Начиная с 30 мая 2025 года вступил в силу новый пакет поправок к КоАП РФ, который в разы увеличил штрафы за нарушение правил обработки персональных данных. Ниже – подробная «шпаргалка» для юристов, ИТ-специалистов и руководителей компаний: какие действия караются, какие суммы грозят и как минимизировать риски.
Содержание
- Кратко о норме
- 18 составов правонарушений: таблица-2025
- Кого и как наказывают
- Отягчающие обстоятельства
- Практика Роскомнадзора и судов
- Чек-лист «Как не попасть в реестр нарушителей»
Кратко о норме
Статья 13.11 КоАП РФ объединяет 18 частей и посвящена исключительно административной ответственности за нарушение требований Федерального закона № 152-ФЗ «О персональных данных». Ключевая идея: любая обработка ПДн должна быть законной, целевой, с согласием субъекта и при надлежащих мерах защиты. Если это правило нарушено – грозит штраф до 18 млн ₽ для юрлиц.
18 составов правонарушений: таблица-2025
| № ч. | За что наказывают | Штраф 2025, ₽ |
|---|---|---|
| 13.11 ч.1 | Обработка ПДн без правового основания | юрлица 150 000–300 000 |
| 13.11 ч.2 | Без письменного согласия, когда оно обязательно | юрлица 300 000–600 000 |
| 13.11 ч.3 | Несоответствие цели обработки первоначальной цели сбора | юрлица 300 000–600 000 |
| 13.11 ч.4 | Не предоставление субъекту информации об обработке | юрлица 500 000–1 000 000 |
| 13.11 ч.5 | Отказ в доступе к своим ПДн | юрлица 500 000–1 000 000 |
| 13.11 ч.6 | Неудаление/неисправление неточных ПДн | юрлица 500 000–1 000 000 |
| 13.11 ч.7 | Нарушение сроков уведомления Роскомнадзора об инциденте | юрлица 1 000 000–3 000 000 |
| 13.11 ч.8 | Не проведение оценки вреда при обработке биометрии | юрлица 1 000 000–3 000 000 |
| 13.11 ч.9-18 | Специальные случаи: трансграничная передача, обработка детских ПДн, специальные категории и т. д. | до 18 000 000 |
Кого и как наказывают
- Граждане – от 2 000 до 30 000 ₽;
- Должностные лица – от 5 000 до 50 000 ₽ (вплоть до дисквалификации);
- ИП – до 500 000 ₽;
- Юридические лица – до 18 000 000 ₽.
Кроме штрафа суд может выписать предписание устранить нарушение в срок до 30 дней. При повторе – сумма штрафа умножается на 2.
Отягчающие обстоятельства
Закон 2025 года ввел перечень обстоятельств, удваивающих размер санкций:
- Утечка затронула более 100 000 записей;
- Инцидент повлёк тяжкие последствия (мошенничество, ущерб здоровью);
- Данные были умышленно проданы третьим лицам;
- Нарушение совершено группой лиц по предварительному сговору;
- Организация не внесена в реестр операторов ПДн (критично для e-commerce и SaaS).
Практика Роскомнадзора и судов
За I квартал 2026 года ведомство направило в суды 831 дело по ст. 13.11 КоАП. Топ-3 причины:
- Отсутствие согласия на рассылку рекламных СМС – 42 % дел;
- Неудаление ПДн бывшего клиента по его требованию – 27 %;
- Утечки через уязвимости в веб-приложениях – 18 %.
Рекордный штраф 2026 г. – 12 млн ₽ крупному маркетплейсу за утечку 1,3 млн аккаунтов.
Чек-лист «Как не попасть в реестр нарушителей»
- Внеситесь в реестр операторов ПДн на сайте pd.rkn.gov.ru до начала обработки.
- Проведите инвентаризацию баз данных: зафиксируйте цели, состав и сроки хранения ПДн.
- Уточните правовое основание для каждой категории данных (согласие, договор, закон и т.д.).
- Обновите политику конфиденциальности и разместите её на главной странице сайта.
- Внедрите технические меры: шифрование (TLS 1.3), псевдонимизация, журналы аудита, DLP-системы.
- Подготовьте процедуру ответа на запросы субъектов – 30 дней со дня получения требования.
- Обучите персонал: курсы по 152-ФЗ, фишинг-тесты, инструкции при инцидентах.
- Если работаете с cross-border – получите согласие Роскомнадзора на трансграничную передачу.