Обработка персональных данных без согласия: последствия и штрафы в 2026 году

В 2026 году контролирующие органы последовательно проверяют, на каком основании компании и ИП собирают и используют сведения о клиентах, пользователях и сотрудниках. Когда в процесс вовлечена обработка персональных данных без согласия, вопрос быстро переходит из области комплаенса в плоскость административной ответственности, судебных споров и прямых затрат. Для бизнеса это риски остановки рекламных активностей, блокировки форм на сайте, штрафов по ст 13.11 КоАП, а также претензий контрагентов и работников, если сведения использованы без законного основания.

Что считается персональными данными и почему это влияет на бюджет компании

Персональные данные в понимании Федерального закона № 152-ФЗ — это любая информация, прямо или косвенно относящаяся к идентифицируемому лицу. Сюда попадают не только ФИО и телефон, но и электронная почта, ID в сервисе, cookie-идентификаторы, данные о заказах, сведения о посещаемости сайта, записи видеонаблюдения, биометрические параметры, информация о здоровье, если ее собирает медицинская организация. Неправильная квалификация таких данных часто становится отправной точкой для нарушения. Компания полагает, что работает с обезличенными показателями, хотя из набора полей легко восстановить личность.

Финансовые последствия не ограничиваются штрафом. При выявлении нарушения Роскомнадзор вправе требовать прекращения конкретных операций, удаления незаконно собранных массивов, исправления документов и процедур. Если воронка продаж строилась на агрессивном ретаргетинге, а источник базы не подтвержден, обработка персональных данных без согласия приводит к остановке рекламных кампаний и потере лидов. Это прямое влияние на оборот и стоимость привлечения клиента.

Когда организация использует аутсорсинг маркетинга или кадровое агентство, без грамотного договора поручения риск удваивается. Нередко незаконная обработка данных возникает из-за смешения ролей оператора и лица, действующего по поручению. При отсутствии четкого разграничения стороны по-разному понимают границы и цели использования сведений, а претензии идут к тому, кто собирал и контролировал процесс.

Если необходим постоянный контроль договорной базы и корректности локальных актов, практическим решением станет регулярное юридическое сопровождение бизнеса. В рамках юридического сопровождения бизнеса системно обновляются политики, формы согласий и договоры с подрядчиками, что снижает вероятность неожиданной проверки и затратной паузы в операциях.

Правовые основания обработки и роль согласия субъекта

Закон № 152-ФЗ строит регулирование вокруг правовых оснований. Согласие субъекта персональных данных закреплено в статье 9 и остается универсальным инструментом, но не единственным. Статья 6 перечисляет случаи, когда возможно использование данных без получения подписи или электронного акцепта, при этом цель, объем и способы должны соответствовать конкретному основанию из закона.

Для рабочих отношений значимы нормы трудового законодательства и императивные обязанности работодателя. В бухгалтерии действует налоговое и бухгалтерское регулирование, которое обязывает хранить документы и сведения. Для претензионно-исковой работы и защиты прав в суде основанием выступают требования процессуальных кодексов. В каждой группе задач важно соблюсти принцип минимизации и целевого характера: нельзя брать лишнее и использовать собранное не по назначению.

Когда согласие не требуется

Обработка персональных данных без согласия допустима, если:

• обработка необходима для исполнения договора с субъектом, например доставки заказа или предоставления услуги, когда без контактных данных это невозможно;
• оператор выполняет установленные законом обязанности, включая кадровый учет, налоговую и бухгалтерскую отчетность;
• обработка нужна для осуществления прав и законных интересов оператора или третьих лиц при условии, что не нарушаются права и свободы субъекта;
• операции совершаются для отправки единичного сообщения о заказе, статуса услуги, гарантийного обслуживания, если это логически вытекает из отношений с субъектом;
• данные сделаны субъектом общедоступными, и цели оператора не выходят за пределы того, ради чего информация раскрыта.

Даже в этих случаях необходимо доказать правомерность операций: зафиксировать цель, описать бизнес-процесс, указать правовое основание, настроить сроки хранения и удаление. При работе с особыми категориями сведений, данными о здоровье и биометрией действуют более жесткие правила, а в ряде случаев требуется явно выраженное согласие в особой форме.

Обработка персональных данных без согласия: состав правонарушения и квалификация по ст. 13.11 КоАП РФ

Нарушение чаще всего выявляется при проверке заявлений граждан, мониторинге сайтов и оферт, а также по итогам внепланового визита. Когда орган фиксирует обработку персональных данных без согласия при отсутствии иного законного основания, событие квалифицируется по ст 13.11 КоАП. Части статьи дифференцируют составы: от отсутствия политики и непредоставления информации субъекту до незаконной трансграничной передачи или использования специальных категорий данных.

Формально ответственность наступает не только при сборе, но и при хранении, систематизации, передаче или использовании данных, если отсутствует надлежащее основание и не соблюдены принципы статьи 5 Закона № 152-ФЗ. Для квалификации важны цель и объем. Если компания собрала контакты для разовой коммуникации по заказу, но затем использовала их для массовой рассылки, это уже иная цель и отдельный состав. В материалах дел часто фигурирует формулировка незаконная обработка данных с указанием конкретных операций, которые не соответствуют заявленной цели и объему.

Повторность и длительность нарушения повышают риски. Кроме того, нарушения в сфере биометрии и специальных категорий оправдывают более строгий подход инспектора и суда. Вопрос трансграничной передачи и локализации баз также попадает в предмет проверки, особенно если в публичной оферте упомянуты иностранные сервисы анализа и рекламе.

Проверки Роскомнадзора: как стартует дело и какие доказательства важны

Контрольные мероприятия проводятся в порядке Федерального закона № 248-ФЗ о государственном контроле. Основанием могут быть обращения граждан, сведения из открытых источников, поручения прокуратуры. Практически это выглядит так: запрашивают политику, согласия, договоры с подрядчиками, журналы учета обращений субъектов, локальные акты по безопасности и описание ИТ-схемы.

Ключевой вопрос — подтверждение правового основания. Если опора на согласие, потребуются доказательства согласия: форма, текст, способ акцепта, логирование даты и времени, идентификация лица, связь действия с конкретной формой сбора. Для бумажных документов это собственноручная подпись и корректно оформленный бланк. В онлайне — отметка чекбокса с логами, подтверждение по e-mail, SMS-код, электронная подпись или иной надежный способ, который позволяет установить, что волеизъявление принадлежит субъекту.

Если оператор ориентируется на иные основания из статьи 6 Закона № 152-ФЗ, в проверке спрашивают договоры, счет-оферту, первичную бухгалтерию, штатное расписание и приказы, процессуальные документы, внутренние регламенты. Важно показать, что обработка персональных данных без согласия строго следует цели, описанной в договоре или законе, а срок хранения соразмерен.

Для технологических процессов имеет значение фиксация потока данных. Схема интеграций и маршрут передачи показывают, кому именно и на каком основании сведения передаются. При передаче подрядчику нужен договор поручения обработки с четкими обязанностями, в том числе требованиями к безопасности и удалению данных по окончании работ.

Штрафы и иные последствия в 2026 году: административные, гражданские и договорные риски

Административная ответственность за обработку персональных данных без согласия установлена ст 13.11 КоАП. Размер санкций и их градация зависят от части статьи, статуса нарушителя и характера действий. Речь идет не только о сборе, но и о неисполнении требований субъекта, непредоставлении информации, несоблюдении принципов обработки, незаконной трансграничной передаче. В 2026 году подход к наказанию остается дифференцированным: инспектор квалифицирует состав и применяет соответствующую часть статьи, а суд оценивает доказательства и обстоятельства.

Помимо административных взысканий возникают гражданско-правовые последствия. Субъекты заявляют требования о защите нематериальных благ, компенсации морального вреда, удалении информации из публичных источников. По ряду кейсов суды устанавливали компенсацию, когда оператор не смог подтвердить правомерность обработки и надлежащие меры безопасности. Бизнесу это оборачивается дополнительными издержками и необходимостью публичной корректировки практик.

Наконец, существуют договорные риски. Если в контракте с заказчиком закреплены требования к соблюдению закона о персональных данных, выявленное нарушение становится основанием для удержаний, штрафов по договору и расторжения. Для операторов, работающих в B2G и крупном B2B, это порой критичнее административных взысканий.

Чтобы одновременно выстроить маркетинг, продажи и комплаенс, на практике помогает абонентская модель. В формат абонентского юридического обслуживания обычно входит аудит цепочек обработки, корректировка оферт и форм согласий, а также договоров с подрядчиками по поручению обработки.

Обработка персональных данных без согласия в кадровых и маркетинговых процессах: типичные ошибки

Кадровые документы и воронка продаж — лидеры по количеству споров. В HR нередко берут согласие на все случаи жизни, игнорируя то, что многие операции основаны на законе. Избыточное согласие легко спутать с универсальной лицензией на любые действия, что повышает соблазн использовать сведения вне правовых оснований. В маркетинге слабым местом становится привлечение базы от партнера без проверки законности ее сбора.

• Сбор лишних данных без очевидной цели. Например, паспортные данные у кандидата на ранней стадии отбора без законного основания.
• Шаблонные формы без указания конкретной цели, перечня операций и срока. Такое согласие субъекта персональных данных часто признается ненадлежащим.
• Отсутствие фиксации способа акцепта в онлайне. Без логов и идентификации пользователя доказательства согласия слабеют.
• Передача подрядчику без договора поручения обработки или с расплывчатым описанием мер безопасности.
• Использование общедоступных профилей вопреки заявленной пользователем цели публикации.

Кадровый контур затрагивает учет работников, кандидатов, бывших сотрудников, а также членов их семей. Для приведения документов в порядок полезен кадровый аудит. В рамках такой проверки выявляются избыточные положения локальных актов, корректируются формы согласий и описываются процессы удаления данных.

В маркетинге проблемой часто становится рассылка без отдельного волеизъявления на рекламу. Согласие на обработку для оформления заказа и согласие на рекламные сообщения — разные юридические основания. Если отправлять промокоды и предложения по базе покупателей без отдельного указания в форме и без доказательств согласия, это квалифицируют как обработку персональных данных без согласия.

Документы и доказательства согласия: как выстроить комплаенс и снизить риски

Суд и регулятор оценивают не декларации, а документы. Поэтому важна наглядная связка между целью, основанием, формой получения и последующим использованием сведений. Особенно тщательно фиксируется онлайн-процесс.

• Текст согласия с указанием цели, перечня операций, срока и способа отзыва. Для специальных категорий и биометрии — отдельные формулировки.
• Технические логи: дата и время отметки чекбокса, идентификатор пользователя, IP-адрес, версия формы, запись события в журнале.
• Договоры с подрядчиками по поручению обработки с обязанностями по безопасности, конфиденциальности и удалению данных.
• Политика в отношении обработки, уведомление по трансграничной передаче, описание сроков хранения и удаления.
• Журнал запросов субъектов и ответы по установленным законом срокам.

Если оператор полагается на договорное основание, в тексте договора необходимы элементы, подтверждающие необходимость конкретных сведений для исполнения. Одновременно фиксируется минимальный набор данных, чтобы исключить претензии по избыточности. В спорных ситуациях именно эти материалы помогают опровергнуть вывод о том, что имела место обработка персональных данных без согласия.

Для частых бизнес-сценариев полезно сравнение цели, основания и ключевого риска:

Ситуация	Правовое основание	Основной риск
Доставка заказа интернет-магазина	Исполнение договора с субъектом	Использование контактов для рекламы без отдельного волеизъявления
Кадровый учет работника	Трудовое и иное обязательное законодательство	Избыточный сбор и хранение сверх установленного срока
Аутсорсинг колл-центра	Поручение обработки с договором и инструкциями	Отсутствие договора или слабые меры безопасности у подрядчика
Ретаргетинг и look-alike аудитории	Согласие на маркетинговые коммуникации	Недостаточные доказательства согласия и незаконная обработка данных

Судебные споры и обжалование: процессуальные нюансы и аргументы

Постановления по делам об административных правонарушениях обжалуются по главе 30 КоАП РФ. Общий срок подачи жалобы — десять суток со дня получения копии постановления. Предписание контролирующего органа или решения о привлечении к ответственности как ненормативные акты юридические лица и ИП вправе оспаривать в арбитражном суде по главе 24 АПК РФ. В таких делах действует общий трехмесячный срок, если иной не установлен законом, и значение имеют как материальные аргументы, так и процессуальные нарушения при проверке.

Линия защиты строится вокруг трех вопросов. Во‑первых, была ли правовая основа и соответствовала ли ей цель. Во‑вторых, доказаны ли элементы события правонарушения, в том числе круг операций, период и субъект данных. В‑третьих, выполнены ли процессуальные требования при возбуждении дела и составлении протокола. Если инспектор не истребовал ключевые документы или неверно определил часть статьи, это аргумент в пользу отмены постановления.

Когда нарушение касается договорных отношений и затрагивает цену обязательства, спор переходит в арбитражный процесс. В таких кейсах одновременно идет защита по КоАП и урегулирование гражданско-правовых требований. Здесь помогает опытное сопровождение арбитражного спора, поскольку оценка переписки, оферт и факта передачи базы зачастую влияет на исход обоих процессов.

Надежность позиции повышают четкие доказательства согласия, локальные акты и связка целей с правовым основанием. Если в материалах есть маршрут данных и журналы событий, оператору проще показать, что квалифицирующих признаков у состава нет или часть статьи выбрана без учета реальных операций.

Как организовать процессы, чтобы не спорить о составе по ст 13.11 КоАП

Профилактика дешевле спора. Компании полезно держать карту процессов и активов данных: какие поля собираются, где хранятся, кто имеет доступ, кому передаются и когда удаляются. Каждой цели соответствует основание, каждому основанию — комплект документов и технических мер. Для публичных сайтов требуется доступная политика обработки, для мобильных приложений — корректные экраны согласия с раздельными чекбоксами.

С внутренней стороны важно разграничить роли оператора и исполнителя по поручению. Если привлекается подрядчик, в договоре описывают конкретные операции, требования к безопасности, запрет на самостоятельное использование, порядок возврата или удаления данных. Наличие такого договора и реальных мер уменьшает риск вывода о том, что была обработка персональных данных без согласия в интересах самого подрядчика.

Для трансграничной передачи данных продумайте проверку страны получателя и основание для передачи. При использовании облачных сервисов убедитесь, что локализация первичной базы соблюдается, а поставщик обеспечивает уровень защиты, соизмеримый с российскими требованиями. В рекламных инструментах проверьте настройку пользовательских аудиторий и содержимое пользовательских соглашений, чтобы исключить квалификацию как незаконная обработка данных.

Ключевые документы и ответственные лица: кто обеспечивает доказуемость законности

Комплаенс держится на документах и людях. Назначенный ответственный за организацию обработки координирует аудит, обновление локальных актов и взаимодействие с Роскомнадзором. Это не формальность: без конкретного владельца процесса защита быстро рассыпается под напором повседневных задач.

Внутри компании полезно закрепить процедуру рассмотрения запросов субъектов. Сроки ответа, перечень предоставляемых сведений, порядок подтверждения личности и фиксация результата должны быть понятны сотрудникам. По Закону № 152-ФЗ оператор предоставляет субъекту информацию о целях и правовых основаниях, источнике получения, категориях данных и операциях, а также о наличии порученных обработок. На практике этот блок часто игнорируют и именно по нему появляется состав по ст 13.11 КоАП.

Отдельно проверьте процессы отзыва согласия и удаления. Если субъект направил заявление, компании важно корректно идентифицировать лицо и документально зафиксировать прекращение операций, если нет другого правового основания для продолжения. В журналах ИТ-систем видно, когда данные удалены или обезличены, а в переписке отражено уведомление субъекта. Такие материалы нередко становятся определяющими доказательствами в проверке и суде.

Для бизнеса итог прост. Чем ближе процессы и документы к тексту Закона № 152-ФЗ и логике комплаенса, тем ниже вероятность того, что регулятор или суд усмотрит обработку персональных данных без согласия. Проверенные правовые основания и понятные доказательства согласия экономят время сотрудников и деньги компании, особенно когда приходится объяснять, на каком основании вы отправили письмо, передали лиды подрядчику или хранили резюме дольше разумного срока.

Если предстоит выстроить обработку в новых продуктах, обновить публичные документы и договоры, подготовить команду к проверкам, мы поможем пройти весь цикл — от аудита и настройки форм до защиты интересов в надзоре и суде. Для распределенного бизнеса полезно поддерживать процессы в актуальном состоянии в формате регулярного сопровождения, чтобы каждое изменение в маркетинге или ИТ сразу получало законное основание и корректные формулировки.

Если вам нужна надежная команда юристов с большим практическим опытом, обращайтесь в ООО ЮК Шмелева и партнеры. Заявку можно оставить на сайте нашей юридической компании или позвонить по телефону 8 (800) 201 56 52. Отзывы о нашей работе можно посмотреть на Яндекс.Картах.