Кто считается оператором персональных данных?

Любая компания или ИП, которая собирает данные людей: форма заявки на сайте, база клиентов, кадровый учёт сотрудников. Отдельного статуса получать не нужно — оператором становятся по факту обработки, а не по решению.

Нужно ли подавать уведомление в Роскомнадзор, если у меня просто форма на сайте?

Да. Форма, которая собирает имя и телефон, — это уже обработка персональных данных, и уведомить Роскомнадзор нужно до её начала. За неподачу — штраф до 300 000 ₽ по ч. 10 ст. 13.11 КоАП.

Какой максимальный штраф по 152-ФЗ?

За повторную утечку — оборотный штраф от 1 до 3% годовой выручки, но не менее 20 млн ₽ и не более 500 млн ₽. За первую утечку биометрии — от 15 до 20 млн ₽.

Можно ли хранить данные клиентов в зарубежном сервисе?

Первичный сбор данных россиян должен идти в базу на территории РФ. Зарубежный сервис допустим только как вторичная копия и с оговорками. Нарушение стоит до 6 млн ₽, повторное — до 18 млн ₽.

152-ФЗ: что обязан бизнес и сколько стоит нарушение

Оператором становятся не по заявлению, а по факту: собрали имя и телефон — уже обрабатываете персональные данные. Дальше начинаются обязанности, и почти каждая имеет цену в КоАП.

Кто попадает под закон

Под 152-ФЗ попадает любой, кто собирает сведения, по которым можно опознать человека: имя, телефон, почта, адрес, паспорт, IP в связке с другими данными. Форма заявки на сайте, база клиентов в CRM, кадровые документы, запись на приём — всё это обработка.

Размер бизнеса роли не играет. ИП с одностраничником и формой обратной связи — такой же оператор, как банк, и отвечает по той же статье. Разница только в вилке штрафа: для должностных лиц и компаний суммы отличаются в разы.

Шесть обязанностей и цена каждой

Обязанности ниже выведены из составов ст. 13.11 КоАП: каждая часть статьи прямо называет то, за неисполнение чего наказывает. Суммы приведены для юридических лиц.

1.Опубликовать политику обработки данных

до 60 000 ₽

Документ должен быть доступен любому посетителю без регистрации — обычно ссылкой в подвале сайта.

ч. 3 ст. 13.11 КоАП

2.Брать согласие там, где оно требуется

до 700 000 ₽

Каждая форма, которая собирает имя, телефон, почту или адрес, должна получать согласие — галочкой, а не мелким шрифтом «нажимая кнопку, вы соглашаетесь».

ч. 2 ст. 13.11 КоАП

3.Подать уведомление в Роскомнадзор

до 300 000 ₽

Уведомить нужно ДО начала обработки. Освобождений, которые раньше позволяли не подавать, с 2023 года практически не осталось — уведомляют почти все, включая ИП с формой заявки на сайте.

ч. 10 ст. 13.11 КоАП

4.Хранить данные россиян в базах на территории РФ

до 6 000 000 ₽, повторно до 18 000 000 ₽

Первичный сбор — только в российскую базу. Зарубежные CRM, рассыльщики и аналитика допустимы лишь как вторичная копия, и то с оговорками.

ч. 8 ст. 13.11 КоАП

5.Отвечать на обращения субъектов

до 90 000 ₽

Человек вправе узнать, что вы о нём храните, и потребовать уточнить или удалить данные. На это есть установленный срок.

ч. 4 и 5 ст. 13.11 КоАП

6.Сообщать об утечках

до 3 000 000 ₽

Об инциденте нужно уведомить Роскомнадзор. Молчание наказывается отдельно от самой утечки — то есть штрафа будет два.

ч. 11 ст. 13.11 КоАП

Что изменилось в 2025 году

Федеральный закон от 30 ноября 2024 года № 420-ФЗ дополнил ст. 13.11 КоАП семью новыми составами — отдельно за утечки. До него утечка наказывалась общими нормами и стоила несопоставимо меньше.

Главное изменение — оборотный штраф за повторную утечку: от 1 до 3% годовой выручки, но не меньше 20 млн ₽ и не больше 500 млн ₽. Для компании со средним оборотом это означает, что второй инцидент дороже первого на порядок.

Второе, что часто упускают: молчание об утечке наказывается отдельно от самой утечки. Не сообщили в Роскомнадзор — получите два штрафа вместо одного.

Разобраться подробнее

Штрафы за нарушение 152-ФЗВосемнадцать составов, от 30 тысяч рублей за отсутствие политики на сайте до оборотного штрафа в 500 миллионов за повторную утечку. Ниже — все, с точными вилками из текста статьи.Что должно быть на сайте по 152-ФЗПроверка начинается с того, что видно снаружи: есть ли политика, как оформлены формы, что стоит в счётчиках. Вот что смотрят и во что обходится каждый пропущенный пункт.Уведомление в РоскомнадзорУведомление подаётся до начала обработки, а не после. Тех, кого раньше освобождали, почти не осталось: если на сайте есть форма заявки — вы оператор.

Первоисточники: 152-ФЗ «О персональных данных», ст. 13.11 КоАП РФ. Для частных лиц — права человека при обработке его данных.

Суммы и формулировки сверены с текстом ст. 13.11 КоАП РФ. Последняя вычитка — 9 августа 2026 г..