Сколько стоит отсутствие политики конфиденциальности и как штрафа избежать

Штраф за отсутствие политики конфиденциальности на сайте — от 30 000 до 60 000 ₽ для организации и от 10 000 до 20 000 ₽ для ИП. Это отдельный состав, часть 3 статьи 13.11 КоАП. Сумма выглядит скромно, и именно это чаще всего вводит в заблуждение: отсутствие политики почти никогда не приходит одно, а к нему добавляются составы дороже на порядок.

Сколько составляет штраф за отсутствие политики

За неопубликованную политику отвечает конкретная норма — часть 3 статьи 13.11 КоАП РФ: невыполнение оператором обязанности опубликовать или иным образом обеспечить неограниченный доступ к документу, определяющему политику обработки персональных данных. Размер зависит от того, кто нарушил.

Кто нарушил	Размер санкции
Гражданин	1 500 – 3 000 ₽
Должностное лицо	6 000 – 12 000 ₽
Индивидуальный предприниматель	10 000 – 20 000 ₽
Юридическое лицо	30 000 – 60 000 ₽

Суммы приведены по действующей редакции КоАП — с изменениями Федерального закона от 30.11.2024 № 420-ФЗ, которые вступили в силу 30 мая 2025 года. Это вилка по составу, а не то, что выпишут именно вам: конкретный размер внутри вилки определяет тот, кто рассматривает дело, с учётом смягчающих и отягчающих обстоятельств.

Если сомневаетесь, обязателен ли вообще документ для вашего сайта, — это отдельный вопрос, и на него мы отвечаем в статье о том, кому и зачем нужна политика конфиденциальности. Здесь исходим из того, что обязанность есть, и разбираем цену её невыполнения.

Почему одним штрафом дело не ограничивается

Тридцать тысяч рублей — это цена самого факта «документа нет». Но проверяющий, обнаружив отсутствие политики, не останавливается: отсутствие документа — это индикатор, по которому находят остальное. А остальное дороже.

Составы статьи 13.11 считаются отдельно и складываются. Рядом с отсутствием политики почти всегда обнаруживается, что нет и корректно собранного согласия, и ссылки на политику у форм. Тогда к части 3 добавляются:

• часть 1 — обработка персональных данных без законного основания: для юридического лица 150 000 – 300 000 ₽. Под неё попадают счётчики и пиксели, которые собирают данные до согласия;
• часть 2 — обработка без согласия в случаях, когда оно обязательно: для юридического лица 300 000 – 700 000 ₽. Это форма заявки без чекбокса согласия или с галочкой, проставленной заранее;
• часть 10 — оператор не подал уведомление в реестр Роскомнадзора: для юридического лица 100 000 – 300 000 ₽.

Верхняя граница шкалы — часть 8, нарушение локализации: если сервер с данными россиян стоит за рубежом, санкция для юридического лица составляет от 1 000 000 до 6 000 000 ₽. С отсутствием политики это связано косвенно, но сайт на зарубежном хостинге часто набирает сразу оба состава.

Практический вывод простой. Считать «штраф за политику» в отрыве от остального бессмысленно: реальная сумма по итогам проверки складывается из нескольких частей одной статьи, и часть 3 в ней — самая дешёвая строчка. Поэтому и закрывать нарушения выгоднее пакетом: раз уж дошли руки до политики, разумно тем же заходом проверить согласия у форм и настройку счётчиков — иначе документ появится, а более дорогие составы останутся.

За что именно штрафуют: как это видит проверяющий

Здесь важно понять одну вещь: для закона «политика есть» и «политику видно» — не одно и то же. Проверяющий смотрит на сайт снаружи, не заходя в админку, ровно так же, как это делает наш сканер. И с этой стороны под один и тот же состав части 3 попадают четыре разные ситуации.

1. Политики нет вовсе. Ни страницы, ни ссылки. Сканер помечает это как нарушение сразу.
2. Документ лежит, но ссылки на него нет. Текст опубликован по адресу вроде /legal, но в подвале и у форм на него никто не ссылается. Требование про «неограниченный доступ» не выполнено: найти документ можно только угадав адрес.
3. Ссылка ведёт в никуда. При переезде на новую CMS страницу переименовали, а ссылка в подвале осталась старая и отдаёт 404. Для проверяющего это равнозначно отсутствию документа.
4. Политика открывается, но в ней названа другая организация. Шаблон скачали, наименование прежнего владельца заменить забыли. Документ формально есть, но оператором в нём назван кто-то посторонний — вас он не защищает.

Наш робот намеренно осторожничает: если у сайта нет обычного подвала со ссылками (содержимое рисует скрипт), он не утверждает, что политики нет, а помечает находку как требующую ручной проверки. Штраф выписывают за первое — за доказуемое отсутствие или недоступность, а не за то, что документ не удалось найти автоматически.

Как штраф назначается: от проверки до постановления

Роскомнадзор редко приходит на сайт просто так. Дело обычно начинается с одного из трёх поводов:

• жалоба — посетитель, недовольный тем, как обошлись с его данными, пишет в надзорный орган;
• плановая проверка — организация попала в план на год;
• систематическое наблюдение — Роскомнадзор смотрит сайты дистанционно, без выезда и предупреждения. Это самый массовый сценарий: отсутствие политики и битая ссылка видны снаружи за секунды, запрашивать документы для этого не нужно.

Дальше механика такая. Должностное лицо Роскомнадзора составляет протокол об административном правонарушении по статье 13.11. Сам штраф ведомство по этой статье не назначает — протокол направляется мировому судье, и постановление выносит суд (статья 23.1 КоАП). Возбудить дело может и прокурор в порядке надзора.

Важный ограничитель — срок давности. По нарушениям в области персональных данных он составляет один год со дня совершения (статья 4.5 КоАП). Нарушение при этом длящееся: пока политики на сайте нет, срок не начинает течь, поэтому «пересидеть» его не выйдет — отсчёт пойдёт с момента, когда документ появится.

Когда штраф можно снизить или заменить предупреждением

Штраф по части 3 — не приговор с фиксированной суммой. Есть несколько законных механизмов его смягчить, и о них стоит знать заранее.

• Замена на предупреждение для малого и среднего бизнеса. Статья 4.1.1 КоАП позволяет заменить штраф предупреждением, если нарушение совершено впервые субъектом МСП и не причинило вреда. Статьи 13.11 в перечне исключений этой нормы нет — значит, для впервые оступившейся небольшой компании или ИП замена в принципе возможна. Это право суда, а не обязанность, но при устранённом нарушении шанс реальный.
• Малозначительность. Статья 2.9 КоАП даёт суду право освободить от ответственности при малозначительности деяния, ограничившись устным замечанием. Применяется осторожно и не гарантированно.
• Смягчающие обстоятельства. Устранение нарушения до рассмотрения дела, отсутствие вреда, первое привлечение — всё это основания назначить штраф по нижней границе вилки.

Отсюда прямое следствие: если вы получили протокол, самое разумное — устранить нарушение немедленно, до заседания, и прийти в суд с доказательством, что политика уже опубликована и доступна. Это не гарантирует предупреждение вместо штрафа, но резко повышает его вероятность и почти всегда сдвигает сумму к нижней границе.

Как избежать штрафа за отсутствие политики

Чтобы состав части 3 к вам не применили, достаточно закрыть его по существу — не «где-то есть файл», а «документ опубликован и доступен любому».

1. Составьте список того, что собираете. Пройдите по сайту и выпишите все формы, счётчики, виджеты и внешние сервисы. От этого зависит содержание документа. Что именно должно быть в тексте, мы разбираем в статье про состав политики конфиденциальности.
2. Опубликуйте текст на отдельной постоянной странице с адресом, который не изменится: /privacy, /politika-konfidencialnosti. Не в PDF — документ должен открываться прямо в браузере, без скачивания.
3. Поставьте ссылку в подвал каждой страницы, а не только главной. Проверяющий будет искать её там.
4. Продублируйте ссылку рядом с каждой формой, где собираются данные, — в подписи к чекбоксу согласия.
5. Сверьте реквизиты в тексте политики с теми, что указаны на сайте: наименование, ИНН и адрес должны совпадать, иначе документ описывает чужую обработку.

Как убедиться, что штрафовать не за что

Пройдите этот чек-лист руками — в режиме инкогнито и с телефона, потому что подвал на мобильном часто обрезают:

• ссылка на политику есть в подвале и видна на внутренних страницах, а не только на главной;
• ссылка открывается без регистрации и пароля;
• страница отдаёт текст, а не 404 и не пустой экран;
• в тексте указано ваше действующее наименование, а не чужое из шаблона;
• перечислены все формы и счётчики, которые реально работают на сайте;
• рядом с каждой формой есть ссылка на эту же политику.

Если хоть один пункт не выполнен — с точки зрения части 3 статьи 13.11 документа как будто нет, и повод для протокола существует.

Частые вопросы

Правда ли, что штраф всего 30 000 ₽ и можно не торопиться? 30 000 – 60 000 ₽ — это только за сам факт отсутствия политики для юридического лица. На практике проверка находит рядом ещё два-три состава той же статьи 13.11, которые дороже на порядок. Считать надо суммарную цену, а не одну строчку.

Кто выписывает штраф — Роскомнадзор или суд? Протокол по статье 13.11 составляет Роскомнадзор, а само постановление о штрафе выносит мировой судья (статья 23.1 КоАП). Возбудить дело может и прокурор.

Оштрафуют ли ИП или самозанятого так же, как компанию? Нет, вилки разные. Для ИП по части 3 — от 10 000 до 20 000 ₽, для юридического лица — от 30 000 до 60 000 ₽. Но обязанность опубликовать политику одинакова для всех, кто собирает данные через сайт.

Можно ли отделаться предупреждением вместо штрафа? Для субъекта малого или среднего бизнеса при первом нарушении и отсутствии вреда — да, суд вправе заменить штраф предупреждением по статье 4.1.1 КоАП. Это не гарантия, но реальный шанс, особенно если нарушение уже устранено.

Успею ли я всё исправить до штрафа? Устранить нарушение до рассмотрения дела в суде можно и нужно — это смягчающее обстоятельство. Но нарушение длящееся: срок давности в один год начинает течь только когда политика появится на сайте, поэтому просто ждать бессмысленно.