Новые штрафы по персональным данным: карта нарушений, составы и суммы для бизнеса в 2026 году

Когда бизнес слышит про штрафы по 152-ФЗ, реакция обычно бывает одна из двух. Первая: «Это всё страшилки для крупных компаний». Вторая: «Надо срочно купить шаблон документов и как-то закрыться». Обе реакции плохие.

Проблема не в самом факте существования штрафов. Проблема в том, что большинство компаний вообще не видит свою карту нарушений. Для собственника штраф — это финальный удар. Но до него обычно есть длинная цепочка управленческих ошибок: сайт собран без нормальной логики согласий, уведомление подано кое-как, подрядчики работают без прозрачной модели, сотрудники выгружают базы, сроки хранения не определены, доступы никто не ревизирует, а документы существуют отдельно от реальной жизни.

Именно поэтому полезнее смотреть на штрафы не как на список абстрактных сумм, а как на карту нарушений: за что именно прилетает, где чаще всего ошибается бизнес и какие сценарии реально встречаются в практике.

Почему штрафная карта важнее общего обзора закона

Потому что закон и КоАП сами по себе не подсказывают собственнику, где у него слабая точка именно сейчас. Бизнесу нужен не пересказ норм, а разбор ситуаций:

• что именно неправильно на сайте;
• когда компания не подала или не обновила уведомление;
• что не так с согласиями;
• как ломается работа с подрядчиками;
• где опасны утечки и лишние доступы;
• почему “старые привычки” вдруг начинают стоить очень дорого.

Если говорить совсем прагматично, штрафы — это язык, на котором регулятор переводит корпоративный хаос в деньги.

Какие зоны риска самые болезненные

1. Сайт, формы, cookies и маркетинговый стек

Для малого и среднего бизнеса это одна из самых опасных зон. Именно сайт чаще всего становится самым видимым нарушением. Причина простая: он публичен, его легко проверить, и на нём быстро вскрываются проблемы с формами, согласиями, политикой, рекламными инструментами и аналитикой.

Типовые провалы:

• форма собирает данные без понятного правового основания;
• текст согласия размытый или декоративный;
• политика не соответствует реальной обработке;
• используются сторонние сервисы и пиксели, о которых никто не подумал;
• нет нормальной логики cookies и трекинга.

Что проверить:

• https://152opd.ru/152-fz-dlya-sajta/
• https://152opd.ru/cookies-formy-i-analitika-po-152-fz/
• https://152opd.ru/dokumenty-dlya-sajta-po-152-fz/

2. Уведомление в Роскомнадзор

Отдельная боль — когда компания либо не подала уведомление, либо подала его формально, либо потом не обновила сведения после изменения процессов. Очень многие до сих пор относятся к уведомлению как к разовому бюрократическому эпизоду. На практике это рабочий контур, который должен соответствовать реальной модели обработки.

Здесь полезно проверить:

• https://152opd.ru/nuzhno-li-podavat-uvedomlenie-v-roskomnadzor/
• https://152opd.ru/kak-zapolnit-uvedomlenie-v-roskomnadzor-po-personalnym-dannym/
• https://152opd.ru/reestr-operatorov-personalnyh-dannyh/

3. Неправильные или фиктивные согласия

Бизнес по инерции думает, что согласие — универсальное лекарство. Это не так. Во-первых, оно не всегда нужно. Во-вторых, если согласие всё-таки требуется, оно должно быть связано с конкретной обработкой, а не существовать «про всё и сразу». В-третьих, маркетинговые, кадровые, клиентские и специальные сценарии нельзя смешивать в одну бумагу ради удобства.

4. Подрядчики и поручение обработки

Очень много штрафных и предштрафных рисков рождается из-за того, что данные передают подрядчикам без ясной модели: кто оператор, кто обработчик, на каком основании идёт передача, какой объём доступов реально нужен, что закреплено договором.

5. Утечки, доступы и неуправляемые базы

Это уже зона, где административный риск начинает стыковаться с более тяжёлой повесткой. Если в компании нет дисциплины доступа, а базы живут в CRM, таблицах, мессенджерах, архивах и у подрядчиков одновременно, риск уже нельзя считать теоретическим.

Как смотреть на штрафы через реальные сценарии

Сценарий 1. “У нас обычный сайт, чего там проверять?”

Собственник уверен, что сайт не проблема. На деле там:

• заявки на консультацию;
• формы обратной связи;
• подключённая аналитика;
• чат-виджет;
• ретаргетинг;
• подрядчик по рекламе;
• политика, которую писали под старую версию сайта.

Это классическая история, где компания не считает себя “серьёзным оператором”, но уже имеет полноценный риск-контур.

Сценарий 2. “Уведомление вроде подавали давно”

Потом выясняется, что:

• процессы изменились;
• добавились сотрудники и подрядчики;
• появилась новая CRM;
• сменились цели обработки;
• появились новые категории данных;
• сам текст уведомления давно не отражает фактическую картину.

Сценарий 3. “У нас всё подписано”

А потом оказывается, что подписи не решают проблему, потому что:

• согласия написаны слишком общо;
• основания смешаны;
• фактический сбор данных шире, чем написано;
• документы не соответствуют маршруту данных;
• никто не может объяснить, кто и зачем реально использует эти данные.

Что бизнесу делать не “когда придут”, а сейчас

Провести карту рисков по своим процессам

Нужно посмотреть на обработку данных по блокам:

• сайт;
• CRM;
• сотрудники;
• соискатели;
• подрядчики;
• маркетинг;
• хранение и уничтожение;
• запросы субъектов;
• уведомление в РКН.

Проверить, где у вас не бумаги, а реальные разрывы

Самые дорогие ошибки чаще всего живут не в отсутствии одного файла, а в рассогласовании между документами и фактической практикой.

Убрать самые видимые нарушения первыми

Если говорить прагматично, бизнесу сначала нужно закрывать то, что проще всего увидеть со стороны:

• сайт;
• уведомление;
• согласия;
• публичная политика;
• базовая договорная логика с подрядчиками.

Не пытаться “закрыть всё одним шаблоном”

Шаблон может помочь понять структуру, но не заменяет живую настройку под реальные процессы компании.

Наиболее болезненные блоки риска

Если кратко, в 2026 году бизнесу особенно опасно оставлять без внимания:

• отсутствие или неактуальность уведомления;
• неуправляемый сайт и маркетинговый стек;
• лишние доступы к базам;
• утечки и хаотичные выгрузки;
• фиктивные согласия;
• передача данных подрядчикам без понятной модели;
• отсутствие режима хранения и уничтожения данных.

Почему штрафы нельзя воспринимать отдельно от бизнеса

Ошибка многих компаний в том, что они считают штрафы исключительно юридическим вопросом. На деле штрафы — это индикатор организационной слабости. Если в компании нет ясной архитектуры обработки персональных данных, рано или поздно это выстрелит либо через претензию субъекта, либо через проверку, либо через сайт, либо через подрядчика, либо через утечку.

Поэтому сильная стратегия — не “узнать максимальный штраф и испугаться”, а понять, какой именно сценарий нарушения у вас наиболее вероятен в ближайшие месяцы.

Главный вывод

Новые штрафы по персональным данным опасны не только из-за сумм. Они опасны потому, что многие компании всё ещё живут в старой логике: “как-нибудь пройдёт”. Но рынок уже сместился в другую сторону. Теперь бизнесу выгоднее заранее видеть карту своих нарушений и закрывать самые болезненные пробелы, чем ждать, пока проблему зафиксируют извне.

Если смотреть честно, лучший способ снизить штрафной риск — это не собирать больше бумажек, а навести порядок в реальной системе работы с персональными данными.

Если хотите быстро понять, где у вас самые дорогие риски по 152-ФЗ

Начните с проверки сайта, уведомления, подрядчиков и маршрутов данных. Обычно именно там и сидят нарушения, которые потом стоят бизнесу дороже всего.

Полезные точки входа: https://152opd.ru/consult/ · https://152opd.ru/ekspress-proverka-152-fz/ · https://152opd.ru/roskomnadzor-shtrafy-i-otvetstvennost-po-152fz/