Про политику конфиденциальности в 2026 году пишут много и часто одно и то же: «ввели оборотные штрафы, срочно переделывайте документ». Мы открыли действующие редакции и сверили, что именно изменилось, а что осталось прежним. Картина получилась другой.
Штраф за отсутствие политики не менялся
Начнём с того, ради чего документ и кладут на сайт. Ответственность за его отсутствие описана в части 3 статьи 13.11 КоАП: невыполнение обязанности по опубликованию или обеспечению иным образом неограниченного доступа к документу, определяющему политику оператора в отношении обработки персональных данных.
| Кто | Штраф |
|---|---|
| Граждане | 1500–3000 ₽ |
| Должностные лица | 6000–12 000 ₽ |
| Индивидуальные предприниматели | 10 000–20 000 ₽ |
| Юридические лица | 30 000–60 000 ₽ |
Эта часть действует в редакции закона от 24 февраля 2021 года № 19-ФЗ. В большом пересмотре 2024 года её не тронули. Так что если вам продают срочную переделку документа ссылкой на выросшие штрафы за его отсутствие — штрафы за отсутствие не выросли.
Что действительно выросло и когда
Изменения внёс Федеральный закон от 30 ноября 2024 года № 420-ФЗ. Он поднял суммы в первых частях статьи и добавил в неё новые составы, которых раньше не было вовсе.
Дата вступления в силу в самом законе записана так: «Настоящий Федеральный закон вступает в силу по истечении ста восьмидесяти дней после дня его официального опубликования». Опубликован 30 ноября 2024 года, значит новые правила работают с 30 мая 2025 года.
Появились два состава, прямо связанные с обязанностями оператора, а не с утечками.
Часть 10 — неуведомление Роскомнадзора о намерении обрабатывать данные. Граждане 5000–10 000, должностные лица 30 000–50 000, юридические лица 100 000–300 000 ₽. Раньше отдельной ответственности за это не было.
Часть 11 — неуведомление об утечке. Речь о сообщении в надзорный орган после того, как факт неправомерной передачи установлен. Должностные лица 400 000–800 000, юридические лица 1–3 миллиона ₽.
Обратите внимание на соотношение: не опубликовать политику стоит до 60 тысяч, а не сообщить о себе в Роскомнадзор — до 300 тысяч. Документ на сайте и уведомление регулятора это разные обязанности, и вторая теперь дороже.
Утечки: твёрдые суммы, а не проценты
Здесь чаще всего ошибаются, поэтому разберём по частям статьи.
| Объём | Штраф юридическому лицу |
|---|---|
| От 1000 до 10 000 субъектов (ч. 12) | 3–5 млн ₽ |
| От 10 000 до 100 000 субъектов (ч. 13) | 5–10 млн ₽ |
| Более 100 000 субъектов (ч. 14) | 10–15 млн ₽ |
| Специальная категория данных (ч. 16) | 10–15 млн ₽ |
Это твёрдые суммы. Оборотный штраф от 1 до 3 процентов выручки появляется только в частях 15 и 18, и обе описывают одно и то же условие: нарушение совершено лицом, уже подвергнутым наказанию за такое же нарушение.
То есть распространённая формулировка «за утечку ввели оборотные штрафы» неточна. За первую утечку установлены миллионы рублей, проценты от выручки наступают со второго раза.
Что изменилось именно в 2026 году
Один заметный пункт: Федеральный закон от 26 июля 2026 года № 265-ФЗ изменил часть 2 статьи 12 закона о персональных данных. Это статья о трансграничной передаче, а изменённая часть описывает перечень иностранных государств, обеспечивающих адекватную защиту прав субъектов.
Почему это касается обычного сайта. Трансграничная передача — не только экспорт базы клиентов. Если формы, аналитика, рассылка или хранилище файлов работают на зарубежных серверах, данные посетителей уезжают за границу.
При этом часть 3 той же статьи требует отдельного уведомления: оператор до начала трансграничной передачи обязан уведомить надзорный орган о своём намерении, и это уведомление направляется отдельно от уведомления об обработке персональных данных. Два разных уведомления, а не одно.
Что из этого следует для сайта
Разделим то, что обычно смешивают в одну кучу.
Сам документ. Требования к его содержанию в 2024–2026 годах не переписывали. Политика по-прежнему должна быть опубликована и доступна без регистрации и без поиска по подвалу на ощупь. Если ваш документ составлен корректно раньше, переписывать его из-за новых штрафов причины нет.
Уведомление в Роскомнадзор. Это отдельное действие, не имеющее отношения к тексту на сайте, и с 30 мая 2025 года у него появилась своя цена.
Зарубежные сервисы на сайте. Если они есть, вопрос о трансграничной передаче возникает независимо от того, что написано в политике.
Формы и согласия. Часть 2 статьи 13.11 наказывает за обработку без согласия там, где оно требуется, и за нарушение требований к составу сведений в согласии. Это не про документ в подвале, а про то, что происходит при отправке формы.
Что проверить на своём сайте своими силами до разговора с юристом, собрали отдельным списком.
Чего мы не делаем
Мы агентство, а не юридическая фирма: тексты политик не составляем и соответствие вашей обработки данных закону не оцениваем. Наша область — сайт: опубликован ли документ, доступен ли он поисковому роботу и человеку, ведут ли на него формы, не закрыт ли он от индексации по ошибке.
Всё, что выше, сверено 17 сентября 2026 года по действующим редакциям: КоАП в редакции от 26 июля 2026 года с изменениями, вступившими в силу с 1 сентября 2026 года, и закон о персональных данных в редакции от 26 июля 2026 года. Нормы меняются часто, поэтому перед действиями проверьте дату редакции, по которой написана любая найденная вами статья, включая эту.
Коротко
Штраф за отсутствие политики на сайте остался прежним: до 60 тысяч для юридического лица, редакция 2021 года. Выросло и появилось другое: с 30 мая 2025 года наказывают за неуведомление Роскомнадзора о намерении обрабатывать данные и за молчание об утечке. За саму утечку установлены твёрдые суммы от 3 до 15 миллионов, а проценты от выручки применяются только к повторному нарушению. В 2026 году изменили статью о трансграничной передаче, и это касается всех, у кого на сайте работают зарубежные сервисы.