№ 1
ст. 3, п. 1, 2, 3, 5, 11
В целях настоящего Федерального закона используются следующие основные понятия: … 1) персональные данные — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных) … 2) оператор — государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными … 3) обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных … 5) распространение персональных данных — действия, направленные на раскрытие персональных данных неопределенному кругу лиц … 11) трансграничная передача персональных данных — передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.
— (определения; санкции нет)
Определения применяются при квалификации: cookie и данные метрических программ, позволяющие определить уникального посетителя, признаются ПДн (2-й КСОЮ 17.04.2026 № 16-2140/2026; дело РКН — МТС № А40-14902/16); оператор — тот, кто определяет цели обработки (фактический получатель заявок с сайта).
1Политика опубликована от имени лица, не являющегося фактическим получателем заявок, — оператор определён неверно.
2Передача данных посетителей иностранному сервису аналитики — трансграничная передача (п. 11).
Обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных.
Граждане — 10 000–15 000 ₽; ДЛ — 50 000–100 000 ₽; ИП — как ДЛ (прим. к ст. 2.4 КоАП); ЮЛ — 150 000–300 000 ₽
КоАП РФ, ст. 13.11, ч. 1
Обработка персональных данных в случаях, не предусмотренных законодательством Российской Федерации в области персональных данных, либо обработка персональных данных, несовместимая с целями сбора персональных данных, за исключением случаев, предусмотренных частями 2, 11–18 настоящей статьи и статьей 17.13 настоящего Кодекса, если эти действия не содержат уголовно наказуемого деяния, — влечет наложение административного штрафа на граждан в размере от десяти тысяч до пятнадцати тысяч рублей; на должностных лиц — от пятидесяти тысяч до ста тысяч рублей; на юридических лиц — от ста пятидесяти тысяч до трехсот тысяч рублей.
1Данные из формы «Обратный звонок» используются для рекламной рассылки, хотя цель сбора — перезвонить по заявке.
2В политике заявлена одна цель («обработка заявок»), фактически данные передаются партнёрам для продаж.
Содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки.
Граждане — 10 000–15 000 ₽; ДЛ — 50 000–100 000 ₽; ИП — как ДЛ (прим. к ст. 2.4 КоАП); ЮЛ — 150 000–300 000 ₽
КоАП РФ, ст. 13.11, ч. 1
Обработка персональных данных в случаях, не предусмотренных законодательством Российской Федерации в области персональных данных, либо обработка персональных данных, несовместимая с целями сбора персональных данных, за исключением случаев, предусмотренных частями 2, 11–18 настоящей статьи и статьей 17.13 настоящего Кодекса, если эти действия не содержат уголовно наказуемого деяния, — влечет наложение административного штрафа на граждан в размере от десяти тысяч до пятнадцати тысяч рублей; на должностных лиц — от пятидесяти тысяч до ста тысяч рублей; на юридических лиц — от ста пятидесяти тысяч до трехсот тысяч рублей.
1Форма записи на консультацию требует паспортные данные и дату рождения, хотя для записи достаточно имени и телефона.
2Анкета подписки на новости запрашивает адрес проживания и место работы.
Хранение персональных данных должно осуществляться в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных. Обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.
Граждане — 10 000–15 000 ₽; ДЛ — 50 000–100 000 ₽; ИП — как ДЛ (прим. к ст. 2.4 КоАП); ЮЛ — 150 000–300 000 ₽
КоАП РФ, ст. 13.11, ч. 1
Обработка персональных данных в случаях, не предусмотренных законодательством Российской Федерации в области персональных данных, либо обработка персональных данных, несовместимая с целями сбора персональных данных, за исключением случаев, предусмотренных частями 2, 11–18 настоящей статьи и статьей 17.13 настоящего Кодекса, если эти действия не содержат уголовно наказуемого деяния, — влечет наложение административного штрафа на граждан в размере от десяти тысяч до пятнадцати тысяч рублей; на должностных лиц — от пятидесяти тысяч до ста тысяч рублей; на юридических лиц — от ста пятидесяти тысяч до трехсот тысяч рублей.
1В политике не указаны сроки хранения данных из форм и условия их уничтожения.
2Политика прямо говорит, что заявки «хранятся бессрочно».
№ 5
ст. 6, ч. 1, п. 1, 5, 7
Обработка персональных данных должна осуществляться с соблюдением принципов и правил, предусмотренных настоящим Федеральным законом. Обработка персональных данных допускается в следующих случаях: … 1) обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных … 5) обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем. Заключаемый с субъектом персональных данных договор не может содержать положения, ограничивающие права и свободы субъекта персональных данных, устанавливающие случаи обработки персональных данных несовершеннолетних, если иное не предусмотрено законодательством Российской Федерации, а также положения, допускающие в качестве условия заключения договора бездействие субъекта персональных данных … 7) обработка персональных данных необходима для осуществления прав и законных интересов оператора или третьих лиц, в том числе в случаях, предусмотренных Федеральным законом "О защите прав и законных интересов физических лиц при осуществлении деятельности по возврату просроченной задолженности и о внесении изменений в Федеральный закон "О микрофинансовой деятельности и микрофинансовых организациях", либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъекта персональных данных
Граждане — 10 000–15 000 ₽; ДЛ — 50 000–100 000 ₽; ИП — как ДЛ (прим. к ст. 2.4 КоАП); ЮЛ — 150 000–300 000 ₽
КоАП РФ, ст. 13.11, ч. 1
Обработка персональных данных в случаях, не предусмотренных законодательством Российской Федерации в области персональных данных, либо обработка персональных данных, несовместимая с целями сбора персональных данных, за исключением случаев, предусмотренных частями 2, 11–18 настоящей статьи и статьей 17.13 настоящего Кодекса, если эти действия не содержат уголовно наказуемого деяния, — влечет наложение административного штрафа на граждан в размере от десяти тысяч до пятнадцати тысяч рублей; на должностных лиц — от пятидесяти тысяч до ста тысяч рублей; на юридических лиц — от ста пятидесяти тысяч до трехсот тысяч рублей.
1Форма «Оставить заявку» (имя, телефон, e-mail) отправляется без согласия на обработку и без иного правового основания.
2Счётчик аналитики и запись сессий запускаются до какого-либо согласия посетителя; в политике основание не названо.
Оператор вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора, в том числе государственного или муниципального контракта, либо путем принятия государственным органом или муниципальным органом соответствующего акта (далее — поручение оператора). …
Граждане — 10 000–15 000 ₽; ДЛ — 50 000–100 000 ₽; ИП — как ДЛ (прим. к ст. 2.4 КоАП); ЮЛ — 150 000–300 000 ₽
КоАП РФ, ст. 13.11, ч. 1
Обработка персональных данных в случаях, не предусмотренных законодательством Российской Федерации в области персональных данных, либо обработка персональных данных, несовместимая с целями сбора персональных данных, за исключением случаев, предусмотренных частями 2, 11–18 настоящей статьи и статьей 17.13 настоящего Кодекса, если эти действия не содержат уголовно наказуемого деяния, — влечет наложение административного штрафа на граждан в размере от десяти тысяч до пятнадцати тысяч рублей; на должностных лиц — от пятидесяти тысяч до ста тысяч рублей; на юридических лиц — от ста пятидесяти тысяч до трехсот тысяч рублей.
1Заявки с сайта уходят в облачную CRM и сервис рассылок, о поручении обработки этим лицам в политике и согласии ни слова.
2Чат-виджет стороннего сервиса собирает имя и телефон; посетитель о передаче данных не информирован.
Операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.
Граждане — 10 000–15 000 ₽; ДЛ — 50 000–100 000 ₽; ИП — как ДЛ (прим. к ст. 2.4 КоАП); ЮЛ — 150 000–300 000 ₽
КоАП РФ, ст. 13.11, ч. 1
Обработка персональных данных в случаях, не предусмотренных законодательством Российской Федерации в области персональных данных, либо обработка персональных данных, несовместимая с целями сбора персональных данных, за исключением случаев, предусмотренных частями 2, 11–18 настоящей статьи и статьей 17.13 настоящего Кодекса, если эти действия не содержат уголовно наказуемого деяния, — влечет наложение административного штрафа на граждан в размере от десяти тысяч до пятнадцати тысяч рублей; на должностных лиц — от пятидесяти тысяч до ста тысяч рублей; на юридических лиц — от ста пятидесяти тысяч до трехсот тысяч рублей.
1На странице «Отзывы» опубликованы ФИО и фотографии клиентов без их согласия.
2В разделе «Наши сотрудники» размещены личные телефоны и e-mail работников без согласия.
Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным. Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом. Согласие на обработку персональных данных должно быть оформлено отдельно от иных информации и (или) документов, которые подтверждает и (или) подписывает субъект персональных данных. В случае получения согласия на обработку персональных данных от представителя субъекта персональных данных полномочия данного представителя на дачу согласия от имени субъекта персональных данных проверяются оператором.
Граждане — 10 000–15 000 ₽; ДЛ — 50 000–100 000 ₽; ИП — как ДЛ (прим. к ст. 2.4 КоАП); ЮЛ — 150 000–300 000 ₽
КоАП РФ, ст. 13.11, ч. 1
Обработка персональных данных в случаях, не предусмотренных законодательством Российской Федерации в области персональных данных, либо обработка персональных данных, несовместимая с целями сбора персональных данных, за исключением случаев, предусмотренных частями 2, 11–18 настоящей статьи и статьей 17.13 настоящего Кодекса, если эти действия не содержат уголовно наказуемого деяния, — влечет наложение административного штрафа на граждан в размере от десяти тысяч до пятнадцати тысяч рублей; на должностных лиц — от пятидесяти тысяч до ста тысяч рублей; на юридических лиц — от ста пятидесяти тысяч до трехсот тысяч рублей.
1Чекбокс согласия отмечен по умолчанию — волеизъявления нет.
2Один чекбокс «Согласен с политикой, офертой и рассылкой» — согласие не оформлено отдельно от иных документов.
Обязанность предоставить доказательство получения согласия субъекта персональных данных на обработку его персональных данных или доказательство наличия оснований, указанных в пунктах 2–11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 настоящего Федерального закона, возлагается на оператора.
Граждане — 10 000–15 000 ₽; ДЛ — 50 000–100 000 ₽; ИП — как ДЛ (прим. к ст. 2.4 КоАП); ЮЛ — 150 000–300 000 ₽
КоАП РФ, ст. 13.11, ч. 1
Обработка персональных данных в случаях, не предусмотренных законодательством Российской Федерации в области персональных данных, либо обработка персональных данных, несовместимая с целями сбора персональных данных, за исключением случаев, предусмотренных частями 2, 11–18 настоящей статьи и статьей 17.13 настоящего Кодекса, если эти действия не содержат уголовно наказуемого деяния, — влечет наложение административного штрафа на граждан в размере от десяти тысяч до пятнадцати тысяч рублей; на должностных лиц — от пятидесяти тысяч до ста тысяч рублей; на юридических лиц — от ста пятидесяти тысяч до трехсот тысяч рублей.
1Согласие «даётся нажатием кнопки», при этом факт и содержание согласия нигде не фиксируются — доказать его оператор не сможет.
2Поле согласия технически не обязательно: форма отправляется и без отметки.
В случаях, предусмотренных федеральным законом, обработка персональных данных осуществляется только с согласия в письменной форме субъекта персональных данных. Равнозначным содержащему собственноручную подпись субъекта персональных данных согласию в письменной форме на бумажном носителе признается согласие в форме электронного документа, подписанного в соответствии с федеральным законом электронной подписью. Согласие в письменной форме субъекта персональных данных на обработку его персональных данных должно включать в себя, в частности: … 1) фамилию, имя, отчество, адрес субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе … 3) наименование или фамилию, имя, отчество и адрес оператора, получающего согласие субъекта персональных данных … 4) цель обработки персональных данных … 7) перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых оператором способов обработки персональных данных
Граждане — 10 000–15 000 ₽; ДЛ — 100 000–300 000 ₽; ИП — как ДЛ (прим. к ст. 2.4 КоАП); ЮЛ — 300 000–700 000 ₽
КоАП РФ, ст. 13.11, ч. 2
Обработка персональных данных без согласия в письменной форме субъекта персональных данных на обработку его персональных данных в случаях, когда такое согласие должно быть получено в соответствии с законодательством Российской Федерации в области персональных данных, за исключением случаев, предусмотренных статьей 17.13 настоящего Кодекса, если эти действия не содержат уголовно наказуемого деяния, либо обработка персональных данных с нарушением установленных законодательством Российской Федерации в области персональных данных требований к составу сведений, включаемых в согласие в письменной форме субъекта персональных данных на обработку его персональных данных, — влечет наложение административного штрафа на граждан в размере от десяти тысяч до пятнадцати тысяч рублей; на должностных лиц — от ста тысяч до трехсот тысяч рублей; на юридических лиц — от трехсот тысяч до семисот тысяч рублей.
1Сайт клиники собирает сведения о состоянии здоровья через форму, а «согласие» — обычная галочка без реквизитов ст. 9 ч. 4.
2Согласие на распространение фото и ФИО в галерее не содержит цели, перечня данных и срока действия.
Обработка указанных в части 1 настоящей статьи специальных категорий персональных данных допускается в случаях, если: … 1) субъект персональных данных дал согласие в письменной форме на обработку своих персональных данных
Граждане — 10 000–15 000 ₽; ДЛ — 100 000–300 000 ₽; ИП — как ДЛ (прим. к ст. 2.4 КоАП); ЮЛ — 300 000–700 000 ₽
КоАП РФ, ст. 13.11, ч. 2
Обработка персональных данных без согласия в письменной форме субъекта персональных данных на обработку его персональных данных в случаях, когда такое согласие должно быть получено в соответствии с законодательством Российской Федерации в области персональных данных, за исключением случаев, предусмотренных статьей 17.13 настоящего Кодекса, если эти действия не содержат уголовно наказуемого деяния, либо обработка персональных данных с нарушением установленных законодательством Российской Федерации в области персональных данных требований к составу сведений, включаемых в согласие в письменной форме субъекта персональных данных на обработку его персональных данных, — влечет наложение административного штрафа на граждан в размере от десяти тысяч до пятнадцати тысяч рублей; на должностных лиц — от ста тысяч до трехсот тысяч рублей; на юридических лиц — от трехсот тысяч до семисот тысяч рублей.
1Форма записи к врачу с полем «Диагноз / жалобы» отправляется без письменного согласия (ч. 1 ст. 10 запрещает обработку спецкатегорий вне случаев ч. 2).
2Анкета онлайн-школы спрашивает вероисповедание и национальность без письменного согласия.
Согласие на обработку персональных данных, разрешенных субъектом персональных данных для распространения, оформляется отдельно от иных согласий субъекта персональных данных на обработку его персональных данных. Оператор обязан обеспечить субъекту персональных данных возможность определить перечень персональных данных по каждой категории персональных данных, указанной в согласии на обработку персональных данных, разрешенных субъектом персональных данных для распространения.
Граждане — 10 000–15 000 ₽; ДЛ — 50 000–100 000 ₽; ИП — как ДЛ (прим. к ст. 2.4 КоАП); ЮЛ — 150 000–300 000 ₽ (согласие на распространение — отдельное, письменная форма законом не требуется; при отсутствии согласия на публикацию — общий состав ч. 1)
КоАП РФ, ст. 13.11, ч. 1
Обработка персональных данных в случаях, не предусмотренных законодательством Российской Федерации в области персональных данных, либо обработка персональных данных, несовместимая с целями сбора персональных данных, за исключением случаев, предусмотренных частями 2, 11–18 настоящей статьи и статьей 17.13 настоящего Кодекса, если эти действия не содержат уголовно наказуемого деяния, — влечет наложение административного штрафа на граждан в размере от десяти тысяч до пятнадцати тысяч рублей; на должностных лиц — от пятидесяти тысяч до ста тысяч рублей; на юридических лиц — от ста пятидесяти тысяч до трехсот тысяч рублей.
1На сайте опубликованы ФИО, фото и должности сотрудников / отзывы клиентов с фото без отдельного согласия на распространение.
2Согласие на распространение «зашито» в общее согласие на обработку одним чекбоксом.
Молчание или бездействие субъекта персональных данных ни при каких обстоятельствах не может считаться согласием на обработку персональных данных, разрешенных субъектом персональных данных для распространения.
Граждане — 10 000–15 000 ₽; ДЛ — 50 000–100 000 ₽; ИП — как ДЛ (прим. к ст. 2.4 КоАП); ЮЛ — 150 000–300 000 ₽
КоАП РФ, ст. 13.11, ч. 1
Обработка персональных данных в случаях, не предусмотренных законодательством Российской Федерации в области персональных данных, либо обработка персональных данных, несовместимая с целями сбора персональных данных, за исключением случаев, предусмотренных частями 2, 11–18 настоящей статьи и статьей 17.13 настоящего Кодекса, если эти действия не содержат уголовно наказуемого деяния, — влечет наложение административного штрафа на граждан в размере от десяти тысяч до пятнадцати тысяч рублей; на должностных лиц — от пятидесяти тысяч до ста тысяч рублей; на юридических лиц — от ста пятидесяти тысяч до трехсот тысяч рублей.
1Фото и имя клиента опубликованы в галерее «по умолчанию, если не возразил» — молчание согласием не считается.
Передача (распространение, предоставление, доступ) персональных данных, разрешенных субъектом персональных данных для распространения, должна быть прекращена в любое время по требованию субъекта персональных данных. …
Граждане — 2 000–4 000 ₽; ДЛ — 8 000–20 000 ₽; ИП — 20 000–40 000 ₽; ЮЛ — 50 000–90 000 ₽
КоАП РФ, ст. 13.11, ч. 5
Невыполнение оператором в сроки, установленные законодательством Российской Федерации в области персональных данных, требования субъекта персональных данных или его представителя либо уполномоченного органа по защите прав субъектов персональных данных об уточнении персональных данных, их блокировании или уничтожении в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, — влечет наложение административного штрафа на граждан в размере от двух тысяч до четырех тысяч рублей; на должностных лиц — от восьми тысяч до двадцати тысяч рублей; на индивидуальных предпринимателей — от двадцати тысяч до сорока тысяч рублей; на юридических лиц — от пятидесяти тысяч до девяноста тысяч рублей.
1Клиент потребовал убрать свой отзыв с фото — сайт не удаляет.
Сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность (биометрические персональные данные) и которые используются оператором для установления личности субъекта персональных данных, могут обрабатываться только при наличии согласия в письменной форме субъекта персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи.
Граждане — 10 000–15 000 ₽; ДЛ — 100 000–300 000 ₽; ИП — как ДЛ (прим. к ст. 2.4 КоАП); ЮЛ — 300 000–700 000 ₽
КоАП РФ, ст. 13.11, ч. 2
Обработка персональных данных без согласия в письменной форме субъекта персональных данных на обработку его персональных данных в случаях, когда такое согласие должно быть получено в соответствии с законодательством Российской Федерации в области персональных данных, за исключением случаев, предусмотренных статьей 17.13 настоящего Кодекса, если эти действия не содержат уголовно наказуемого деяния, либо обработка персональных данных с нарушением установленных законодательством Российской Федерации в области персональных данных требований к составу сведений, включаемых в согласие в письменной форме субъекта персональных данных на обработку его персональных данных, — влечет наложение административного штрафа на граждан в размере от десяти тысяч до пятнадцати тысяч рублей; на должностных лиц — от ста тысяч до трехсот тысяч рублей; на юридических лиц — от трехсот тысяч до семисот тысяч рублей.
1Вход в личный кабинет по фотографии лица без письменного согласия на обработку биометрии.
2Сервис требует загрузить селфи с паспортом для «верификации» без оформленного согласия по ст. 11.
Предоставление биометрических персональных данных не может быть обязательным, за исключением случаев, предусмотренных частью 2 настоящей статьи. Оператор не вправе отказывать в обслуживании в случае отказа субъекта персональных данных предоставить биометрические персональные данные и (или) дать согласие на обработку персональных данных, если в соответствии с федеральным законом получение оператором согласия на обработку персональных данных не является обязательным.
Граждане — 10 000–15 000 ₽; ДЛ — 50 000–100 000 ₽; ИП — как ДЛ (прим. к ст. 2.4 КоАП); ЮЛ — 150 000–300 000 ₽
КоАП РФ, ст. 13.11, ч. 1
Обработка персональных данных в случаях, не предусмотренных законодательством Российской Федерации в области персональных данных, либо обработка персональных данных, несовместимая с целями сбора персональных данных, за исключением случаев, предусмотренных частями 2, 11–18 настоящей статьи и статьей 17.13 настоящего Кодекса, если эти действия не содержат уголовно наказуемого деяния, — влечет наложение административного штрафа на граждан в размере от десяти тысяч до пятнадцати тысяч рублей; на должностных лиц — от пятидесяти тысяч до ста тысяч рублей; на юридических лиц — от ста пятидесяти тысяч до трехсот тысяч рублей.
1Без загрузки фотографии лица оформить заказ невозможно — предоставление биометрии сделано обязательным.
2Сервис отказывает в обслуживании клиенту, не давшему согласие на обработку биометрических данных.
Оператор до начала осуществления деятельности по трансграничной передаче персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять трансграничную передачу персональных данных. Указанное уведомление направляется отдельно от уведомления о намерении осуществлять обработку персональных данных, предусмотренного статьей 22 настоящего Федерального закона.
Прямой санкции в КоАП нет; общая квалификация (05-legal, 11.09.2026) — ч. 1 ст. 13.11 КоАП: Граждане — 10 000–15 000 ₽; ДЛ — 50 000–100 000 ₽; ИП — как ДЛ (прим. к ст. 2.4 КоАП); ЮЛ — 150 000–300 000 ₽
КоАП РФ, ст. 13.11, ч. 1
Отдельного состава «трансграничная передача без уведомления» в ст. 13.11 КоАП нет; ч. 10 — только уведомление о намерении обрабатывать ПДн (ст. 22), ч. 11 — только уведомление об инциденте (ч. 3.1 ст. 21). Возможная квалификация — ч. 1 ст. 13.11 (практики против сайтов за аналитику/пиксели в К+ на 11.09.2026 нет): Обработка персональных данных в случаях, не предусмотренных законодательством Российской Федерации в области персональных данных, либо обработка персональных данных, несовместимая с целями сбора персональных данных, за исключением случаев, предусмотренных частями 2, 11–18 настоящей статьи и статьей 17.13 настоящего Кодекса, если эти действия не содержат уголовно наказуемого деяния, — влечет наложение административного штрафа на граждан в размере от десяти тысяч до пятнадцати тысяч рублей; на должностных лиц — от пятидесяти тысяч до ста тысяч рублей; на юридических лиц — от ста пятидесяти тысяч до трехсот тысяч рублей.
1На сайте работают Google Analytics / Meta Pixel / Hotjar — данные посетителей записываются в базы иностранных компаний, уведомление о трансграничной передаче в РКН не подавалось.
2Заявки с форм отправляются в иностранный CRM-сервис (HubSpot, Zoho) без уведомления РКН.
Уполномоченный орган по защите прав субъектов персональных данных утверждает перечень иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных данных. В перечень иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных данных, включаются государства, в которых правовое регулирование в области персональных данных и применяемые указанными государствами меры по соблюдению основополагающих принципов защиты, обеспечению конфиденциальности и безопасности персональных данных при их обработке соответствуют положениям Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных.
Прямой санкции в КоАП нет
Норма определяет, какие государства считаются обеспечивающими адекватную защиту; сама по себе не содержит состава правонарушения. Значение для сайта: передача в государства вне перечня требует дополнительных сведений от получателя (п. 2 ч. 5 ст. 12).
1Данные посетителей передаются в США (не входят в перечень РКН адекватных государств) — оператор не получил от получателя сведения о мерах защиты.
2Политика заявляет передачу «в любые страны» без оценки адекватности защиты.
Субъект персональных данных имеет право на получение информации, касающейся обработки его персональных данных, в том числе содержащей: … 1) подтверждение факта обработки персональных данных оператором … 2) правовые основания и цели обработки персональных данных … 4) наименование и место нахождения оператора, сведения о лицах (за исключением работников оператора), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с оператором или на основании федерального закона … 5) обрабатываемые персональные данные, относящиеся к соответствующему субъекту персональных данных, источник их получения, если иной порядок представления таких данных не предусмотрен федеральным законом
Граждане — 2 000–4 000 ₽; ДЛ — 8 000–12 000 ₽; ИП — 20 000–30 000 ₽; ЮЛ — 40 000–80 000 ₽
КоАП РФ, ст. 13.11, ч. 4
Невыполнение оператором предусмотренной законодательством Российской Федерации в области персональных данных обязанности по предоставлению субъекту персональных данных информации, касающейся обработки его персональных данных, — влечет наложение административного штрафа на граждан в размере от двух тысяч до четырех тысяч рублей; на должностных лиц — от восьми тысяч до двенадцати тысяч рублей; на индивидуальных предпринимателей — от двадцати тысяч до тридцати тысяч рублей; на юридических лиц — от сорока тысяч до восьмидесяти тысяч рублей.
1В политике нет порядка получения субъектом сведений об обработке его данных и контактов для запроса.
2На запрос пользователя о том, какие его данные обрабатываются, сайт отвечает отказом или молчит.
Обработка персональных данных в целях продвижения товаров, работ, услуг на рынке путем осуществления прямых контактов с потенциальным потребителем с помощью средств связи, а также в целях политической агитации допускается только при условии предварительного согласия субъекта персональных данных. Указанная обработка персональных данных признается осуществляемой без предварительного согласия субъекта персональных данных, если оператор не докажет, что такое согласие было получено.
Граждане — 10 000–15 000 ₽; ДЛ — 50 000–100 000 ₽; ИП — как ДЛ (прим. к ст. 2.4 КоАП); ЮЛ — 150 000–300 000 ₽
КоАП РФ, ст. 13.11, ч. 1
Обработка персональных данных в случаях, не предусмотренных законодательством Российской Федерации в области персональных данных, либо обработка персональных данных, несовместимая с целями сбора персональных данных, за исключением случаев, предусмотренных частями 2, 11–18 настоящей статьи и статьей 17.13 настоящего Кодекса, если эти действия не содержат уголовно наказуемого деяния, — влечет наложение административного штрафа на граждан в размере от десяти тысяч до пятнадцати тысяч рублей; на должностных лиц — от пятидесяти тысяч до ста тысяч рублей; на юридических лиц — от ста пятидесяти тысяч до трехсот тысяч рублей.
1E-mail и телефоны из формы заказа используются для рекламных рассылок и звонков без отдельного предварительного согласия.
2Поле «Подписаться на новости» отсутствует, но после заявки приходят рекламные письма.
Оператор обязан немедленно прекратить по требованию субъекта персональных данных обработку его персональных данных, указанную в части 1 настоящей статьи.
Граждане — 10 000–15 000 ₽; ДЛ — 50 000–100 000 ₽; ИП — как ДЛ (прим. к ст. 2.4 КоАП); ЮЛ — 150 000–300 000 ₽ (обработка после требования прекратить — общий состав ч. 1; если субъект заявил требование об уточнении, блокировании или уничтожении данных и оно не выполнено в срок — специальный состав ч. 5 ст. 13.11, см. строку ст. 21, ч. 1; 05-legal, 11.09.2026)
КоАП РФ, ст. 13.11, ч. 1
Обработка персональных данных в случаях, не предусмотренных законодательством Российской Федерации в области персональных данных, либо обработка персональных данных, несовместимая с целями сбора персональных данных, за исключением случаев, предусмотренных частями 2, 11–18 настоящей статьи и статьей 17.13 настоящего Кодекса, если эти действия не содержат уголовно наказуемого деяния, — влечет наложение административного штрафа на граждан в размере от десяти тысяч до пятнадцати тысяч рублей; на должностных лиц — от пятидесяти тысяч до ста тысяч рублей; на юридических лиц — от ста пятидесяти тысяч до трехсот тысяч рублей.
1В рекламных письмах нет ссылки для отказа от рассылки; после просьбы отписать рассылка продолжается.
2Отказ от рекламных звонков «принимается» только письменно по почте — требование немедленного прекращения не выполняется.
При сборе персональных данных оператор обязан предоставить субъекту персональных данных по его просьбе информацию, предусмотренную частью 7 статьи 14 настоящего Федерального закона.
Граждане — 2 000–4 000 ₽; ДЛ — 8 000–12 000 ₽; ИП — 20 000–30 000 ₽; ЮЛ — 40 000–80 000 ₽
КоАП РФ, ст. 13.11, ч. 4
Невыполнение оператором предусмотренной законодательством Российской Федерации в области персональных данных обязанности по предоставлению субъекту персональных данных информации, касающейся обработки его персональных данных, — влечет наложение административного штрафа на граждан в размере от двух тысяч до четырех тысяч рублей; на должностных лиц — от восьми тысяч до двенадцати тысяч рублей; на индивидуальных предпринимателей — от двадцати тысяч до тридцати тысяч рублей; на юридических лиц — от сорока тысяч до восьмидесяти тысяч рублей.
1При отправке формы посетителю не дана возможность узнать, кто оператор, с какой целью и на каком основании обрабатываются данные (нет текста/ссылки на политику у формы).
2Форма подписки не содержит ни наименования оператора, ни ссылки на политику.
При сборе персональных данных, в том числе посредством информационно-телекоммуникационной сети "Интернет", запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся за пределами территории Российской Федерации, не допускаются, за исключением случаев, указанных в пунктах 2, 3, 4, 8 части 1 статьи 6 настоящего Федерального закона.
Граждане — 30 000–50 000 ₽; ДЛ — 100 000–200 000 ₽; ИП — как ЮЛ (прим. 1 к ст. 13.11 КоАП); ЮЛ — 1 000 000–6 000 000 ₽
КоАП РФ, ст. 13.11, ч. 8
Невыполнение оператором при сборе персональных данных, в том числе посредством информационно-телекоммуникационной сети "Интернет", предусмотренной законодательством Российской Федерации в области персональных данных обязанности по обеспечению записи, систематизации, накопления, хранения, уточнения (обновления, изменения) или извлечения персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации, — влечет наложение административного штрафа на граждан в размере от тридцати тысяч до пятидесяти тысяч рублей; на должностных лиц — от ста тысяч до двухсот тысяч рублей; на юридических лиц — от одного миллиона до шести миллионов рублей.
1Заявки с сайта сохраняются напрямую в базу иностранного сервиса (иностранная CRM, Google Sheets) без первичной записи в базу на территории РФ.
2Сайт и его база данных размещены у иностранного хостинг-провайдера за пределами РФ.
№ 24
ст. 18.1, ч. 1, п. 1–2, 4
Оператор обязан принимать меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных настоящим Федеральным законом и принятыми в соответствии с ним нормативными правовыми актами. Оператор самостоятельно определяет состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных настоящим Федеральным законом и принятыми в соответствии с ним нормативными правовыми актами, если иное не предусмотрено настоящим Федеральным законом или другими федеральными законами. К таким мерам, в частности, относятся: … 1) назначение оператором, являющимся юридическим лицом, ответственного за организацию обработки персональных данных … 2) издание оператором, являющимся юридическим лицом, документов, определяющих политику оператора в отношении обработки персональных данных, локальных актов по вопросам обработки персональных данных, определяющих для каждой цели обработки персональных данных категории и перечень обрабатываемых персональных данных, категории субъектов, персональные данные которых обрабатываются, способы, сроки их обработки и хранения, порядок уничтожения персональных данных при достижении целей их обработки или при наступлении иных законных оснований, а также локальных актов, устанавливающих процедуры, направленные на предотвращение и выявление нарушений законодательства Российской Федерации, устранение последствий таких нарушений. Такие документы и локальные акты не могут содержать положения, ограничивающие права субъектов персональных данных, а также возлагающие на операторов не предусмотренные законодательством Российской Федерации полномочия и обязанности … 4) осуществление внутреннего контроля и (или) аудита соответствия обработки персональных данных настоящему Федеральному закону и принятым в соответствии с ним нормативным правовым актам, требованиям к защите персональных данных, политике оператора в отношении обработки персональных данных, локальным актам оператора
Прямой санкции в КоАП нет — неполнота документов влечёт предписание РКН (ч. 4 ст. 18.1, ПП № 1046); штраф по ч. 3 ст. 13.11 — только за неопубликование политики (см. следующую строку)
Штрафной состав ч. 3 ст. 13.11 охватывает лишь «невыполнение … обязанности по опубликованию или обеспечению иным образом неограниченного доступа к документу, определяющему политику оператора»; за неполное содержание политики прямой санкции нет (05-legal, 11.09.2026, п. 25).
1В политике нет перечня категорий данных, целей, сроков обработки и порядка уничтожения для каждой цели (п. 2 ч. 1 ст. 18.1).
2Для юридического лица не назначен ответственный за организацию обработки ПДн; политика не содержит сведений о реализуемых требованиях к защите.
Оператор обязан опубликовать или иным образом обеспечить неограниченный доступ к документу, определяющему его политику в отношении обработки персональных данных, к сведениям о реализуемых требованиях к защите персональных данных. Оператор, осуществляющий сбор персональных данных с использованием информационно-телекоммуникационных сетей, обязан опубликовать в соответствующей информационно-телекоммуникационной сети, в том числе на страницах принадлежащего оператору сайта в информационно-телекоммуникационной сети "Интернет", с использованием которых осуществляется сбор персональных данных, документ, определяющий его политику в отношении обработки персональных данных, и сведения о реализуемых требованиях к защите персональных данных, а также обеспечить возможность доступа к указанному документу с использованием средств соответствующей информационно-телекоммуникационной сети.
Граждане — 1 500–3 000 ₽; ДЛ — 6 000–12 000 ₽; ИП — 10 000–20 000 ₽; ЮЛ — 30 000–60 000 ₽
КоАП РФ, ст. 13.11, ч. 3
Невыполнение оператором предусмотренной законодательством Российской Федерации в области персональных данных обязанности по опубликованию или обеспечению иным образом неограниченного доступа к документу, определяющему политику оператора в отношении обработки персональных данных, или сведениям о реализуемых требованиях к защите персональных данных — влечет наложение административного штрафа на граждан в размере от одной тысячи пятисот до трех тысяч рублей; на должностных лиц — от шести тысяч до двенадцати тысяч рублей; на индивидуальных предпринимателей — от десяти тысяч до двадцати тысяч рублей; на юридических лиц — от тридцати тысяч до шестидесяти тысяч рублей.
1На сайте с формами нет документа «Политика в отношении обработки персональных данных» или он недоступен без регистрации.
2Политика опубликована от имени другого лица (ООО), а получатель заявок — ИП: политики оператора фактически нет.
Оператор при обработке персональных данных обязан принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.
Прямой санкции в КоАП нет до наступления последствий; при неправомерной передаче (утечке) — ч. 12–14 ст. 13.11 КоАП по числу субъектов (см. КоАП_РФ.md)
Ч. 12 ст. 13.11: «Действия (бездействие) оператора, повлекшие неправомерную передачу (предоставление, распространение, доступ) информации, включающей персональные данные от одной тысячи до десяти тысяч субъектов персональных данных…» — состав наступает по факту утечки, а не по факту слабой защиты.
1Форма с персональными данными отправляется по незащищённому HTTP — данные передаются открытым текстом.
2Файлы с заявками (CSV/Excel) лежат в открытой папке сайта и индексируются поисковиками.
Обеспечение безопасности персональных данных достигается, в частности: … 1) определением угроз безопасности персональных данных при их обработке в информационных системах персональных данных … 2) применением организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, необходимых для выполнения требований к защите персональных данных, исполнение которых обеспечивает установленные Правительством Российской Федерации уровни защищенности персональных данных … 3) применением прошедших в установленном порядке процедуру оценки соответствия средств защиты информации … 6) обнаружением фактов несанкционированного доступа к персональным данным и принятием мер, в том числе мер по обнаружению, предупреждению и ликвидации последствий компьютерных атак на информационные системы персональных данных и по реагированию на компьютерные инциденты в них
Прямой санкции в КоАП нет (см. ст. 19, ч. 1)
Требования к защите ПДн в ИСПДн установлены ПП РФ от 01.11.2012 № 1119 и приказом ФСТЭК России от 18.02.2013 № 21; конкретных HTTP-заголовков и настроек сайта они не называют — вопросы вне ИСПДн относятся к рекомендациям.
1Оператор не определил угрозы безопасности и уровень защищённости для ИСПДн, в которой хранятся заявки с сайта.
2Учёт носителей и доступа к базе заявок не ведётся; личный кабинет без ограничения попыток входа.
Оператор обязан сообщить в порядке, предусмотренном статьей 14 настоящего Федерального закона, субъекту персональных данных или его представителю информацию о наличии персональных данных, относящихся к соответствующему субъекту персональных данных, а также предоставить возможность ознакомления с этими персональными данными при обращении субъекта персональных данных или его представителя либо в течение десяти рабочих дней с даты получения запроса субъекта персональных данных или его представителя. Указанный срок может быть продлен, но не более чем на пять рабочих дней в случае направления оператором в адрес субъекта персональных данных мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации.
Граждане — 2 000–4 000 ₽; ДЛ — 8 000–12 000 ₽; ИП — 20 000–30 000 ₽; ЮЛ — 40 000–80 000 ₽
КоАП РФ, ст. 13.11, ч. 4
Невыполнение оператором предусмотренной законодательством Российской Федерации в области персональных данных обязанности по предоставлению субъекту персональных данных информации, касающейся обработки его персональных данных, — влечет наложение административного штрафа на граждан в размере от двух тысяч до четырех тысяч рублей; на должностных лиц — от восьми тысяч до двенадцати тысяч рублей; на индивидуальных предпринимателей — от двадцати тысяч до тридцати тысяч рублей; на юридических лиц — от сорока тысяч до восьмидесяти тысяч рублей.
1Пользователь запросил, какие его данные обрабатываются, — оператор не ответил в 10 рабочих дней.
2В политике не указан порядок и срок ответа на запрос субъекта (ст. 14, 20).
В случае отказа в предоставлении информации о наличии персональных данных о соответствующем субъекте персональных данных или персональных данных субъекту персональных данных или его представителю при их обращении либо при получении запроса субъекта персональных данных или его представителя оператор обязан дать в письменной форме мотивированный ответ, содержащий ссылку на положение части 8 статьи 14 настоящего Федерального закона или иного федерального закона, являющееся основанием для такого отказа, в срок, не превышающий десяти рабочих дней со дня обращения субъекта персональных данных или его представителя либо с даты получения запроса субъекта персональных данных или его представителя. Указанный срок может быть продлен, но не более чем на пять рабочих дней в случае направления оператором в адрес субъекта персональных данных мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации.
Граждане — 2 000–4 000 ₽; ДЛ — 8 000–12 000 ₽; ИП — 20 000–30 000 ₽; ЮЛ — 40 000–80 000 ₽
КоАП РФ, ст. 13.11, ч. 4
Невыполнение оператором предусмотренной законодательством Российской Федерации в области персональных данных обязанности по предоставлению субъекту персональных данных информации, касающейся обработки его персональных данных, — влечет наложение административного штрафа на граждан в размере от двух тысяч до четырех тысяч рублей; на должностных лиц — от восьми тысяч до двенадцати тысяч рублей; на индивидуальных предпринимателей — от двадцати тысяч до тридцати тысяч рублей; на юридических лиц — от сорока тысяч до восьмидесяти тысяч рублей.
1Отказ в предоставлении сведений дан устно/без мотивировки и ссылки на основание ч. 8 ст. 14.
В случае выявления неправомерной обработки персональных данных при обращении субъекта персональных данных или его представителя либо по запросу субъекта персональных данных или его представителя либо уполномоченного органа по защите прав субъектов персональных данных оператор обязан осуществить блокирование неправомерно обрабатываемых персональных данных, относящихся к этому субъекту персональных данных, или обеспечить их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) с момента такого обращения или получения указанного запроса на период проверки. …
Граждане — 2 000–4 000 ₽; ДЛ — 8 000–20 000 ₽; ИП — 20 000–40 000 ₽; ЮЛ — 50 000–90 000 ₽
КоАП РФ, ст. 13.11, ч. 5
Невыполнение оператором в сроки, установленные законодательством Российской Федерации в области персональных данных, требования субъекта персональных данных или его представителя либо уполномоченного органа по защите прав субъектов персональных данных об уточнении персональных данных, их блокировании или уничтожении в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, — влечет наложение административного штрафа на граждан в размере от двух тысяч до четырех тысяч рублей; на должностных лиц — от восьми тысяч до двадцати тысяч рублей; на индивидуальных предпринимателей — от двадцати тысяч до сорока тысяч рублей; на юридических лиц — от пятидесяти тысяч до девяноста тысяч рублей.
1Пользователь просит удалить его данные из рассылки, оператор игнорирует обращение и продолжает обработку.
2В политике нет порядка обращения субъекта с требованием уточнить/заблокировать/уничтожить данные.
В случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов персональных данных, оператор обязан с момента выявления такого инцидента оператором, уполномоченным органом по защите прав субъектов персональных данных или иным заинтересованным лицом уведомить уполномоченный орган по защите прав субъектов персональных данных: 1) в течение двадцати четырех часов о произошедшем инциденте, о предполагаемых причинах, повлекших нарушение прав субъектов персональных данных, и предполагаемом вреде, нанесенном правам субъектов персональных данных, о принятых мерах по устранению последствий соответствующего инцидента, а также предоставить сведения о лице, уполномоченном оператором на взаимодействие с уполномоченным органом по защите прав субъектов персональных данных, по вопросам, связанным с выявленным инцидентом; 2) в течение семидесяти двух часов о результатах внутреннего расследования выявленного инцидента, а также предоставить сведения о лицах, действия которых стали причиной выявленного инцидента (при наличии).
Граждане — 50 000–100 000 ₽; ДЛ — 400 000–800 000 ₽; ИП — как ЮЛ (прим. 1 к ст. 13.11 КоАП); ЮЛ — 1 000 000–3 000 000 ₽ (прим. 2 и 3 к ст. 13.11: ДЛ — госорган/НКО; ЮЛ — коммерческий оператор)
КоАП РФ, ст. 13.11, ч. 11
Невыполнение или несвоевременное выполнение оператором предусмотренной законодательством Российской Федерации в области персональных данных обязанности по уведомлению уполномоченного органа по защите прав субъектов персональных данных в случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов персональных данных, — влечет наложение административного штрафа на граждан в размере от пятидесяти тысяч до ста тысяч рублей; на должностных лиц — от четырехсот тысяч до восьмисот тысяч рублей; на юридических лиц — от одного миллиона до трех миллионов рублей.
1После утечки базы заявок оператор не уведомил РКН в течение 24 часов.
2Оператор не направил в РКН результаты внутреннего расследования инцидента в 72 часа.
В случае отзыва субъектом персональных данных согласия на обработку его персональных данных оператор обязан прекратить их обработку или обеспечить прекращение такой обработки (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) и в случае, если сохранение персональных данных более не требуется для целей обработки персональных данных, уничтожить персональные данные или обеспечить их уничтожение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) в срок, не превышающий тридцати дней с даты поступления указанного отзыва …
Граждане — 10 000–15 000 ₽; ДЛ — 50 000–100 000 ₽; ИП — как ДЛ (прим. к ст. 2.4 КоАП); ЮЛ — 150 000–300 000 ₽ (обработка после отзыва согласия — без основания, общий состав ч. 1; невыполненное в срок требование об уточнении, блокировании или уничтожении — специальный состав ч. 5 ст. 13.11, см. строку ст. 21, ч. 1; 05-legal, 11.09.2026)
КоАП РФ, ст. 13.11, ч. 1
Обработка персональных данных в случаях, не предусмотренных законодательством Российской Федерации в области персональных данных, либо обработка персональных данных, несовместимая с целями сбора персональных данных, за исключением случаев, предусмотренных частями 2, 11–18 настоящей статьи и статьей 17.13 настоящего Кодекса, если эти действия не содержат уголовно наказуемого деяния, — влечет наложение административного штрафа на граждан в размере от десяти тысяч до пятнадцати тысяч рублей; на должностных лиц — от пятидесяти тысяч до ста тысяч рублей; на юридических лиц — от ста пятидесяти тысяч до трехсот тысяч рублей.
1После отзыва согласия данные пользователя остаются в рассылке и CRM дольше 30 дней.
2В политике сказано, что отозвать согласие можно только «лично в офисе» — порядок отзыва ограничен.
Оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи.
Граждане — 5 000–10 000 ₽; ДЛ — 30 000–50 000 ₽; ИП — как ЮЛ (прим. 1 к ст. 13.11 КоАП); ЮЛ — 100 000–300 000 ₽ (прим. 2 и 3 к ст. 13.11: ДЛ — госорган/НКО; ЮЛ — коммерческий оператор; для НКО штраф только на ДЛ)
КоАП РФ, ст. 13.11, ч. 10
Невыполнение или несвоевременное выполнение оператором предусмотренной законодательством Российской Федерации в области персональных данных обязанности по уведомлению уполномоченного органа по защите прав субъектов персональных данных о намерении осуществлять обработку персональных данных — влечет наложение административного штрафа на граждан в размере от пяти тысяч до десяти тысяч рублей; на должностных лиц — от тридцати тысяч до пятидесяти тысяч рублей; на юридических лиц — от ста тысяч до трехсот тысяч рублей.
1На сайте есть формы «имя + телефон», а ИНН оператора в реестре операторов РКН не найден.
2Уведомление подано после начала сбора заявок через сайт (должно быть до начала обработки).
В случае изменения сведений, указанных в части 3 настоящей статьи, оператор не позднее 15-го числа месяца, следующего за месяцем, в котором возникли такие изменения, обязан уведомить уполномоченный орган по защите прав субъектов персональных данных обо всех произошедших за указанный период изменениях. В случае прекращения обработки персональных данных оператор обязан уведомить об этом уполномоченный орган по защите прав субъектов персональных данных в течение десяти рабочих дней с даты прекращения обработки персональных данных.
Граждане — 100–300 ₽; ДЛ — 300–500 ₽; ИП — как ДЛ (прим. к ст. 2.4 КоАП); ЮЛ — 3 000–5 000 ₽; возможно предупреждение (в ст. 13.11 состава за неуведомление об изменении сведений нет — ч. 10 только о намерении обрабатывать; общая норма — ст. 19.7)
КоАП РФ, ст. 19.7
Непредставление или несвоевременное представление в государственный орган (должностному лицу), орган (должностному лицу), осуществляющий (осуществляющему) государственный контроль (надзор), государственный финансовый контроль, организацию, уполномоченную в соответствии с федеральными законами на осуществление государственного надзора (должностному лицу), орган (должностному лицу), осуществляющий (осуществляющему) муниципальный контроль, муниципальный финансовый контроль, сведений (информации), представление которых предусмотрено законом и необходимо для осуществления этим органом (должностным лицом) его законной деятельности, либо представление в государственный орган (должностному лицу), орган (должностному лицу), осуществляющий (осуществляющему) государственный контроль (надзор), государственный финансовый контроль, организацию, уполномоченную в соответствии с федеральными законами на осуществление государственного надзора (должностному лицу), орган (должностному лицу), осуществляющий (осуществляющему) муниципальный контроль, муниципальный финансовый контроль, таких сведений (информации) в неполном объеме или в искаженном виде, за исключением случаев, предусмотренных статьей 6.16, частью 2 статьи 6.31, частями 1, 2, 4, 10 и 11 статьи 8.28.1, статьей 8.32.1, частью 1 статьи 8.49, частью 5 статьи 14.5, частью 4 статьи 14.28, частью 1 статьи 14.46.2, частью 2 статьи 14.57, статьями 19.4.3, 19.7.1, 19.7.2, 19.7.3, 19.7.5, 19.7.5-1, 19.7.7, 19.7.8, 19.7.9, 19.7.12–19.7.16, 19.8, 19.8.3, частями 2, 7, 8 и 9 статьи 19.34 настоящего Кодекса, — (в ред. Федеральных законов от 28.12.2013 N 415-ФЗ, от 05.05.2014 N 119-ФЗ, от 05.05.2014 N 125-ФЗ, от 04.06.2014 N 142-ФЗ, от 24.11.2014 N 373-ФЗ, от 27.10.2015 N 291-ФЗ, от 28.11.2015 N 344-ФЗ, от 23.06.2016 N 218-ФЗ, от 03.07.2016 N 290-ФЗ, от 28.12.2016 N 510-ФЗ, от 18.07.2017 N 175-ФЗ, от 29.07.2017 N 263-ФЗ, от 07.03.2018 N 42-ФЗ, от 04.11.2019 N 361-ФЗ, от 24.02.2021 N 14-ФЗ, от 26.05.2021 N 141-ФЗ, от 29.12.2022 N 622-ФЗ, от 13.06.2023 N 218-ФЗ, от 08.07.2024 N 165-ФЗ, от 08.08.2024 N 262-ФЗ, от 13.12.2024 N 473-ФЗ, от 28.12.2024 N 500-ФЗ) — влечет предупреждение или наложение административного штрафа на граждан в размере от ста до трехсот рублей; на должностных лиц — от трехсот до пятисот рублей; на юридических лиц — от трех тысяч до пяти тысяч рублей.
1Оператор сменил адрес и добавил новые цели обработки (рассылка), но в реестре РКН сведения не обновлены.
2Обработка прекращена (сайт закрыт, формы убраны), а уведомление о прекращении в РКН не направлено в 10 рабочих дней — тот же состав ст. 19.7 (05-legal, 11.09.2026).
Оператор, являющийся юридическим лицом, назначает лицо, ответственное за организацию обработки персональных данных.
Прямой санкции в КоАП нет — обязанность юридического лица; проверяется РКН по документам (ч. 4 ст. 18.1)
Сведения об ответственном подаются в уведомлении по ст. 22 (ч. 3 ст. 22); обязанности публиковать их на сайте или в политике закон не устанавливает (05-legal, 11.09.2026, п. 26).
1У юридического лица не назначен ответственный за организацию обработки ПДн — при проверке РКН приказ представить нечем.
2В уведомлении РКН ответственный не указан.
Запрещается принятие на основании исключительно автоматизированной обработки персональных данных решений, порождающих юридические последствия в отношении субъекта персональных данных или иным образом затрагивающих его права и законные интересы, за исключением случаев, предусмотренных частью 2 настоящей статьи.
Граждане — 10 000–15 000 ₽; ДЛ — 50 000–100 000 ₽; ИП — как ДЛ (прим. к ст. 2.4 КоАП); ЮЛ — 150 000–300 000 ₽ (специального состава за нарушение ст. 16 в КоАП нет — общая ч. 1 ст. 13.11 «обработка в случаях, не предусмотренных законодательством»; квалификация на подтверждении у 05-legal)
КоАП РФ, ст. 13.11, ч. 1
Обработка персональных данных в случаях, не предусмотренных законодательством Российской Федерации в области персональных данных, либо обработка персональных данных, несовместимая с целями сбора персональных данных, за исключением случаев, предусмотренных частями 2, 11–18 настоящей статьи и статьей 17.13 настоящего Кодекса, если эти действия не содержат уголовно наказуемого деяния, — влечет наложение административного штрафа на граждан в размере от десяти тысяч до пятнадцати тысяч рублей; на должностных лиц — от пятидесяти тысяч до ста тысяч рублей; на юридических лиц — от ста пятидесяти тысяч до трехсот тысяч рублей.
1Сервис онлайн-кредитования/аренды автоматически отказывает клиенту по скорингу без участия человека и без письменного согласия на такое решение (ч. 2).
2Автоматическая блокировка аккаунта покупателя «по алгоритму» с юридическими последствиями (отказ в договоре) без возможности возразить.
Оператор обязан разъяснить субъекту персональных данных порядок принятия решения на основании исключительно автоматизированной обработки его персональных данных и возможные юридические последствия такого решения, предоставить возможность заявить возражение против такого решения, а также разъяснить порядок защиты субъектом персональных данных своих прав и законных интересов.
Граждане — 10 000–15 000 ₽; ДЛ — 50 000–100 000 ₽; ИП — как ДЛ (прим. к ст. 2.4 КоАП); ЮЛ — 150 000–300 000 ₽ (то же — общая ч. 1 ст. 13.11; см. строку ст. 16, ч. 1)
КоАП РФ, ст. 13.11, ч. 1
Обработка персональных данных в случаях, не предусмотренных законодательством Российской Федерации в области персональных данных, либо обработка персональных данных, несовместимая с целями сбора персональных данных, за исключением случаев, предусмотренных частями 2, 11–18 настоящей статьи и статьей 17.13 настоящего Кодекса, если эти действия не содержат уголовно наказуемого деяния, — влечет наложение административного штрафа на граждан в размере от десяти тысяч до пятнадцати тысяч рублей; на должностных лиц — от пятидесяти тысяч до ста тысяч рублей; на юридических лиц — от ста пятидесяти тысяч до трехсот тысяч рублей.
1На сайте с автоматическим скорингом нет разъяснения порядка принятия решения и формы для возражения (ч. 3), возражение не рассматривается в 30 дней (ч. 4).
