Осенью 2026 года бизнесу стоит сопоставить цели обработки персональных данных с полученными согласиями и внутренними документами. Согласно части 1 статьи 13.11 КоАП РФ, за обработку, несовместимую с целями сбора, юридическому лицу грозит штраф от 150 000 до 300 000 рублей.
Что изменили в правилах обработки персональных данных
Для оператора административным нарушением признаётся обработка персональных данных в случаях, не предусмотренных российским законодательством о персональных данных. Ответственность наступает и тогда, когда реальная обработка не соответствует целям сбора, кроме исключений, перечисленных в частях 2, 11–18 соответствующей статьи и статье 17.13.
Ещё одно основание для ответственности касается письменного согласия субъекта. Когда закон требует оформить его именно письменно, обработка без такого документа считается самостоятельным нарушением, кроме случаев, предусмотренных статьёй 17.13 КоАП РФ.
На практике прежде всего нужно выяснить, относятся ли конкретные сведения к персональным данным с учётом их определения и признаков. Лишь затем можно установить статус оператора, оценить допустимость обработки и понять, требуется ли письменное согласие; сам по себе факт хранения сведений ещё не объясняет правовое основание работы с ними.
Роскомнадзор работает в сфере административного права, поэтому при его контроле речь идёт именно об административной ответственности. Другие виды ответственности анализируют отдельно, но они не меняют главного вопроса для оператора: разрешена ли обработка законом и соблюдена ли обязательная письменная форма согласия.
Почему компании заново проверяют документы о данных
Пересмотр политики обработки персональных данных, согласий и уведомлений помогает найти противоречия до проверки Роскомнадзора. Компании сверяют формулировки в документах с реальным порядком работы, поскольку основным административным наказанием за нарушения при обработке данных остаётся штраф, размер которого зависит от состава нарушения.
Важно проверить не только наличие документов, но и соответствие их содержания друг другу. Политика, формы согласий и информация в уведомлении Роскомнадзора не могут описывать разные процедуры, категории данных или состав участников обработки, иначе такой комплект бумаг не подтверждает общий порядок работы оператора.
Первое нарушение не освобождает от ответственности автоматически. Вместо штрафа могут вынести предупреждение, если проступок впервые обнаружен при государственном контроле и одновременно соблюдены условия, предусмотренные КоАП РФ, поэтому надеяться на предупреждение без предварительного анализа документов рискованно.
Кто отвечает за нарушение правил работы с данными
Правила обращения с персональными данными закреплены Федеральным законом от 27 июля 2006 года № 152-ФЗ «О персональных данных». За нарушение закона предусмотрена административная, гражданско-правовая и уголовная ответственность, поэтому последствия могут коснуться как организации, так и должностных лиц либо граждан.
При первом административном нарушении гражданам назначают штраф от 10 000 до 15 000 рублей, должностным лицам — от 50 000 до 100 000 рублей. Для юридического лица взыскание составляет от 150 000 до 300 000 рублей, причём выплата штрафа не отменяет других видов ответственности.
Повторное нарушение стоит дороже. Гражданам грозит штраф от 15 000 до 30 000 рублей, должностным лицам — от 100 000 до 200 000 рублей, а для юридических лиц размер взыскания составляет от 300 000 до 500 000 рублей. Следовательно, ответственность оператора персональных данных не исключает возможной ответственности конкретного участника работы с данными.
Как снизить риск утечки и штрафа осенью 2026 года
Аудит обработки персональных данных лучше разбить на четыре блока. Проверить следует доступ сотрудников к данным, их локализацию, трансграничную передачу и порядок действий при утечке. По каждому из направлений важно записать, какие процессы реально работают и кто следит за их исполнением.
При проверке доступа нужно сравнить полномочия работников с задачами, для выполнения которых им требуются персональные данные, а после удалить лишние права. Кроме того, необходимо проследить весь путь информации и выяснить, где она хранится, передаётся ли за границу и какие действия запланированы на случай обнаружения утечки.
При подготовке к проверке Роскомнадзора осенью 2026 года компании необходим не формальный список мер, а доказательства того, что они выполняются. Практическим итогом аудита становится перечень обнаруженных рисков, ответственных за их устранение и сроков выполнения работ. Такой порядок помогает быстрее найти слабое место и уменьшить вероятность утечки, способной повлечь штраф.
