В 2026 году контроль со стороны Роскомнадзора усилился: даже небольшие недочёты в документации или на сайте могут стать основанием для наложения значительных штрафов. В статье рассмотрим правовую основу, типичные ошибки, размеры штрафов и практические рекомендации, которые помогут подготовиться к проверке и избежать финансовых потерь.
Правовая база
Основные нормативные акты, регулирующие обработку персональных данных в России:
- Федеральный закон № 152‑ФЗ «О персональных данных» (в ред. от 2025‑12‑31);
- КоАП РФ, статья 13.11 – «Нарушение законодательства Российской Федерации в области персональных данных»;
- Уголовный кодекс РФ (ст. 272‑274) – ответственность за незаконную обработку специальных и биометрических данных;
- Приказы и методические рекомендации Роскомнадзора (в частности, постановление от 30 мая 2025 г. о новых размерах штрафов).
Согласно КоАП РФ ст. 13.11, неисполнение оператором обязанности по предоставлению субъекту персональных данных информации о том, как их данные обрабатываются, влечёт административный штраф:
- для физических лиц – от 2 000 до 4 000 рублей;
- для должностных лиц – от 6 000 до 12 000 рублей;
- для индивидуальных предпринимателей – от 10 000 до 20 000 рублей;
- для юридических лиц – от 30 000 до 60 000 рублей.
Как проходит проверка Роскомнадзора
- Подготовительный этап. Роскомнадзор формирует запрос о предоставлении документов (политика конфиденциальности, реестр операторов, журналы доступа и т.д.).
- Выездная проверка. Инспекторы проверяют:
- соответствие онлайн‑форм требованиям закона (наличие согласия, возможность отзыва согласия);
- правильность хранения и защиты данных (шифрование, ограничение доступа);
- наличие и актуальность внутренней документации (политика обработки, регламент доступа, договоры с обработчиками);
- соответствие целей обработки заявленным целям сбора.
- Заключительный этап. Составляется акт проверки с указанием выявленных нарушений и рекомендаций. При наличии нарушений – наложение штрафа.
ТОП‑7 типичных ошибок при подаче уведомления и в процессе обработки
Согласно материалам компании «Е‑Офис 24», наиболее частые нарушения, которые приводят к штрафам:
- Отсутствие реального способа получения согласия. Онлайн‑формы не содержат чек‑бокса или ссылки на политику конфиденциальности.
- Неправильное указание целей обработки. Цели не совпадают с тем, что указано в уведомлении.
- Недостаточная детализация категорий собираемых данных. В уведомлении указаны общие формулировки без конкретизации.
- Отсутствие информации о сроках хранения данных. Субъекты не знают, как долго их данные будут находиться в базе.
- Необновлённый реестр операторов. В реестре указаны устаревшие контактные данные или отсутствуют новые обработчики.
- Отсутствие процедуры отзыва согласия. Пользователь не может самостоятельно отозвать согласие;
- Неправильная настройка доступа к базе. Доступ имеют сотрудники, которым не требуется работа с данными, что нарушает принцип минимизации.
Штрафы за нарушения в 2026 году
С 30 мая 2025 г. размеры штрафов почти в три раза увеличились. Ниже – актуальная таблица штрафов за 2026 год (в рублях):
| Тип нарушения | Физическое лицо | Должностное лицо | ИП | Юридическое лицо |
|---|---|---|---|---|
| Отсутствие согласия субъекта данных | 2 000 – 4 000 | 6 000 – 12 000 | 10 000 – 20 000 | 30 000 – 60 000 |
| Неправильное уведомление (ошибки в целях, сроках, категориях) | 3 000 – 6 000 | 9 000 – 18 000 | 15 000 – 30 000 | 45 000 – 90 000 |
| Утечка персональных данных (обычные) | 5 000 – 10 000 | 15 000 – 30 000 | 25 000 – 50 000 | 75 000 – 150 000 |
| Утечка специальных/биометрических данных | 10 000 – 20 000 | 30 000 – 60 000 | 50 000 – 100 000 | 150 000 – 300 000 |
| Повторное нарушение (в течение 12 мес.) | × 2 (удвоенный штраф) | × 2 (удвоенный штраф) | × 2 (удвоенный штраф) | × 2 (удвоенный штраф) |
| Оборотный штраф за несоблюдение сроков исправления после проверки | — | — | — | От 10 % от годового оборота (не менее 300 000 руб.) |
Как подготовиться к проверке: практический чек‑лист
Документация
- Политика конфиденциальности и согласие (включить чек‑бокс, ссылку на политику, возможность отзыва).
- Регламент обработки персональных данных (не менее 30 внутренних документов, как требует практика).
- Реестр операторов и обработчиков с актуальными контактными данными.
- Журналы доступа и аудита (логирование всех действий с данными).
- Договоры с третьими лицами‑обработчиками, включающие обязательства по защите данных.
Технические меры
- Шифрование персональных данных в базе и при передаче (TLS 1.2 / 1.3).
- Контроль доступа по принципу least privilege (минимальные права).
- Регулярные резервные копии и их защита от несанкционированного доступа.
- Антивирусная и анти‑мальваре защита серверов.
- Тестирование на уязвимости (penetration testing) минимум раз в полгода.
Организационные меры
- Назначить Ответственного за персональные данные (ОПД) и оформить должностные инструкции.
- Провести обучение персонала (не реже 1 раза в год) по требованиям ФЗ‑152.
- Ввести процесс обработки запросов субъектов данных (право доступа, исправления, удаления).
- Разработать план реагирования на утечку (внутренний регламент + уведомление Роскомнадзора в течение 72 часов).
Практические рекомендации по устранению типовых ошибок
- Проверьте онлайн‑формы. Убедитесь, что каждый сбор данных сопровождается отдельным чек‑боксом с текстом согласия и ссылкой на политику конфиденциальности.
- Обновите цели обработки. Перепроверьте, что в уведомлении указаны именно те цели, для которых собираются данные (маркетинг, обслуживание, аналитика и т.д.).
- Уточните категории данных. В описании укажите конкретные поля (ФИО, телефон, e‑mail, ИНН, биометрические данные и т.п.).
- Установите сроки хранения. Для каждой категории данных задайте срок (например, «не более 3 лет после завершения договора»).
- Обновите реестр операторов. Включите всех подрядчиков, обладающих доступом к данным, и укажите их контактные данные.
- Внедрите механизм отзыва согласия. На сайте должна быть возможность «отозвать согласие» в личном кабинете пользователя.
- Ограничьте доступ. Проверьте права доступа в системе: только те сотрудники, которым действительно нужны данные, должны иметь к ним доступ.
Контроль со стороны Роскомнадзора в 2026 году стал более строгим, а размеры штрафов – существенно выше. Чтобы избежать финансовых потерь, необходимо:
- Тщательно соблюдать требования ФЗ‑152 и КоАП РФ ст. 13.11;
- Регулярно проводить внутренний аудит (не реже 1 раза в полгода);
- Поддерживать актуальную документацию и технические средства защиты;
- Обучать персонал и назначать ответственного за персональные данные.
Применяя перечисленные рекомендации и устраняя типовые ошибки, вы сможете пройти проверку без штрафов и обеспечить надёжную защиту персональных данных своих клиентов и сотрудников.
Дата актуализации: 17:34:17