За нарушение 152-ФЗ и утечку персональных данных штрафуют по ст. 13.11 КоАП РФ - это восемнадцать разных составов, не один штраф. Для ИП вилка от 10 000 рублей за неопубликованный документ о защите данных до 500 000 000: при повторной масштабной утечке считают уже процент от годовой выручки. Отдельно наказывают за саму утечку и за то, что о ней вовремя не сообщили Роскомнадзору.

Многие машут рукой: ну забыл подать бумажку, штраф копейки, как за отсутствие политики - десять-двадцать тысяч, переживу. До письма из Роскомнадзора или требования покупателя удалить данные так и кажется. Потом открывают не ту часть статьи - и сумма уже другая.

Представьте владелицу небольшого интернет-магазина - назовём её Мариной. Подушки, свечи, декор для дома, сайт на Тильде сделал знакомый фрилансер. Оплата и доставка через форму: имя, телефон, адрес, иногда паспортные данные для почты. База покупателей за три года выросла до нескольких тысяч. Про уведомление в Роскомнадзор она слышала краем уха и отложила на потом: заказы идут, зачем сейчас этим заниматься. Политику на сайт тоже так и не повесила - не до того.

Четыре базовые обязанности сайта - политика, согласие, уведомление Роскомнадзора, локализация базы - разобраны в опорной статье про 152-ФЗ. Здесь другая сторона: сам штраф. У магазина Марины два риска, которых нет у визитки с одной формой - и оба бьют сильнее, чем она рассчитывала.

Если покупатель просит удалить данные

Однажды покупательница, которая заказывала у Марины подарок два года назад, пишет: удалите мои данные, я больше не хочу быть у вас в базе. Марина сначала думает ответить завтра: очередь из заказов, поставщик тормозит, письмо не горит. Через неделю вспоминает - и понимает, что искать человека почти негде. Заказы за три года лежат вперемешку в таблице Excel и в переписке в мессенджере. Часть вообще только в почте. Срок уже тикает.

По закону это не вежливая просьба, а требование. Не ответили, какие данные обрабатываются и как - для ИП штраф от 20 000 до 30 000 рублей (ч. 4 ст. 13.11 КоАП РФ). Не уточнили, не заблокировали или не удалили в срок по требованию человека или Роскомнадзора - от 20 000 до 40 000 (ч. 5 той же статьи).

Злого умысла у Марины нет. Есть бардак в учёте и привычка откладывать. Закон это не смягчает. Ответить и удалить обязана она, а не её таблица. Если проигнорирует и получит повторное требование - сумма прыгнет уже к другой части статьи, до 500 000.

Если нарушили второй раз

Первый штраф и второй считают по-разному. Повтор - не чуть дороже, а отдельная часть статьи с другой суммой. У четырёх составов такая часть есть.

Незаконная обработка (ч. 1) при повторе уходит в ч. 1.1: потолок для компании был 300 000, становится 500 000. Для ИП появляется сумма, которой при первом нарушении не было: раньше платил как должностное лицо, теперь сразу как компания - тоже до 500 000.

Обработка без нормального письменного согласия (ч. 2) при повторе - ч. 2.1: потолок для компании был 700 000, становится 1 500 000.

Не удалили данные в срок (ч. 5) при повторе - ч. 5.1: потолок был 90 000, становится 500 000 - почти в шесть раз.

Логика закона простая и неприятная.

Первый раз могут счесть ошибкой. Второй - уже решение, что ошибку можно повторить.

Штрафы за утечку: три разных вопроса

Все суммы ниже - из ст. 13.11 КоАП РФ в редакции от 4 июля 2026 года. Их легко перепутать, поэтому держим раздельно.

Первый вопрос - сообщили ли вы Роскомнадзору об утечке. Не сообщили или опоздали: для ИП от 1 000 000 до 3 000 000 рублей (ч. 11). Масштаб утечки здесь не важен. Важен факт молчания.

Второй - сколько людей и записей утекло:

Сколько субъектов и (или) идентификаторов Норма ИП / юрлицо
От 1 000 до 10 000 субъектов и (или) от 10 000 до 100 000 идентификаторов ч. 12 ст. 13.11 3 000 000-5 000 000 ₽
От 10 000 до 100 000 субъектов и (или) от 100 000 до 1 000 000 идентификаторов ч. 13 ст. 13.11 5 000 000-10 000 000 ₽
Больше 100 000 субъектов и (или) больше 1 000 000 идентификаторов ч. 14 ст. 13.11 10 000 000-15 000 000 ₽

Идентификатор - не то же самое, что человек. Это уникальное обозначение сведений о человеке в системе оператора: одному человеку может соответствовать несколько идентификаторов (примечание 4 к ст. 13.11).

Третий вопрос - что именно утекло. Данные о здоровье, национальности, религии и другие специальные категории - отдельная норма, ч. 16: для ИП уже от 10 000 000 до 15 000 000, независимо от масштаба. Биометрия - ч. 17, от 15 000 000 до 20 000 000.

Когда штраф считают в процентах от выручки

Повторная утечка по частям 12-14 уходит в ч. 15. Фиксированной суммы для ИП и компании нет - считают процент от выручки за прошлый календарный год.

Повторная утечка специальных категорий или биометрии (ч. 16-17) при повторе даёт ту же механику по ч. 18, только минимум чуть выше - 25 000 000.

У Марины несколько тысяч покупателей. Если утечёт база такого размера - это ступень ч. 12, минимум три миллиона. Вырастет база до десятков тысяч - уже ч. 13. Лестница выше - не абстрактная таблица, а вопрос: сколько у вас записей и утекало ли что-то раньше.

Может ли штраф стать предупреждением

Короткий ответ: при утечке почти никогда.

В опорной статье разобрана ст. 4.1.1 КоАП РФ: штраф подлежит замене на предупреждение, если нарушение первое и, среди прочего, нет имущественного ущерба. Утечка данных по своей природе как раз про ущерб. Формально ст. 13.11 в список исключений не входит. Но условия замены при реальной утечке почти не складываются. Оценивает это не Марина, а тот, кто рассматривает дело.

С чего начать

Марина ещё не на дне: письма из Роскомнадзора нет, база целиком не утекала. Но она уже в той точке, где беспечность кончается - покупательница ждёт ответа, а найти её данные почти негде. Оборотный штраф на сотни миллионов - не её сегодняшний сюжет. Ей сейчас важнее другое: собрать людей из таблицы и мессенджера в одно место, ответить на запрос и не откладывать уведомление ещё на год.

Если магазин или форма с заявками похожи на её историю - не ждите письма, от которого уже не отвертеться. Проверьте сайт бесплатно: сканер смотрит страницы и показывает, что нашёл. Про политику, согласие, уведомление и локализацию - в статье 152-ФЗ для владельца сайта.

Частые вопросы

Штраф за утечку и штраф за молчание перед Роскомнадзором - это одно и то же?

Нет. Ч. 11 наказывает за то, что вы не сообщили вовремя, независимо от масштаба. Ч. 12-14 - за сам масштаб утечки, независимо от того, уведомили вы или нет. За одну утечку можно получить оба состава сразу.

С какого числа людей утечка считается крупной?

Первая ступень - 1 000 субъектов или 10 000 идентификаторов (ч. 12). Дальше пороги растут до 10 000 и до 100 000. Всё, что больше 100 000 субъектов, - самая тяжёлая часть, ч. 14.

Штраф за утечку одинаковый для ИП и для крупной компании?

По суммам в рублях (части 12-14, 16-17) - да: примечание 1 к ст. 13.11 приравнивает ИП к юрлицу именно здесь. По оборотному штрафу (ч. 15 и 18) формула одна, но процент считают от выручки конкретного оператора. Поэтому итоговая сумма у крупной компании и небольшого магазина будет разной при одинаковом проценте.

Директор компании платит эти штрафы лично?

Нет. В частях 10-18 под должностным лицом понимают только должностных лиц госоргана, муниципалитета или некоммерческой организации (примечания 2 и 3 к ст. 13.11). Директор коммерческой компании в этот круг не входит. По утечке отвечает сама компания.

Нужно ли уведомлять Роскомнадзор о любой утечке, даже маленькой?

Да. Обязанность уведомить не зависит от масштаба: она возникает при любой неправомерной или случайной передаче данных, нарушившей права людей. Штраф за молчание (ч. 11) и штраф за масштаб (ч. 12-14) - разные составы с разными порогами.

Источники

Ссылки на КоАП РФ - редакция от 04.07.2026.

Нормы сверены по первоисточникам 27 июля 2026 года.