Штрафы РКН за персональные данные. Какие нарушения на сайте встречаются чаще всего?

Скорее всего, вычитаете это потому, что где-то услышали про штрафы Роскомнадзора за персональные данные и не до конца понимаете, касается вас это или нет.

У вас есть сайт. На сайте есть форма: заявка, звонок, подписка, корзина. Кто-то вводит туда имя и телефон. И все. Вы уже обрабатываете персональные данные и по закону обязаны это оформить. Не оформили — нарушение. За нарушение — штраф.

Проблема не в том, что закон стал строже. Проблема в том, что большинство сайтов малого бизнеса не соответствуют требованиям по нескольким пунктам одновременно. И владелец не знает об этом пока не приходит проверка или жалоба от недовольного клиента.

Содержание

За что штрафуют чаще всего?

Не будем перечислять все 18 составов статьи 13.11 КоАП. Вот четыре нарушения, которые встречаются у малого бизнеса чаще всего:

Штрафы за нарушения в сфере персональных данных для ИП и организаций
Нарушение	Что это на практике	Штраф для ИП / ООО
Нет уведомления в РКН	Вы собираете данные клиентов, но не сообщили об этом Роскомнадзору	100 000 — 300 000 руб.
Нет политики конфиденциальности или она формальная	На сайте нет страницы, нет ссылки в форме, или документ скопирован с чужого сайта	30 000 — 60 000 руб.
Форма собирает данные без согласия	Нет галочки с согласием, нет ссылки на политику, нет указания цели	300 000 — 700 000 руб.
Данные хранятся за рубежом	Google Forms, зарубежная CRM, иностранный облачный сервис — без уведомления РКН	до 6 000 000 руб.

Важно: штрафы суммируются. Если у вас нет уведомления, нет политики и форма оформлена неправильно — это три разных нарушения. При проверке каждое оформляется отдельным протоколом.

Как это выглядит в реальности?

Конкретный пример. ИП открыл студию йоги. Сделал сайт на Тильде, поставил форму стандартную записи: имя, телефон, email. Подключил Google Analytics, чтобы смотреть трафик. Скопировал откуда-то политику конфиденциальности и разместил ссылку внизу страницы.

Кажется, всё сделал. Но по факту:

Уведомление в РКН не подано — значит, обработка данных не зарегистрирована. Штраф до 300 000 руб.
Политика скопирована с чужого сайта — указан другой оператор, другие цели, другие сроки. Это считается отсутствием надлежащей политики. Штраф до 60 000 руб.
В форме нет корректного согласия — галочка есть, но ссылка ведёт не туда, и формулировка не соответствует требованиям. Штраф до 700 000 руб.
Google Analytics передаёт данные на серверы в США — это трансграничная передача без уведомления. Штраф до 6 000 000 руб.

Итого потенциальных штрафов: более 7 000 000 рублей. При этом сам предприниматель был уверен, что всё в порядке.

Можно ли проверить свой сайт самостоятельно?

Теоретически можно прочитать ФЗ-152 и разобраться. На практике, есть несколько мест, где ошибаются чаще всего:

Политика конфиденциальности

Большинство шаблонов из интернета не соответствуют требованиям Приказа РКН № 180 от 28.10.2022. В уведомление нужно вписать конкретные цели, сроки хранения, категории субъектов и они должны совпадать с тем, что написано в политике. Если не совпадают — нарушение.

Дата начала обработки ≠ не дата регистрации сайта

В уведомлении в РКН нужно указать дату начала обработки данных. Это дата регистрации юрлица или ИП. Даже если сайт появился позже. Те, кто указывает дату создания сайта, получают некорректное уведомление.

Согласие — не просто галочка

Галочка «Я согласен с политикой конфиденциальности» — это не согласие в понимании ст. 9 ФЗ-152. Согласие должно быть конкретным: указана цель, перечень данных, оператор, срок, способ отзыва. Шаблонная фраза не защищает. Суды это подтверждают.

Google Analytics

Использование Google Analytics, зарубежных CRM, Mailchimp или любого облачного сервиса на иностранных серверах — это трансграничная передача данных. Она требует отдельного уведомления в РКН до начала использования сервиса. Большинство об этом не знают.

Что нужно привести в порядок?

Полное соответствие требованиям — это три шага. Они не обязательно сложные, но каждый требует точности:

Пошаговый план аудита, подготовки документов и регистрации в РКН
Шаг	Что делается	Зачем
1. Аудит сайта	Проверка всех форм, согласий, политики, счётчиков, CRM и способов хранения данных	Понять, что именно нарушено и насколько критично
2. Пакет документов	Политика конфиденциальности, согласия, приказ об ответственном, положение об обработке ПДн	Устранить нарушения и создать документальную защиту на случай проверки
3. Регистрация в РКН	Подача уведомления по форме Приказа № 180, при необходимости — уведомление о трансграничной передаче	Легализовать обработку данных и исключить штраф за отсутствие регистрации

Самый частый вопрос: «Могу я сделать это сам?» Технически — да. Форма уведомления в РКН доступна на сайте pd.rkn.gov.ru. Шаблоны политик есть в интернете. Но именно ошибки в этих двух местах становятся основанием для штрафов чаще всего. Уведомление с неверной датой начала обработки или политика, которая противоречит реальным процессам, — не защита, а дополнительный риск.

Проверим ваш сайт и приведём
всё в порядок под ключ

Проведём комплексный юридический аудит:

✅ Проверим все формы, согласия, счётчики;
✅ Укажем на риски и предложим решения;
✅ Подготовим документы и поможем с регистрацией в РКН.

Оставить заявку

Частые вопросы

У меня маленький сайт и мало клиентов — РКН до меня не дойдёт

РКН с 2024 года использует автоматизированные системы мониторинга, которые сканируют сайты без участия человека. Жалоба одного клиента или конкурента запускает внеплановую проверку. Размер бизнеса не влияет на размер штрафа — он зависит от состава нарушения.

Я уже разместил политику конфиденциальности — этого достаточно?

Только если политика соответствует актуальным требованиям, содержит правильные сведения об операторе, целях и сроках обработки, и совпадает с тем, что указано в уведомлении РКН. Если политика скопирована с шаблона — почти наверняка не соответствует.

Мы работаем как ООО — штрафы такие же, как для ИП?

Для большинства составов ст. 13.11 КоАП — да, одинаковые. ИП по закону несут ответственность как юридические лица. Исключение — если ООО является НКО или государственным органом: для них ставки ниже.

Что будет, если мы уже нарушаем, но проверки не было?

Срок давности по ст. 13.11 КоАП — один год с момента нарушения. Если нарушение длящееся (например, отсутствие уведомления), срок отсчитывается от момента обнаружения. Пока нарушение не устранено — оно актуально. Лучшая стратегия — устранить до проверки, а не объяснять после.