридическими лицами — остальные операторы. Для коммерческой компании по этим частям штраф назначают самой организации.
Как считают субъектов и идентификаторы, когда оборотный штраф можно снизить и что сообщать в Роскомнадзор за 24 и 72 часа, разобрано в статье о штрафах за утечку персональных данных.
Какие нарушения чаще всего находят на сайтах
Большинство претензий к сайтам видно без доступа к внутренним документам компании. Так выглядит связь между тем, что на странице, и частью статьи:
| Что видно на сайте | Часть ст. 13.11 | Штраф юрлицу, руб. |
|---|---|---|
| Нет политики обработки ПДн или ссылки на неё у форм | ч. 3 | 30 000–60 000 |
| Согласие спрятано в оферте или пользовательском соглашении, в тексте нет обязательных сведений | ч. 2 | 300 000–700 000 |
| Форма собирает лишние данные или данные используют для целей, о которых человеку не сообщили | ч. 1 | 150 000–300 000 |
| Оператора нет в реестре Роскомнадзора | ч. 10 | 100 000–300 000 |
| Форма или чат отправляют данные на зарубежный сервис | ч. 8 | 1 000 000–6 000 000 |
| Посетитель запросил сведения о своих данных и не получил ответ | ч. 4 | 40 000–80 000 |
Каждую часть квалифицируют отдельно, поэтому за одну проверку штрафы складываются. В 2025 году Арбитражный суд города Москвы рассматривал дела владельца юридического портала (А40-342666/25, А40-342668/25, А40-342669/25): Роскомнадзор нашёл нарушения по ч. 1, 3 и 10. Суд учёл статус малого предприятия и по ч. 1 и 10 снизил штрафы до половины минимума — 75 и 50 тыс. рублей, по ч. 3 назначил 30 тыс. В предупреждении суд отказал.
Кто платит: компания, руководитель или ИП
- Организация отвечает как юридическое лицо. Привлечение компании не освобождает от ответственности виновного сотрудника, поэтому по ч. 1–9 штраф могут получить и компания, и руководитель или ответственный за обработку ПДн.
- ИП отвечает как должностное лицо, если в части нет отдельной суммы для ИП. По ч. 1.1 и 8–18 ИП платит как юридическое лицо.
- Гражданин без статуса ИП отвечает по графе «граждане». Это касается, например, самозанятого, который ведёт сайт и собирает заявки.
- По ч. 10–18 сотрудников коммерческих компаний как должностных лиц не штрафуют: эти суммы относятся к госорганам и некоммерческим организациям.
Протоколы по ст. 13.11 составляет Роскомнадзор, а штраф назначает суд.
Бесплатно найдём внешние признаки рисков по 152‑ФЗ и подскажем, что исправить.
Как суд определяет размер штрафа
Смягчающие обстоятельства
Суд выбирает сумму внутри диапазона. Ближе к минимуму штраф обычно назначают, если нарушение устранено до рассмотрения дела, совершено впервые и не причинило вреда. Поэтому исправить сайт стоит сразу после запроса Роскомнадзора и приложить к делу доказательства: скриншоты, новые тексты документов, номер уведомления.
Штраф ниже минимума
По ч. 3.2–3.3 ст. 4.1 КоАП при исключительных обстоятельствах организации могут назначить штраф ниже низшего предела, если минимум по санкции не меньше 100 тыс. рублей. Итог не может быть меньше половины минимума. Для граждан и должностных лиц порог — минимум от 10 тыс. и от 50 тыс. рублей соответственно. Штраф по ч. 3 (30–60 тыс.) для компании так снизить нельзя, а по ч. 1, 2, 8 и 10 — можно.
Предупреждение вместо штрафа
Ст. 4.1.1 КоАП позволяет заменить штраф предупреждением, если нарушение совершено впервые, выявлено в ходе государственного контроля и не повлекло вреда или угрозы вреда. На такую замену стоит надеяться в последнюю очередь: суды отказывают, если сочтут условия невыполненными.
Оборотные штрафы
За повторные утечки (ч. 15 и 18) ч. 3.4-2 ст. 4.1 КоАП предусматривает отдельный механизм снижения: если оператор три года тратил на информационную безопасность не меньше 0,1% выручки, подтвердил соблюдение требований к защите и нет отягчающих обстоятельств. Тогда штраф составляет одну десятую минимального размера, но не меньше 15 и не больше 50 млн рублей.
Ответственность за пределами статьи 13.11
- Ч. 1 ст. 14.3 КоАП — рекламная рассылка без предварительного согласия по ч. 1 ст. 18 закона «О рекламе»: для юрлиц 100–500 тыс. рублей. Как оформить согласие — в статье о согласии на рассылку.
- Ст. 272.1 УК РФ (с декабря 2024 года) — уголовная ответственность за незаконное использование и передачу компьютерной информации с персональными данными.
- Гражданская ответственность: человек, чьи права нарушены, может требовать возмещения убытков и компенсации морального вреда (ст. 24 152‑ФЗ).
- Ограничение доступа к сайту через реестр нарушителей прав субъектов персональных данных.
Как снизить риск
- Опубликуйте политику обработки ПДн и поставьте ссылку на неё у каждой формы.
- Оформите согласие отдельно от оферты и других документов — так требует закон с 1 сентября 2025 года.
- Подайте уведомление в Роскомнадзор и проверьте запись в реестре операторов.
- Проверьте, что формы, CRM и рассылки хранят данные в России: локализация по шагам.
- Назначьте ответственного за ответы на запросы людей: на ответ даётся 10 рабочих дней с возможностью продлить на 5.
- Подготовьте план реагирования на утечку, чтобы уложиться в 24 и 72 часа.
Бесплатная проверка «Сайта и закона» показывает внешние признаки из таблицы выше: политику, согласия в формах, cookie-уведомление, иностранные сервисы. Документы и меры защиты внутри компании снаружи не видны. Если пришёл запрос или протокол Роскомнадзора, подключите юриста по персональным данным.
Частые вопросы
Кто выписывает штраф за нарушение 152‑ФЗ?
Роскомнадзор выявляет нарушение и составляет протокол, а наказание назначает суд.
Сколько платить, если нашли несколько нарушений сразу?
За разные нарушения штрафы назначают по каждой части отдельно и складывают. Если же одно действие подпадает под несколько частей, наказание назначают одно — по самой строгой санкции (ч. 2 ст. 4.4 КоАП).
Можно ли обжаловать постановление о штрафе?
Да, жалобу подают в течение 10 дней со дня получения копии постановления. Шансы выше, если нарушение уже устранено и это подтверждено документами.
Какой штраф для ИП за обработку без согласия?
По ч. 2 ИП отвечает как должностное лицо: 100–300 тыс. рублей. При повторном нарушении по ч. 2.1 для ИП установлено 500 тыс. – 1 млн рублей.
Есть ли особые штрафы для малого бизнеса?
Отдельных сумм нет. Малый бизнес может просить о замене штрафа предупреждением или о снижении ниже минимума, если минимум по санкции от 100 тыс. рублей, но суд решает это в каждом деле отдельно.
Штрафуют ли без проверки на месте?
Да. Отсутствие политики, согласий и иностранные сервисы Роскомнадзор видит на сайте без выезда. Поводом также становятся жалобы посетителей.
Материал носит информационный характер. Для оценки конкретной ситуации обратитесь к профильному специалисту.