04 июля 2026 г. — с 30 мая 2025 года в силу вступил «пакет усилений» в ст. 13.11 КоАП РФ. Размеры штрафов выросли до 18 млн руб., появились новые составы правонарушений и «оборотные» санкции. Ниже, подробный разбор, какие именно действия теперь караются, кому грозит ответственность и как минимизировать риски.
Нормативная база
- Федеральный закон № 152-ФЗ «О персональных данных»;
- КоАП РФ, ст. 13.11 (действующая редакция с );
- Постановление Правительства РФ № 808 (утв. ) — правила аттестации средств защиты информации.
Что считается нарушением
Основные составы (ч. 1–12 ст. 13.11)
| № ч. | Деяние | Субъект | Штраф (руб.) |
|---|---|---|---|
| 1 | Обработка без правового основания | ФЛ / ИП / ЮЛ | 30–50 тыс. / 100–200 тыс. / 300–700 тыс. |
| 2 | Обработка без письменного согласия | ФЛ / ИП / ЮЛ | 50–100 тыс. / 200–400 тыс. / 700 тыс.–1 млн |
| 3 | Нарушение условий трансграничной передачи | ЮЛ | 1–3 млн (повторно до 5 млн) |
| 4 | Несообщение об инциденте в Роскомнадзор | Оператор | 500 тыс.–1,5 млн |
| 5 | Отказ в праве субъекта на доступ к своим данным | ЮЛ | 500 тыс.–1 млн |
| 6–12 | Иные нарушения (утечка, неоценка рисков, отсутствие ПДн-политики и др.) | ФЛ / ИП / ЮЛ | 100 тыс.–18 млн |
Максимальные санкции (до 18 млн руб.) применяются к юрлицам при квалификации по совокупности ч. 6–12.
Новые «оборотные» штрафы
С 2025 г. за отказ в обслуживании клиента, не желающего предоставлять ПДн, грозит:
- для физлиц — 100–200 тыс. руб.;
- для ИП — 200–400 тыс. руб.;
- для компаний — 400–700 тыс. руб.
Кому именно выписывают штрафы
- Операторы ПДн — любые организации и ИП, самостоятельно или совместно определяющие цели обработки.
- Персональные данные «по доверенности» — аутсорс IT, колл-центры, облачные провайдеры.
- Иностранные компании, если обрабатывают данные россиян через сайт или мобильное приложение.
Как проверяют: типовой сценарий Роскомнадзора
Шаг 1: плановая/внеплановая проверка (запрос документов, инспекция серверной).
Шаг 2: выявление нарушения (например, отсутствие журнала учета доступов).
Шаг 3: составление протокола по ч. 7 ст. 13.11 КоАП РФ.
Шаг 4: передача материалов в суд, где выносится штраф 1,2 млн руб. + предписание устранить нарушения в срок до 30 дней.
Шаг 5: при повторном выявлении той же ошибки — утроенный штраф и возможное приостановление деятельности (ч. 12).
Алгоритм «0 рисков» для компании
Аудит и документы
- Провести внешний аудит соответствия 152-ФЗ и 187-ФЗ (госуслуги).
- Обновить Политику обработки ПДн и Согласие субъекта до 30 мая 2025.
- Оформить Журнал учета доступов к ПДн и Реестр инцидентов (шаблоны доступны на сайте РКН).
Технические меры
- Шифрование TLS 1.3 на транспортном уровне.
- Аттестованные СЗИ (сертификат ФСТЭК России) на серверах с категорией К1/К2.
- Разделение сетевых сегментов: DMZ, внутренняя сеть, зона резервного копирования.
- Резервное копирование с хранением не менее 6 месяцев.
Процедуры
- Назначить ответственного за защиту ПДн (DPO) с приказом и регистрацией в РКН.
- Ежеквартальное обучение сотрудников (курсы РКН-онлайн, тестирование).
- Ежемесячный скан уязвимостей и pentest раз в год.
Что делать, если уже пришёл штраф
- В течение 10 дней подать возражения в Роскомнадзор с приложением доказательств устранения.
- При погашении штрафа в срок до 20 дней — получить 50 % скидку (ст. 4.1.1 КоАП РФ).
- Если сумма превышает 3 млн руб., рассмотреть досудебное соглашение (п. 5 ст. 13.11).
- Максимальный штраф юрлицу, 18 млн руб.
- Срок добровольного устранения нарушений — 30 календарных дней.
- Коэффициент повторности — ×3 при рецидиве в течение года.
- Средний размер взыскания по судебной практике 2025 г. — 1,4 млн руб.