Штрафы за нарушение 152-ФЗ в 2026: таблица санкций для образовательного бизнеса
Онлайн-школа работает с личными данными на каждом шаге: заявка на вебинар, оплата курса, чат с куратором, рассылка. Всё это — персональные данные, а вы как оператор отвечаете за них по Федеральному закону «О персональных данных» (ст. 3 ФЗ № 152, проверено: июль 2026). Раньше штрафы были символическими, и многие школы игнорировали требования. С 2025 года логика изменилась: суммы стали чувствительными даже для небольшого ИП.
В этой статье собрали актуальные санкции на 2026 год, объяснили, за что именно наказывают, и показали, какие шаги закрывают основные риски. Материал носит справочный характер — точные суммы по вашему случаю уточняйте у юриста.
Что изменилось в штрафах за 152-ФЗ с 2025 года
До реформы бизнес относился к 152-ФЗ спокойно: максимальный штраф для компании за обработку без согласия составлял 75 000 руб., и Роскомнадзор чаще выдавал предписание, чем штрафовал. После серии крупных утечек законодатель зашёл жёстко. Закон № 420-ФЗ (проверено: июль 2026) не просто поднял суммы — он изменил саму модель ответственности.
Ключевых изменений три. Первое: за нарушение правил обработки данных штрафы для юрлиц выросли в 4-9 раз. Второе: утечка персональных данных выделена в самостоятельный состав со своими санкциями, привязанными к числу пострадавших. Третье: за повторную утечку введён оборотный штраф — процент от годовой выручки, а не фиксированная сумма. Для онлайн-школы с оборотом в десятки миллионов это уже не «расходы на риск», а угроза бизнесу.
Важно понимать: под оператора попадает любой, кто собирает данные о людях для своих целей. Статус ИП или самозанятого не спасает — обязанности те же, что у ООО, отличаются только размеры штрафов. Подробный разбор базовых обязанностей мы собрали в статье про 152-ФЗ для онлайн-школы.
Полная таблица штрафов по 152-ФЗ в 2026 году
В таблице ниже — основные составы, которые касаются онлайн-школ. Диапазоны приведены для должностного лица (директор, ИП) и юридического лица (ООО). Все санкции — по ст. 13.11 КоАП РФ в редакции закона № 420-ФЗ (проверено: июль 2026).
| Нарушение | Должностное лицо / ИП | Юрлицо (ООО) |
|---|---|---|
| Обработка данных без согласия, когда оно обязательно (ч. 2) | 100 000 — 300 000 руб. | 300 000 — 700 000 руб. |
| Повторная обработка без согласия (ч. 2.1) | 300 000 — 500 000 руб. | 1 000 000 — 1 500 000 руб. |
| Нет политики конфиденциальности на сайте (ч. 3) | 6 000 — 12 000 руб. | 30 000 — 60 000 руб. |
| Не уведомили Роскомнадзор о намерении обрабатывать данные (ч. 10) | 30 000 — 50 000 руб. | 100 000 — 300 000 руб. |
| Не ответили на запрос субъекта или ведомства (ч. 4) | 8 000 — 12 000 руб. | 50 000 — 100 000 руб. |
| Не выполнили требование удалить / уточнить данные | 16 000 — 25 000 руб. | 100 000 — 200 000 руб. |
Отдельно стоит сказать про хранение данных россиян за рубежом. По ст. 18 ч. 5 ФЗ № 152 (проверено: июль 2026) первичная запись, систематизация и хранение персональных данных граждан РФ должны идти на серверах в России. Если школа завела учеников в зарубежный CRM или сервис рассылок без российской базы, это самостоятельное нарушение с крупным штрафом для юрлица. Проверьте, где физически лежат ваши анкеты и платёжные данные.
Заметьте: перечисленные составы независимы. За один инцидент проверки Роскомнадзор может выписать сразу несколько штрафов — например, за отсутствие политики, неуведомление и обработку без согласия. Суммы складываются, и итог по одной проверке легко превышает миллион рублей.
Как ведомство узнаёт о нарушениях? Три основных канала. Плановые проверки идут по утверждённому графику, который публикуется заранее. Внеплановые запускаются по жалобе — чаще всего это ученик, недовольный рассылкой без согласия, или бывший сотрудник. И отдельно работает мониторинг сайтов: инспектор открывает форму заявки на курс и смотрит, есть ли рядом ссылка на политику и корректное согласие. Для онлайн-школы последний канал самый частый — нарушение видно прямо со страницы, без визита в офис.
Оборотные штрафы за утечку персональных данных
Это самое дорогое нарушение из всех. Утечкой считается любая передача данных лицам, которые не должны были их получить: взлом базы, слив менеджером, ошибочная публичная ссылка на Google-таблицу с учениками. Размер санкции привязан к масштабу.
| Масштаб утечки | Штраф для юрлица |
|---|---|
| Данные от 1 000 до 10 000 субъектов | 3 000 000 — 5 000 000 руб. |
| Данные от 10 000 до 100 000 субъектов | 5 000 000 — 10 000 000 руб. |
| Данные более 100 000 субъектов | 10 000 000 — 15 000 000 руб. |
| Повторная утечка (любой масштаб) | 1 — 3% годовой выручки, от 20 до 500 млн руб. |
Отдельная обязанность — вовремя сообщить об утечке. По ст. 21 ФЗ № 152 (проверено: июль 2026) оператор уведомляет Роскомнадзор об инциденте в течение 24 часов, а о результатах внутреннего расследования — в течение 72 часов. Если утечку скрыть, добавится ещё один штраф для юрлица — от 1 до 3 млн руб. по ч. 15 ст. 13.11 КоАП РФ.
Для онлайн-школы с базой в несколько тысяч учеников реалистичный сценарий — штраф 3-5 млн руб. за одну утечку. Это часто больше годовой прибыли небольшого проекта. Поэтому защита базы данных перестала быть «технической мелочью» и стала вопросом выживания.
Штрафы за отсутствие согласия и документов
Разберём документы, за отсутствие которых штрафуют чаще всего.
Согласие на обработку. Нужно, когда данных не требует закон или договор напрямую. Для рассылок, ретаргетинга, публикации отзывов согласие обязательно, причём на маркетинг — отдельное. Формулировка «нажимая кнопку, вы соглашаетесь» работает только если рядом есть ссылка на политику и явно указаны цели обработки.
Политика конфиденциальности. Публичный документ на сайте, где сказано, какие данные, зачем и на каком основании вы обрабатываете. Её отсутствие — самостоятельный штраф до 60 000 руб. для юрлица. Как её составить, разобрали в отдельном материале рубрики о персональных данных.
Уведомление Роскомнадзора. С 2025 года подать его обязаны почти все операторы, включая онлайн-школы. Раньше действовали исключения, теперь их сузили. За неподачу — до 300 000 руб. для юрлица. Пошаговый порядок мы описали в статье про уведомление Роскомнадзора.
Чек-лист документов, за отсутствие которых штрафуют
- ✓ Политика конфиденциальности на сайте, доступная с любой страницы
- ✓ Согласие на обработку данных при каждой форме сбора
- ✓ Отдельное согласие на рекламную рассылку и ретаргетинг
- ✓ Поданное уведомление в Роскомнадзор о намерении обрабатывать данные
- ✓ Приказ о назначении ответственного за обработку данных
- ✓ Положение об обработке и защите персональных данных внутри компании
Уголовная ответственность за персональные данные
Административный штраф грозит компании как оператору. Уголовная статья — конкретному человеку, который умышленно нарушил закон: сотруднику, продавшему базу, или тому, кто использовал ворованные данные. Для добросовестной школы это не про случайную ошибку в согласии, а про сознательные действия.
Тем не менее руководителю стоит знать про ст. 272.1 УК РФ (проверено: июль 2026) по двум причинам. Во-первых, ответственность несёт тот, кто фактически распоряжается базой, — часто это директор. Во-вторых, если сотрудник сольёт данные учеников конкуренту, у школы появляется инструмент защиты: не только увольнение, но и заявление в правоохранительные органы.
Практический вывод: доступ к базе учеников должен быть ограничен, а с сотрудниками, которые работают с данными, стоит подписывать соглашение о неразглашении. Это снижает и риск утечки, и вероятность, что за чужой умысел ответит компания.
Как онлайн-школе избежать штрафов
Роскомнадзор проверяет операторов планово и по жалобам. Типичный триггер для внеплановой проверки — жалоба ученика, который получил рассылку без согласия или не смог удалить свои данные. Поэтому защита строится в двух плоскостях: документы и реакция на обращения.
Пройдитесь по шагам ниже — они закрывают основную массу рисков.
Чек-лист: как снизить риск штрафа
- ✓ Разместите политику конфиденциальности и проверьте, что ссылка есть на всех формах
- ✓ Настройте корректные согласия: конкретные цели, ссылка на политику, отдельная галочка на маркетинг
- ✓ Подайте уведомление в Роскомнадзор о намерении обрабатывать данные
- ✓ Убедитесь, что база учеников и платежей хранится на серверах в России
- ✓ Ограничьте доступ к базе, подпишите с сотрудниками соглашение о неразглашении
- ✓ Пропишите порядок ответа на запросы субъектов в срок до 30 дней
- ✓ Составьте план действий на случай утечки: уведомление за 24 часа
Отдельно про сроки ответа. По ст. 20 и 21 ФЗ № 152 (проверено: июль 2026) на запрос субъекта о его данных оператор отвечает в течение 10 рабочих дней, а требование удалить или уточнить данные исполняет в срок до 30 дней. Пропущенный срок — самостоятельный штраф. Поэтому в школе должен быть человек, который отслеживает такие обращения, а не теряет их в общем потоке сообщений поддержки.
Если разбираться в требованиях самому некогда, разумнее делегировать аудит юристу: он проверит документы, укажет пробелы и подготовит школу к проверке. Стоимость такого аудита — это доли одного штрафа из таблиц выше, а на выходе вы получаете понятный список того, что нужно исправить, и снимаете с себя главный риск — штраф за то, о чём даже не знали.
Не хотите разбираться в 152-ФЗ сами?
Проверим документы онлайн-школы, приведём согласия и политику в порядок и подготовим вас к проверке Роскомнадзора.
Статья подготовлена на основе законодательства РФ на июль 2026 года. Для консультации по вашему случаю обратитесь к специалисту.
Частые вопросы
Какой максимальный штраф за нарушение 152-ФЗ в 2026 году?
Для обычных нарушений юрлицу грозит до 1 500 000 руб. за повторную обработку без согласия. За утечку данных более 100 000 человек — до 15 млн руб., а за повторную утечку — оборотный штраф до 3% годовой выручки, но не более 500 млн руб. (ст. 13.11 КоАП РФ в редакции закона № 420-ФЗ).
Штрафуют ли ИП и самозанятых по 152-ФЗ так же, как ООО?
Обязанности одинаковые: ИП и самозанятый — тоже операторы персональных данных. Но размеры штрафов для ИП обычно на уровне должностного лица (например, 100 000 — 300 000 руб. за обработку без согласия), то есть ниже, чем для юрлица. Уголовная ответственность по ст. 272.1 УК РФ применяется к физлицу независимо от статуса.
Нужно ли онлайн-школе подавать уведомление в Роскомнадзор?
Да. С 2025 года уведомить Роскомнадзор о намерении обрабатывать персональные данные обязаны почти все операторы, включая онлайн-школы. Прежние исключения сузили. За неподачу уведомления юрлицу грозит штраф до 300 000 руб. по ч. 10 ст. 13.11 КоАП РФ.
Что считается утечкой персональных данных?
Любая передача данных тем, кто не должен был их получить: взлом базы, слив сотрудником, случайно открытая публичная ссылка на таблицу с учениками. Об утечке нужно сообщить в Роскомнадзор в течение 24 часов, иначе добавится отдельный штраф от 1 до 3 млн руб.
Можно ли хранить данные учеников в зарубежном сервисе?
Первичный сбор и хранение данных граждан РФ должны идти на серверах в России (ст. 18 ч. 5 ФЗ № 152). Использовать зарубежные сервисы можно только как вторичные, при условии, что основная база находится в РФ. Нарушение — самостоятельный крупный штраф для юрлица.
