Штрафы за нарушения 152-ФЗ на сайте: как оценить риск по фактам
Красная строка в отчёте сканера ещё не означает назначенный штраф. Чтобы оценить последствия, нужно установить обязанность оператора, фактическое нарушение и применимую норму. Разберём основные ситуации для владельца сайта и составим порядок проверки без сложения всех максимальных сумм.
- Таблица ниже относится к коммерческим юридическим лицам; для других категорий действуют особенности.
- Санкция зависит от состава нарушения, а не от количества красных отметок в отчёте.
- Исправлять нужно подтверждённый процесс: документ, форму, передачу данных или организационную процедуру.
Почему нет единого штрафа «за сайт без 152-ФЗ»
152-ФЗ устанавливает правила обработки персональных данных, а административные санкции за их нарушение предусмотрены, в частности, статьёй 13.11 КоАП РФ. Для разных обстоятельств статья содержит самостоятельные составы. Сломанная ссылка на документ, обработка без основания и нарушение локализации не становятся одним и тем же нарушением только потому, что обнаружены на одном домене.
Проверять следует деятельность конкретного оператора. Один сайт может обслуживать несколько организаций, а одна компания — принимать заявки на десятках доменов. Начните с вопроса, кто определяет цели обработки и получает сведения. Затем сопоставьте дату события, факты и редакцию нормы. Эта страница помогает подготовить такую проверку, но не определяет результат административного дела.
Основные диапазоны для коммерческих организаций
Суммы приведены в рублях для юридического лица при установлении соответствующего состава. Таблица не охватывает все ситуации статьи 13.11 и не является калькулятором ожидаемого взыскания. Для повторности, ИП, НКО и государственных органов проверьте отдельные положения.
| Обстоятельство | Часть статьи | Диапазон |
|---|---|---|
| Обработка без законного основания или несовместимо с целью сбора | 1 | 150 000–300 000 ₽ |
| Нарушение обязательного письменного согласия | 2 | 300 000–700 000 ₽ |
| Не выполнена обязанность обеспечить доступ к политике | 3 | 30 000–60 000 ₽ |
| Не предоставлена обязательная информация субъекту | 4 | 40 000–80 000 ₽ |
| Нарушена обязанность локализации | 8 | 1 000 000–6 000 000 ₽ |
| Не подано или просрочено обязательное уведомление о намерении обрабатывать данные | 10 | 100 000–300 000 ₽ |
| Не подано или просрочено обязательное уведомление об установленном инциденте | 11 | 1 000 000–3 000 000 ₽ |
Что означает «не найдена политика» в техническом отчёте
Сначала откройте URL документа напрямую в обычном и приватном окне браузера. Проверьте отсутствие авторизации, ошибки сервера и запрета на чтение. Затем найдите ссылки на страницах, где собираются сведения. Отдельно проверьте всплывающие окна и мобильную версию: ссылка может быть видна на компьютере и перекрываться кнопкой на телефоне.
Если сканер прочитал только часть сайта, он мог не добраться до документа. Такая находка означает необходимость ручной проверки. Если документ доступен, но описывает другую компанию или несуществующие процессы, задача уже относится к содержанию и достоверности сведений. Не превращайте каждый недостаток текста в отдельный штраф без анализа обязанности и обстоятельств.
Форма без чекбокса: какие вопросы задать
Выясните цель и правовое основание конкретной операции. Данные могут понадобиться для исполнения договора, выполнения установленной законом обязанности или для обработки на основании согласия. Одного внешнего вида формы недостаточно, чтобы выбрать норму ответственности. Проверяйте также фактическое использование: ответ на обращение и последующая рекламная рассылка — разные процессы.
Если обработка основана на согласии, оцените содержание условий, отдельность оформления, действие посетителя и доказательства получения. Сохранённое значение «да» без связи с версией текста и заявкой затрудняет восстановление обстоятельств. При этом сбор лишних идентификаторов исключительно «для доказательства» сам требует обоснования.
- Какие поля и скрытые параметры отправляются вместе с заявкой?
- Какая цель объяснена человеку до передачи данных?
- На каком основании данные используются после ответа?
- Можно ли восстановить условия, показанные в момент выбора?
- Не подменяется ли согласие простым ознакомлением с политикой?
Почему ИП нельзя всегда считать обычным физлицом
Категория привлекаемого лица влияет на диапазон. В статье есть как самостоятельные суммы для предпринимателей, так и правила, при которых ИП отвечают как юридические лица. Поэтому таблица «для ООО» не переносится целиком на ИП, а личный статус владельца домена не определяет автоматически статус оператора.
| Кого проверяете | Что уточнить | Чего избегать |
|---|---|---|
| Коммерческая организация | Конкретный состав, повторность, обстоятельства дела | Подсчёта всех максимумов статьи |
| Индивидуальный предприниматель | Прямую санкцию для ИП и примечание 1 к статье 13.11 | Применения минимального штрафа для граждан ко всем случаям |
| Гражданин без статуса ИП | Характер деятельности и применимость обязанностей | Вывода, что домен на физлицо исключает ответственность |
| НКО или государственный орган | Специальные определения примечаний к частям 10–18 | Механического применения строки для коммерческого юрлица |
Повторность и утечки: почему суммы бывают значительно выше
Статья предусматривает усиленные санкции за отдельные повторные нарушения и самостоятельную ответственность за неправомерную передачу данных. Для повторной обработки по части 1.1 диапазон для организаций составляет 300 000–500 000 рублей; повторное нарушение обязательного письменного согласия по части 2.1 — 1 000 000–1 500 000 рублей; повторная локализация по части 9 — 6 000 000–18 000 000 рублей.
Составы, связанные с утечками, учитывают масштаб, характер сведений и установленные условия. В предусмотренных статьёй случаях повторных утечек применяются оборотные санкции. Их нельзя назначать по количеству cookie или переносить на любой лендинг без баннера. Сканер публичных страниц не устанавливает факта утечки, её размер, выручку и юридическую повторность.
Как расставить приоритеты устранения
Полезнее ранжировать подтверждённые проблемы по последствиям и доступности данных, чем по самому большому числу из справочника. У каждой задачи должны быть исполнитель и проверяемый результат. Отдельно помечайте гипотезы, по которым пока не хватает сведений.
- При подозрении на несанкционированный доступ подключите ответственного за безопасность, ограничьте дальнейшее раскрытие и сохраните необходимые доказательства.
- Проверьте явные нарушения маршрута данных: открытые выгрузки, лишние получатели, неуправляемые интеграции.
- Восстановите доступ к документам и корректную работу согласия там, где оно является выбранным основанием.
- Уточните обязанности по уведомлениям, фактические базы, договоры с обработчиками и права доступа.
- Повторите проверку после исправлений на всех затронутых шаблонах и зафиксируйте оставшиеся вопросы.
Какие материалы сохранить для разбора ситуации
Сохраняйте материалы с ограничением доступа. Отчёт с реальными заявками, токенами или персональными сведениями нельзя выкладывать в общедоступную задачу. Для разработчика обычно достаточно обезличенного примера и технического описания. Не создавайте лишнюю полную копию базы ради подтверждения одной настройки.
При получении официального требования прочитайте адресата, предмет, срок и порядок ответа. Обсудите квалификацию с профильным специалистом. Позднее исправление полезно, но само по себе не доказывает, что прежнего нарушения не было.
- Адрес страницы и время наблюдения; среду проверки и фактическое число прочитанных страниц.
- Снимок формы и документов в том виде, в котором их видел посетитель.
- Версию текста согласия, настройку обязательности и способ фиксации выбора.
- Схему движения заявки: сайт, почта, CRM, подрядчики, резервные копии.
- Подтверждения подачи уведомлений и актуальные сведения об операторе.
- Описание исправления, дату публикации и результаты повторной проверки.
Как читать справку о штрафах в Himedia
Himedia показывает возможные диапазоны рядом с определёнными категориями риска и объясняет условия их применения. Это ориентир для дальнейшей работы. Инструмент исследует доступные страницы и наблюдаемое поведение браузера; он не рассматривает дело и не проверяет всю деятельность компании.
Начните с доказательства в отчёте: URL, найденного элемента, сетевого запроса или ограничения проверки. Если для правового вывода нужны внутренние данные, передайте вопрос ответственному сотруднику. После исправления повторите сканирование с сопоставимыми параметрами. Улучшение технического результата полезно, но не заменяет проверку базы данных и организационных процедур.
Рабочая карточка риска для владельца сайта
Такая карточка превращает пугающий список в управляемую работу. Она также помогает не потерять важные задачи за пределами сайта: маршруты заявок, хранение копий, ответы на обращения и действия при инцидентах. Возвращайтесь к карточкам после смены CRM, подрядчика, рекламного счётчика или владельца бизнеса.
| Поле | Пример содержания |
|---|---|
| Наблюдение | Ссылка на политику в форме заказа возвращает 404 |
| Что ещё проверить | Есть ли другой доступный документ; где именно идёт сбор |
| Применимая обязанность | Определить после проверки обстоятельств |
| Исправление | Восстановить страницу и ссылки во всех шаблонах |
| Ответственный и срок | Владелец сайта и разработчик; согласованная дата |
| Подтверждение результата | Доступность документа и тест формы на телефоне |
| Правовая оценка | Отдельное заключение по фактам, а не автоматическая сумма |
Вопросы и ответы
Какой штраф за отсутствие политики на сайте?
Для юридических лиц часть 3 статьи 13.11 предусматривает 30 000–60 000 рублей при установленном невыполнении обязанности обеспечить доступ. Сначала нужно подтвердить применимость обязанности и фактическое отсутствие доступа, а не только результат одного обхода.
Без галочки сразу штраф 700 тысяч рублей?
Нет. Верхняя граница части 2 относится к нарушению обязательного письменного согласия. Обычный чекбокс и письменная форма не тождественны; для квалификации проверяют основание обработки и обстоятельства.
Можно сложить все суммы из отчёта?
Автоматически складывать их нельзя. Пункты могут относиться к одной ситуации, быть альтернативными квалификациями или требовать неподтверждённых фактов. Размер взыскания не рассчитывается по числу предупреждений сканера.
ИП платит столько же, сколько ООО?
По некоторым частям — да, по другим предусмотрены отдельные правила. Например, примечание 1 относит части 1.1 и 8–18 к ответственности ИП как юридических лиц. Нужна проверка конкретной нормы.
Если сайт не приносит доход, обязанности исчезают?
Отсутствие прибыли само по себе не исключает обработку персональных данных. Важны характер деятельности, роль оператора и применимые нормы, а не только наличие оплаты на сайте.
Бесплатный сканер может подтвердить нарушение локализации?
Открытые признаки могут подсказать вопрос для проверки. Иностранный домен или IP веб-сервера не раскрывает полностью расположение и работу баз данных. Нужны сведения об архитектуре и договорах.
Удалить форму достаточно для устранения риска?
Удаление прекращает конкретный канал сбора, если он действительно отключён. Уже полученные записи, копии в почте и CRM, основания хранения и связанные обязанности нужно разбирать отдельно.
Второй запуск проверки означает повторное нарушение?
Нет. Юридическая повторность связана с предусмотренными законом обстоятельствами привлечения к ответственности. Количество технических проверок этого статуса не устанавливает.
Есть отдельный фиксированный штраф за любой cookie-баннер?
Единой суммы за внешний вид баннера нет. Оценивается фактическая обработка данных, применимые обязанности и доказанные обстоятельства. Декоративное сообщение не решает проблему незаконной обработки.
После исправления штраф точно не назначат?
Такую гарантию дать нельзя. Исправление снижает дальнейший риск и помогает наладить процесс, но оценка уже совершённых действий и обстоятельств проводится отдельно.
Источники и границы материала
Материал помогает подготовить документы и организовать проверку. Примеры требуют адаптации к вашему оператору и процессам. Для конкретного решения учитывайте применимые нормы и обстоятельства обработки.