152-ФЗ: что обязан сделать владелец сайта и сколько стоит ошибка

Если на вашем сайте есть форма, в которую человек вводит имя и телефон, вы собираете персональные данные и отвечаете за них по закону 152-ФЗ. Обязанностей у вас шесть: опубликовать политику, получать согласие отдельным документом, уведомить Роскомнадзор до начала сбора, хранить данные россиян сначала в базе в России, иметь план на случай утечки и предупреждать Роскомнадзор до передачи данных за границу. За каждую из них в КоАП свой штраф, и суммы в разных статьях в интернете расходятся. Ниже они даны по тексту КоАП и закона, с номерами статей и датой сверки: 30 октября 2026 года.

Это пояснение, а не юридическая консультация. Суммы и сроки меняются, и перед принятием решений, особенно после проверки или утечки, обратитесь к юристу.

Проверка за десять минут и штрафы по каждому пункту

Суммы в рублях, статья 13.11 КоАП РФ, редакция КонсультантПлюс от 4 августа 2026 года. В её тексте есть пометка, что подготовлена версия с поправками, которые ещё не вступили в силу.

Что проверить	Норма закона	Часть ст. 13.11	Граждане	Должностные лица	ИП	Юридические лица
Политика обработки опубликована на странице, где собираются данные	ст. 18.1, ч. 2	3	1 500–3 000	6 000–12 000	10 000–20 000	30 000–60 000
Согласие оформлено отдельно от других документов	ст. 9, ч. 1	2	10 000–15 000	100 000–300 000	отдельной суммы нет	300 000–700 000
Роскомнадзор уведомлён до начала обработки	ст. 22, ч. 1	10	5 000–10 000	30 000–50 000	как юрлицо	100 000–300 000
Данные первично записываются в базу в России	ст. 18, ч. 5	8	30 000–50 000	100 000–200 000	как юрлицо	1 000 000–6 000 000
Есть план на случай утечки: 24 и 72 часа	ст. 21, ч. 3.1	11	50 000–100 000	400 000–800 000	как юрлицо	1 000 000–3 000 000
Перед передачей данных за границу подано уведомление	ст. 12, ч. 3	не искал	нет данных	нет данных	нет данных	нет данных

Часть 2 касается обработки без требуемого согласия и согласия неверного содержания. Относится ли к ней согласие, оформленное не отдельным документом, текст статьи прямо не говорит, и разъяснения на этот счёт я не нашёл: в таблице это моя привязка нормы к штрафу, а не цитата.

В колонке ИП «как юрлицо» означает примечание 1 к статье 13.11: для частей 1.1 и 8–18 индивидуальный предприниматель отвечает как юридическое лицо. В части 2 в тексте статьи отдельной строки для ИП нет, как он отвечает по ней, определяют общие правила статьи 2.4 КоАП, и их я не открывал.

Повторное нарушение по части 8 (хранение за границей) грозит юрлицу штрафом от 6 до 18 млн ₽ (часть 9).

Почему суммы в разных статьях разные

Причин три. Статью меняли несколько раз: части 3–5 действуют в редакции 2021 года, часть 2 менялась в 2023-м, части 10–18 появились по закону 420-ФЗ от 30.11.2024. В материалах, которые я читал, датой вступления этих норм называют 30 мая 2025 года, но самого текста закона об этой дате я не открывал, поэтому пишу «по сообщениям».

Вторая причина: под понятием «штраф за утечку» понимают разные части. Миллион-три миллиона это часть 11, штраф за то, что вы не уведомили Роскомнадзор об утечке. Сама утечка по частям 12–14 грозит юрлицу штрафом от 3 до 15 млн ₽ в зависимости от числа затронутых людей, а при повторе по части 15 это от 1 до 3% выручки, но не меньше 20 и не больше 500 млн ₽. Подробнее об этом в статье «Сайт взломали: что делать».

Третья причина: в таблицах часто смешивают граждан, должностных лиц и юрлиц. Для малого бизнеса важна колонка, которая относится к вашей форме: ИП или юрлицо.

Политика и согласие: что именно требует закон

Статья 18.1 (часть 2) обязывает оператора, собирающего данные через интернет, опубликовать политику на страницах сайта, через которые эти данные собираются. Ссылки в подвале мало: политика должна быть доступна на тех страницах, где человек вводит данные.

Согласие по статье 9 должно быть свободным, конкретным, информированным, сознательным и однозначным, в любой форме, которая позволяет подтвердить факт получения. С 1 сентября 2025 года (как пишут в новостях КонсультантПлюс; сама статья 9 содержит поправку 156-ФЗ от 24.06.2025) его надо оформлять отдельно от прочих документов и информации, которые человек подтверждает или подписывает. То есть галочка «я принимаю пользовательское соглашение» согласием на обработку данных быть не может. Доказывать, что согласие получено, должен оператор (часть 3 статьи 9).

Письменное согласие с девятью обязательными пунктами (ФИО и паспортные данные, цель, перечень данных, срок, подпись) нужно там, где закон требует именно письменной формы (часть 4). Для остальных случаев часть 1 допускает любую форму, факт получения которой вы можете подтвердить, а какая нужна именно вам, решает юрист.

У меня согласие вынесено на отдельную страницу, а галочка у формы ссылается на неё.

Уведомление Роскомнадзора

Часть 1 статьи 22: оператор должен уведомить Роскомнадзор о намерении обрабатывать данные до начала обработки. Исключения перечислены в части 2. Прежние исключения (пункты 1–6) отменены с 1 сентября 2022 года законом 266-ФЗ. Остались три: обработка в государственных системах для безопасности и порядка, обработка без средств автоматизации и обработка по законодательству о транспортной безопасности. Форма на сайте под них не подпадает: это обработка с автоматизацией.

В уведомлении называют оператора и адрес, цель обработки, меры защиты, ответственного, дату начала, срок окончания, есть ли передача за границу и где находится база данных россиян. Роскомнадзор вносит сведения в реестр в течение 30 дней. Об изменениях нужно сообщать не позднее 15 числа месяца, следующего за изменением.

Данные за границей

Часть 5 статьи 18 запрещает при сборе данных граждан России, в том числе через интернет, записывать и хранить их первично в базах за пределами России, с исключениями, которые перечислены в части 1 статьи 6. Практический вопрос к форме такой: куда она отправляет данные сразу? Если заявка с сайта сразу уходит на почту или в CRM за рубежом, это вопрос к части 5, и о нём стоит спросить юриста, а не ограничиваться уведомлением.

Передача за границу, например в зарубежное облако или сервис аналитики, требует отдельного уведомления до начала (статья 12, часть 3). Для стран из списка Роскомнадзора передавать можно сразу после подачи уведомления, для остальных надо дождаться решения, срок которого 10 рабочих дней. Страница закона предупреждает, что 265-ФЗ от 26.07.2026 изменит часть 2 (список стран) и правила ожидания в частях 10 и 11, но дату вступления на страницу не вынесли. Поэтому перед отправкой данных за границу сверьтесь с актуальным текстом статьи 12.

Что делать, если не сделано ничего

Порядок такой. Сначала выясните, куда уходят данные формы и какие сервисы подключены к сайту: это техническая часть, и её проверяю я. Затем опубликуйте политику и согласие, текст которых готовит юрист, а не копирует у соседа. Затем подайте уведомление в Роскомнадзор. Затем напишите план действий на случай утечки с именем ответственного. Срочность тут не в ожидании проверки: штрафы по частям 2, 3 и 10 установлены статьёй уже сейчас, и это видно в её тексте.

Я не юрист и политику вам не напишу. Но где лежат данные формы, какие сервисы подключены и что грузится до согласия, я проверю: это можно сделать разово или вести как часть поддержки сайта. Про cookie и счётчики отдельная статья: «Cookie-баннер и Яндекс Метрика». Если хотите разобраться со своим сайтом, напишите адрес.

Источники

• КоАП РФ, статья 13.11 (КонсультантПлюс, ред. от 04.08.2026): суммы по частям 1–18 и примечания.
• 152-ФЗ, статья 9: согласие; часть 1 изменена 156-ФЗ от 24.06.2025.
• 152-ФЗ, статья 12: трансграничная передача, поправки 265-ФЗ от 26.07.2026.
• 152-ФЗ, статья 18 и статья 18.1: база в России, публикация политики.
• 152-ФЗ, статья 21, часть 3.1: сроки 24 и 72 часа.
• 152-ФЗ, статья 22: уведомление об обработке.
• КонсультантПлюс: новость о поправках с 1 сентября 2022 года: про 266-ФЗ. Дату 1 сентября 2025 года для поправки 156-ФЗ я взял из пересказа поиска по новостям КонсультантПлюс, в открытых мной текстах статьи 9 этой даты нет.