Штрафы по 152-ФЗ для владельцев сайтов в 2026 году

30 мая 2025 года вступили в силу новые штрафы за нарушения закона о персональных данных (Федеральный закон от 30.11.2024 № 420-ФЗ). Выросли они в разы. Ниже то, что мы чаще всего находим на обычных сайтах малого бизнеса.

За что штрафуют сайты

Данные собираются без согласия. ч. 1 ст. 13.11 КоАП. Компания заплатит 150 000–300 000 ₽, повторно 300 000–500 000 ₽. ИП и должностное лицо 50 000–100 000 ₽. Сюда попадают формы без галочки, галочка, отмеченная заранее, и счётчики, которые запускаются раньше согласия.

Нет политики обработки персональных данных. ч. 3 ст. 13.11 КоАП. Компания 30 000–60 000 ₽, ИП и должностное лицо 10 000–20 000 ₽.

Не подано уведомление в Роскомнадзор. ч. 10 ст. 13.11 КоАП. 100 000–300 000 ₽, причём одинаково для компаний и ИП.

Данные россиян хранятся за границей. ч. 8 ст. 13.11 КоАП. 1 000 000–6 000 000 ₽, повторно 6 000 000–18 000 000 ₽. Так бывает, например, когда заявки с сайта уходят прямиком в зарубежный сервис.

Самые крупные суммы — за утечки. Там штраф может считаться от выручки компании.

Как это выглядит на практике

• 75 000 ₽: Яндекс Метрика и Google Analytics на сайте без правовых оснований (без согласия посетителей). Владелец сайта pravo.ru; Арбитражный суд г. Москвы, дело А40-342668/25, 2026.
• 50 000 ₽: формы обратной связи собирали ФИО, e-mail и телефон, а уведомление в Роскомнадзор не подано. Владелец сайта pravo.ru; Арбитражный суд г. Москвы, дело А40-342666/25, 2026.
• 30 000 ₽: на сайте не опубликована политика обработки персональных данных. Владелец сайта pravo.ru; Арбитражный суд г. Москвы, дело А40-342669/25, 2026.
• 400 000 ₽: утечка более 300 тысяч записей с персональными данными — одно из первых дел по новым частям ст. 13.11. Компания (название в обзорах не раскрывается); Арбитражный суд г. Москвы, дело А40-351064/2025, 05.03.2026.

Обратите внимание на три дела pravo.ru. Один и тот же сайт получил три отдельных штрафа: за Метрику без согласия, за формы без уведомления в Роскомнадзор и за отсутствие политики. Каждое нарушение считается само по себе, и суммы складываются.

Предупредят ли сначала

Рассчитывать на это не стоит. В том же деле pravo.ru суд согласился, что Роскомнадзор не обязан сначала выносить предупреждение. Так что исправлять лучше заранее, пока нарушения не нашёл кто-то другой.

С чего начать

1. Проверьте, не запускаются ли счётчики до согласия. Как быть с Метрикой.
2. Поставьте в формы отдельную пустую галочку согласия. Что требуется с 1 сентября 2025.
3. Опубликуйте политику обработки персональных данных и дайте на неё ссылку со всех страниц, где есть формы.
4. Подайте уведомление в Роскомнадзор, если ещё не подавали.
5. Сохраняйте доказательства согласий. Зачем нужен журнал.

Бесплатная проверка 152on покажет, что из этого есть на вашем сайте, и посчитает возможный штраф по каждому пункту.