Почему за один сайт могут оштрафовать не только компанию, но и лично вас
Директор ООО обычно уверен: раз Роскомнадзор оштрафовал компанию, к нему лично это отношения не имеет — платит юрлицо, а не человек. Это ошибка, которая может стоить директору отдельного, персонального штрафа.
Часть 3 статьи 2.1 КоАП РФ говорит прямо противоположное: «назначение административного наказания юридическому лицу не освобождает от административной ответственности за данное правонарушение виновное физическое лицо». Проще говоря — штраф компании и штраф человека не исключают друг друга: это два независимых наказания за одно и то же нарушение.
Речь не о случайном стороннем человеке, а именно о должностном лице организации — том, кто отвечает за организационно-распорядительные функции в компании. Чаще всего это генеральный директор, но им может быть и другой работник, если эти функции ему делегированы.
Полный свод сумм по 152-ФЗ мы уже разбирали в статье «Штрафы Роскомнадзора в 2026 году», а штраф конкретно за отсутствие политики конфиденциальности — отдельно. Здесь только один вопрос: кто именно из людей и компаний платит за нарушение 152-ФЗ на сайте, и как не оказаться крайним.
- Владелец ООО боится, что после штрафа компании прилетит ещё и личный штраф лично ему.
- ИП не понимает, отвечает он как физлицо, как бизнес или по особым правилам для предпринимателей.
- Наёмный сотрудник опасается стать «крайним», если в компании назначен ответственный за обработку персональных данных.
Кто вообще отвечает по 152-ФЗ: гражданин, должностное лицо, ИП, юрлицо
КоАП различает не два, а четыре статуса, по которым считается штраф за нарушение 152-ФЗ на сайте.
- Гражданин — обычный человек, никак не связанный с компанией как должностное лицо.
- Должностное лицо — по умолчанию гендиректор ООО, но им может быть и другой сотрудник, если организационно-распорядительные функции делегированы ему приказом.
- Индивидуальный предприниматель (ИП) — отдельный статус со своими правилами, разбираем их ниже.
- Юридическое лицо — сама компания.
Кто такое «должностное лицо», КоАП определяет в примечании к статье 2.4: это тот, кто постоянно, временно или по специальному полномочию выполняет организационно-распорядительные или административно-хозяйственные функции в организации. Для ООО таким лицом по умолчанию считается гендиректор, но эти функции можно передать другому сотруднику — например, приказом.
Для ИП в том же примечании к ст. 2.4 КоАП есть общее правило: предприниматель без образования юрлица отвечает как должностное лицо, «если настоящим Кодексом не установлено иное». Ключевое слово здесь — «если»: у статьи 13.11 КоАП, по которой штрафуют за нарушения 152-ФЗ, такое «иное» установлено — причём сразу по трём разным сценариям. Дальше — конкретные суммы для каждого статуса, а следом разберём и сами сценарии для ИП.
Штрафы Роскомнадзора 2026: сколько платит каждый по ст. 13.11 КоАП
После 420-ФЗ, который действует с 30 мая 2025 года, суммы по статье 13.11 КоАП выросли почти по всем составам. Если нужно посмотреть штрафы Роскомнадзора сразу по всем 18 частям статьи — это отдельная большая таблица в статье «Штрафы Роскомнадзора в 2026 году». Здесь — только четыре показательных нарушения: на них хорошо видно, как по-разному ведёт себя статус ИП.
| Нарушение | Гражданин | Должностное лицо | ИП | Юрлицо |
|---|---|---|---|---|
| Нет или недоступна политика ПДн (ч. 3) | 1 500–3 000 ₽ | 6 000–12 000 ₽ | 10 000–20 000 ₽ | 30 000–60 000 ₽ |
| Обработка без письменного согласия, впервые (ч. 2) | 10 000–15 000 ₽ | 100 000–300 000 ₽ | 100 000–300 000 ₽ | 300 000–700 000 ₽ |
| То же нарушение повторно (ч. 2.1) | 15 000–30 000 ₽ | 300 000–500 000 ₽ | 500 000–1 000 000 ₽ | 1 000 000–1 500 000 ₽ |
| Неуведомление РКН о намерении обрабатывать ПДн (ч. 10) | 5 000–10 000 ₽ | 30 000–50 000 ₽ | 100 000–300 000 ₽ | 100 000–300 000 ₽ |
Присмотритесь к колонке «ИП»: в первой строке (ч. 3) у ИП собственная вилка — выше должностного лица, но ниже юрлица, точно так же, как в третьей строке (ч. 2.1). А вот во второй строке (ч. 2) сумма ИП совпадает с должностным лицом, а в четвёртой строке (ч. 10) — полностью совпадает с юрлицом. Это не опечатка — в следующем разделе разберём, почему один и тот же статус ведёт себя по-разному.
Прежде чем считать суммы, пройдите проверку сайта на штрафы РКН — узнаете, есть ли у вас вообще нарушения из этой таблицы.Бесплатный аудит по 16 требованиям РКН за пару минут.
Проверить сайтТройной статус ИП: должностное лицо, юрлицо или своя отдельная сумма
Статья 13.11 КоАП «устанавливает иное» для ИП не одним общим правилом, а сразу тремя разными сценариями — в зависимости от того, какую именно часть статьи применяют.
Тройной статус ИП по ст. 13.11 КоАП. Одна и та же статья закона обращается с предпринимателем по-разному — в зависимости от конкретного нарушения.
- Сценарий А — как должностное лицо. Базовые составы «впервые» (ч. 1 и ч. 2): ИП платит ровно столько же, сколько директор.
- Сценарий Б — как юридическое лицо. Повторные нарушения, локализация баз, неуведомление РКН, утечки любого масштаба (ч. 1.1 и ч. 8–18): примечание 1 к ст. 13.11 прямо приравнивает ИП к компании — сумма та же, что и у юрлица.
- Сценарий В — своя отдельная сумма. Часть повторных и «процедурных» составов (ч. 2.1, 3, 4, 5, 5.1, 6): у ИП здесь вилка выше, чем у должностного лица, но ниже, чем у юрлица.
В таблице выше это видно построчно: ч. 2 — сценарий А (ИП отвечает как должностное лицо), ч. 3 и ч. 2.1 — сценарий В (у ИП собственная сумма), ч. 10 — сценарий Б (ИП отвечает как юрлицо). Практический вывод: любой повтор нарушения или история с утечкой либо локализацией данных сразу переводит ИП в «весовую категорию» юрлица — спрятаться за более мягким статусом должностного лица не получится.
Если не уверены в собственном статусе — быстрее разобраться не в теории, а в фактах: аудит сайта на штрафы покажет, какие из этих нарушений реально есть у вас, а не только гипотетически.
Двойной штраф: компанию и директора накажут за один и тот же случай
Прежде чем проверить штраф Роскомнадзора для своей компании «на бумаге» по каждому составу отдельно, разберём на конкретном примере, как выглядит двойное наказание за один и тот же эпизод.
Сайт ООО без опубликованной политики обработки ПДн и без чекбокса согласия — это сразу два нарушения: ч. 3 и ч. 2 ст. 13.11 КоАП. Роскомнадзор вправе одновременно составить протокол на юрлицо (30 000 ₽ по ч. 3 + 300 000 ₽ по ч. 2 = от 330 000 ₽) и на директора как должностное лицо (6 000 ₽ по ч. 3 + 100 000 ₽ по ч. 2 = от 106 000 ₽). Это расчётная иллюстрация по таблице закона, а не пересказ конкретного судебного дела — но правовая основа для такой одновременности реальна и подтверждена нормой из первого раздела статьи.
Важно: штраф компании не спасает директора. Часть 3 ст. 2.1 КоАП прямо допускает оба штрафа одновременно за одно и то же нарушение — это два независимых наказания, а не выбор «либо-либо».
Честно: специфического опубликованного дела, где именно по 152-ФЗ на сайте одновременно оштрафованы и компания, и директор лично, найти не удалось — таких прецедентов по сайтам в открытом доступе немного. Это не значит, что механизм не работает: он давно и рутинно применяется судами в других сферах КоАП.
- Учалинский районный суд Республики Башкортостан, дело № 12-77/2019 — директор и предприятие оштрафованы одновременно за нарушение санитарно-эпидемиологических требований.
- Реутовский городской суд Московской области, дело № 12-4/2019 — директор наказан за несвоевременную сдачу отчётности в ПФР.
- Саратовский районный суд, дело № 12-23/2019 — компания-заготовитель леса и её сотрудник наказаны за отсутствие декларации о сделке с древесиной.
Эти три дела не про персональные данные — здесь они только как доказательство того, что принцип «оштрафованы и компания, и человек» реально работает в судах, а не существует лишь на бумаге.
Как снизить личный риск директора: приказ об ответственном за ПДн
Статья 22.1 152-ФЗ обязывает оператора — юридическое лицо — назначить приказом руководителя отдельного человека, ответственного за организацию обработки персональных данных, с должностной инструкцией: внутренний контроль, информирование сотрудников, работа с обращениями субъектов ПДн.
Логика простая: если организационно-распорядительные функции по ПДн выполняет отдельный назначенный сотрудник, а не директор лично, то именно он — по определению «должностного лица» из примечания к ст. 2.4 КоАП — более вероятный кандидат на роль виновного в протоколе по вопросам обработки данных, а не директор по умолчанию.
Важно: назначение ответственного снижает риск, но не отменяет его. Прямой нормы «директор автоматически не отвечает, если назначен другой ответственный» в 152-ФЗ или КоАП нет — это логическое следствие определения, а не гарантия освобождения.
Есть и более общая оговорка — части 4 и 5 статьи 2.1 КоАП: юрлицо не отвечает, если должностное лицо уже привлечено к ответственности И компания приняла «все предусмотренные меры» для соблюдения правил. На практике доказать, что приняты «все меры», — высокий стандарт, суды применяют его далеко не автоматически. Рассчитывать на эту норму как на лёгкий способ избежать штрафа не стоит.
Это полезно знать и наёмному сотруднику: если вас назначают ответственным за ПДн приказом, вы одновременно становитесь кандидатом на роль «должностного лица» в возможном протоколе. Лучше понимать это заранее. А после того как ответственный назначен, логично пройти проверку сайта на 152-ФЗ и риск штрафов — чтобы убедиться, что остальные пункты тоже закрыты.
Что ещё не перепутать и что делать сейчас
Три вещи, которые в этой теме легко перепутать.
- «Оборотные штрафы — только для юрлиц». Это неверно. Примечание 1 к ст. 13.11 приравнивает ИП к юрлицу и по повторным утечкам (ч. 15, 18) — то есть ИП при повторной утечке платит те же 1–3% годовой выручки, что и компания: минимум 20 млн ₽ по ч. 15 и минимум 25 млн ₽ по ч. 18. А вот у гражданина и должностного лица в этих же случаях суммы фиксированные — но разные по частям: по ч. 15 у гражданина 400 000–600 000 ₽, у должностного лица 800 000–1 200 000 ₽; по ч. 18 (повторная утечка спецкатегорий данных или биометрии) у гражданина 500 000–800 000 ₽, у должностного лица 1 500 000–2 000 000 ₽. В обоих случаях это в разы меньше, чем оборотный штраф ИП и юрлица.
- КоАП и уголовная ответственность — разные треки. Статья 272.1 УК РФ наказывает не за отсутствие политики на сайте, а за использование или передачу чужих ПДн, добытых взломом или кражей базы. Это отдельная тема, разберём её в следующих материалах.
- Реальные крупные взыскания 2026 года пока идут по юрлицам. В известных делах об утечках персональные штрафы директорам в тех же материалах не зафиксированы — это снижает панику, но не отменяет сам правовой механизм из ч. 3 ст. 2.1 КоАП.
Прежде чем считать, кто и сколько заплатит лично, стоит выяснить, есть ли у сайта сами нарушения — политика, чекбоксы согласия, уведомление РКН, назначенный ответственный за ПДн. Бесплатная проверка сайта на риски штрафов за пару минут покажет, что именно нужно поправить.