Штраф 50 000 рублей за неподачу уведомление в Роскомнадзор для операторов персональных данных

Роскомнадзор проверяет бизнес на соблюдение требований Федерального закона № 152-ФЗ «О персональных данных». Как правило, такие проверки происходят после поступления жалобы в Роскомнадзор от граждан. Первые судебные решения по части 10 статьи 13.11 КоАП РФ уже вынесены. Разбираем реальное дело, в котором компанию оштрафовали на 50 000 рублей за неподачу уведомления в Роскомнадзор.

Судебное дело: что произошло

Арбитражный суд города Москвы рассмотрел дело № А40-342666/25, в котором Роскомнадзор привлек ООО "Правовые Новости" к административной ответственности за неподачу уведомления об обработке персональных данных.

Как выявили нарушение

Роскомнадзор провел проверку сайта организации и обнаружил:

1. Формы обратной связи для сбора персональных данных (ФИО, email, телефон, должность, место работы)
2. Использование систем веб-аналитики (Яндекс.Метрика и Google Analytics)
3. Автоматический сбор cookies

При этом на момент проверки (01.12.2025) организация не направила обязательное уведомление в Роскомнадзор о том, что является оператором персональных данных.

Позиция сторон

Роскомнадзор настаивал:

1. Общество осуществляет обработку персональных данных
2. Обязанность по уведомлению регулятора до начала обработки не выполнена
3. Нарушена статья 22 Федерального закона № 152-ФЗ

ООО "Правовые Новости" возражало:

1. Нарушение признано и устранено (уведомление подано)
2. Вред никому не причинен
3. Общество ранее не привлекалось к ответственности
4. Просило применить статью 2.9 КоАП РФ (малозначительность) или снизить штраф

Решение суда

Суд отклонил все доводы защиты и вынес решение:

1. Привлечь ООО "Правовые Новости" к административной ответственности по части 10 статьи 13.11 КоАП РФ
2. Назначить штраф в размере 50 000 рублей

Ключевые выводы из решения

1. Что признали обработкой персональных данных:

Суд установил, что на сайте размещены формы сбора персональных данных (фамилия, имя, отчество, адрес электронной почты, номер телефона, сведения о должности и месте работы), а также осуществляется обработка персональных данных с использованием метрических программ Яндекс.Метрика и Google Analytics.

2. Об обязанности подать уведомление:

Согласно статье 22 Федерального закона № 152-ФЗ, ООО выступает оператором, осуществляющим обработку персональных данных, и обязано было направить уведомление в Роскомнадзор до начала обработки.

3. Почему отказали в признании малозначительности:

Суд указал, что совершенное правонарушение не может быть признано малозначительным в соответствии с положениями статьи 2.9 КоАП РФ, а назначенное наказание не подлежит замене на предупреждение.

4. Почему штраф снизили до 50 000 рублей:

Суд применил пункт 2 статьи 4.1.2 КоАП РФ для субъектов малого и среднего предпринимательства и назначил наказание в размере половины минимального размера административного штрафа, предусмотренного санкцией части 10 статьи 13.11 КоАП РФ.

Таблица штрафов за неподачу уведомления

По части 10 статьи 13.11 КоАП РФ предусмотрены следующие санкции:

Кто обязан подать уведомление в Роскомнадзор

Согласно статье 22 Федерального закона № 152-ФЗ, оператор обязан уведомить уполномоченный орган о своем намерении осуществлять обработку персональных данных до начала обработки.

Организации, ИП и самозанятые обязаны подавать уведомление в Роскомнадзор как операторы персональных данных (ПДн)?

Бизнес является оператором персональных данных, если:

1. На вашем сайте есть формы обратной связи, заявки, подписки
2. Вы используете CRM-системы для учета клиентов
3. Вы устанавливаете на сайт системы аналитики (Яндекс.Метрика, Google Analytics)
4. Вы собираете cookies посетителей сайта
5. Вы ведете кадровый учет сотрудников в электронном виде
6. Вы обрабатываете данные контрагентов (поставщиков, партнеров)

Когда уведомление НЕ требуется

Согласно части 2 статьи 22 Федерального закона № 152-ФЗ, уведомление не направляется в случаях:

1. Обработка персональных данных осуществляется исключительно без использования средств автоматизации (только бумажный документооборот без компьютеров)
2. Обработка данных включена в государственные информационные системы, созданные в целях защиты безопасности государства
3. Случаи, предусмотренные законодательством о транспортной безопасности

Важно: Если вы используете компьютер, смартфон, Excel, CRM или любые электронные системы для работы с персональными данными, то вы обязаны подать уведомление.

Пошаговая инструкция как заполнять уведомление в Роскомнадзор для оператора по обработке персональных данных (ПДн)

Пошаговая инструкция: как избежать штрафа

Шаг 1. Проведите аудит обработки персональных данных

Определите, какие персональные данные вы собираете и обрабатываете:

1. Данные сотрудников (кадровый учет)
2. Данные клиентов (заявки, заказы, договоры)
3. Данные посетителей сайта (cookies, IP-адреса)
4. Данные контрагентов (поставщики, партнеры)

Шаг 2. Подайте уведомление в Роскомнадзор

Уведомление подается один раз до начала обработки данных. Способы подачи:

1. Через личный кабинет на сайте Роскомнадзора (требуется усиленная квалифицированная электронная подпись)
2. Через портал Госуслуги (с учетной записью ЕСИА)
3. На бумажном носителе в территориальный орган Роскомнадзора

Важно: Срок внесения в реестр операторов - 30 дней с момента подачи уведомления.

Шаг 3. Разработайте обязательные документы

Для законной обработки персональных данных необходимо:

1. Политика обработки персональных данных
2. Согласие на обработку персональных данных (если требуется по закону)
3. Приказ о назначении ответственного за обработку персональных данных
4. Положение об обработке и защите персональных данных

Шаг 4. Обновите сайт

На сайте должны быть:

1. Политика конфиденциальности (обязательно опубликована и доступна)
2. Чекбоксы согласия на обработку ПДн во всех формах
3. Информация об использовании cookies
4. Ссылка на страницу с политикой в футере сайта

Шаг 5. Обеспечьте безопасность хранения данных

Согласно статье 19 Федерального закона № 152-ФЗ, оператор обязан принимать меры по защите персональных данных:

1. Ограничить доступ к базам данных
2. Использовать средства защиты информации
3. Вести учет действий с персональными данными
4. Своевременно обновлять программное обеспечение

Чек-лист для бизнеса

Проверьте себя по этим пунктам:

1. Подано уведомление в Роскомнадзор
2. Компания внесена в реестр операторов персональных данных
3. Разработана и опубликована Политика конфиденциальности
4. На сайте установлены чекбоксы согласия на обработку ПДн
5. Назначен ответственный за обработку персональных данных
6. Разработаны внутренние положения и приказы
7. Обеспечена безопасность хранения данных
8. Настроены права доступа к базам данных

Практические выводы

Судебная практика показывает, что Роскомнадзор перешел от предупреждений к реальным штрафам. Дело № А40-342666/25 одно из первых, но далеко не последнее.

Ключевые выводы:

1. Использование форм обратной связи или систем аналитики автоматически делает вас оператором персональных данных
2. Подача уведомления в Роскомнадзор: обязательное требование, а не рекомендация
3. Ссылка на малозначительность нарушения не работает: суды не признают это основанием для освобождения от ответственности
4. Устранение нарушения после проверки не освобождает от штрафа
5. Для субъектов МСП действует льготный режим: штраф снижается до 50 000 рублей при первом нарушении

Часто задаваемые вопросы

Нужно ли подавать уведомление, если у меня нет сотрудников?

Да, если вы обрабатываете персональные данные клиентов, посетителей сайта или контрагентов с использованием компьютера или электронных систем.

Я самозанятый, у меня простой сайт-визитка. Нужно ли регистрироваться?

Если на сайте есть форма обратной связи, установлены счетчики аналитики или собираются cookies - да, нужно подать уведомление. Штраф для самозанятых - от 5 000 до 10 000 рублей.

Можно ли подать уведомление после того, как пришла проверка?

Да, можно, но это не освободит от штрафа. Суд учтет устранение нарушения как смягчающее обстоятельство, но ответственность наступит в любом случае.

Как Роскомнадзор узнает, что я обрабатываю персональные данные?

Роскомнадзор проводит мониторинг сайтов, проверяет наличие форм обратной связи и систем аналитики. Также проверки могут быть инициированы по жалобам пользователей.

Что будет, если не подавать уведомление?

Штраф по части 10 статьи 13.11 КоАП РФ: для юридических лиц и ИП:  от 100 000 до 300 000 рублей, для физических лиц: от 5 000 до 10 000 рублей.

Нужно ли обновлять уведомление, если изменились данные?

Да, при изменении целей обработки, категорий данных или способов обработки необходимо уведомить Роскомнадзор до 15-го числа месяца, следующего за месяцем, в котором произошли изменения.

В моем Telegram вы всегда сможете получить ответы по вашим кейсам, найти свежую информацию по рекламному сбору 3%, экспертизу по маркировке рекламы, а также понять как оформлять отчетность в ОРД, чтобы избежать штрафов от ФАС и Роскомнадзора