Штрафы за персональные данные у мировых судей с 2026 года: что изменил 508-ФЗ

В конце 2025 года почти незаметно поменялось важное: дела о штрафах за нарушения с персональными данными снова рассматривают мировые судьи, а не арбитражные суды. Сами размеры штрафов при этом не изменились, изменилось то, кто их назначает и куда жаловаться. Для бизнеса это не формальность. От того, какой суд ведёт дело, зависят сроки, число инстанций и реальные шансы оспорить штраф. Ниже разберём, что именно изменил закон 508-ФЗ, чем мировой судья отличается от прежнего арбитража и как теперь устроено обжалование. Размеры самих штрафов мы здесь не пересказываем: за конкретными суммами по физлицам, должностным лицам, ИП и юрлицам есть отдельный разбор, ссылку на него дадим ниже.

Что произошло: разворот подсудности по делам о персональных данных

Чтобы понять смысл перемены, нужно держать в голове короткую хронологию. До 30 мая 2025 года дела по статье 13.11 КоАП (это статья об ответственности за нарушения с персональными данными) рассматривались в общем порядке: мировые судьи, а в части случаев районные суды. Затем вступил в силу закон 420-ФЗ, который резко ужесточил штрафы и одновременно передал эти дела арбитражным судам. То есть с мая по конец 2025 года за персональные данные судил арбитраж.

С 1 января 2026 года всё развернулось обратно. Закон 508-ФЗ исключил статью 13.11 из перечня дел, которые рассматривают судьи арбитражных судов. Технически это сделано одной точечной правкой: в статье 23.1 КоАП, где перечислены составы, подсудные арбитражу, из списка убрали упоминание статьи 13.11. Как только эта ссылка исчезла, дела о персональных данных перестали быть «арбитражными» и попали под общее остаточное правило той же статьи 23.1: всё, что прямо не отнесено к другим судам, рассматривают мировые судьи.

Эти два закона важно не перепутать, потому что во вторичных источниках их постоянно смешивают. Закон 420-ФЗ ужесточил штрафы и на время отдал дела арбитражу. Закон 508-ФЗ штрафы не трогал вообще, он изменил только подсудность, вернув дела мировым судьям. Если где-то написано, что «508-ФЗ ввёл миллионные штрафы», это ошибка: миллионные и оборотные штрафы появились раньше, по 420-ФЗ, и действуют независимо от того, какой суд назначает наказание.

С какой даты это действует

Здесь тоже легко ошибиться, поэтому зафиксируем точно. Закон 508-ФЗ был принят 28 декабря 2025 года, но 28 декабря, это дата принятия и опубликования, а не дата вступления в силу. По общему правилу самого закона он начинает действовать с 1 января 2026 года. Отдельные его пункты вступают в силу позже, но к подсудности по персональным данным это не относится: норма про статью 13.11 идёт в общем сроке и работает именно с 1 января.

Поэтому встречающиеся формулировки «с 28 декабря 2025» или «с 1 июня 2026» в отношении смены подсудности неверны. Правильная отсечка одна: с первого дня 2026 года новые дела по статье 13.11 уходят мировым судьям. Дела, начатые до этой даты в арбитраже, доигрываются по правилам, действовавшим на момент их возбуждения, а всё новое идёт уже по обновлённой схеме.

Кто и за что наказывает: три разных закона не путать

Тема персональных данных запутана тем, что в ней работают сразу три разных закона, и каждый отвечает за своё. Если их смешать, легко прийти к неверным выводам, поэтому разложим по полочкам.

Первый закон материальный, это 152-ФЗ «О персональных данных». Он устанавливает, что обязан делать оператор, то есть тот, кто собирает данные людей через сайт, форму, чат или счётчик: получить согласие, опубликовать политику обработки, хранить данные россиян в России, уведомить Роскомнадзор. Сами эти обязанности и есть содержание закона о персональных данных.

Второй закон про ответственность, это статья 13.11 КоАП. В ней прописаны штрафы за то, что обязанности из 152-ФЗ не выполнены. Сумма зависит от состава и от того, кто нарушитель. Здесь важно не сказать «штраф по 152-ФЗ»: это распространённая, но неточная формулировка. Сам по себе 152-ФЗ обязанности задаёт, а штраф назначают по КоАП.

Третий закон процессуальный, это статья 23.1 КоАП, которая решает, какой именно суд рассматривает дело. Её и поправил 508-ФЗ. Получается связка: что нарушено, определяет 152-ФЗ; сколько штраф, определяет статья 13.11 КоАП; кто судит, определяет статья 23.1 КоАП. Перемена 2026 года коснулась только третьего звена, обязанности и размеры остались прежними.

Стоит назвать и составы, за которые штрафуют, без таблиц с цифрами. Базовые нарушения: обработка данных без законного основания, обработка без согласия или с нарушением требований к нему, отсутствие политики в открытом доступе, нарушение локализации, неуведомление Роскомнадзора. Отдельная и самая дорогая группа, это утечки: за неправомерную передачу данных предусмотрены крупные фиксированные штрафы, а за повторную утечку для юрлиц действует оборотный штраф, то есть процент от годовой выручки с нижним порогом в десятки миллионов рублей. Подробные суммы по каждому составу и по каждому типу нарушителя мы свели в отдельном разборе штрафов за нарушения на сайте, чтобы не дублировать таблицы здесь.

Чем мировой судья отличается от арбитража и почему это не послабление

Возврат к мировым судьям легко принять за смягчение, но по сути для бизнеса это скорее минус, чем плюс. Разберём, в чём разница на практике.

Арбитражные суды заточены под экономические споры. Когда дело о персональных данных шло через арбитраж, у компании было важное преимущество: цепочка обжалования вела вплоть до Судебной коллегии по экономическим спорам Верховного Суда. То есть существовала «экономическая» инстанция высокого уровня, привычная к разбору хозяйственной деятельности и часто более внимательная к доводам бизнеса.

Мировые судьи, это первое, низовое звено судов общей юрисдикции. Они рассматривают дело быстрее и проще, без той процессуальной глубины, которая есть в арбитраже. Для бизнеса это означает следующее. Исчезает дорога до экономической коллегии Верховного Суда по таким делам. Процесс становится короче, а значит, у защиты меньше времени и меньше процессуальных возможностей развернуть позицию. Наконец, рассмотрение ведёт судья, для которого экономическая логика бизнеса не основной профиль.

Есть нюанс: не все дела по статье 13.11 идут именно к мировому судье. Если по делу проводилось административное расследование или возможна санкция в виде дисквалификации либо приостановления деятельности, его рассматривает судья районного суда. Но базовый поток, типовые нарушения вроде отсутствия политики или согласия, теперь идёт через мировых судей. Поэтому подавать новость как «стало мягче» неправильно: инструментов для защиты у бизнеса стало меньше, а не больше.

Как теперь обжаловать штраф за персональные данные

Смена подсудности меняет и маршрут обжалования, и это, пожалуй, главное практическое следствие для тех, кто уже получил или опасается получить постановление.

Когда дело вёл арбитраж, обжалование шло по арбитражной вертикали: апелляционный арбитражный суд, кассация округа и в перспективе экономическая коллегия Верховного Суда. Теперь, когда дело рассматривает мировой судья, маршрут другой и короче. Постановление мирового судьи по делу об административном правонарушении обжалуется в районный суд, дальше идёт обжалование в порядке, предусмотренном КоАП для судов общей юрисдикции. Прежней арбитражной цепочки с экономической коллегией здесь уже нет.

Практический порядок действий при получении постановления выглядит так:

1. Зафиксируйте дату вручения постановления: с этого момента течёт срок на обжалование, по КоАП он короткий, и пропускать его нельзя.
2. Определите, какой суд вынес постановление: мировой судья или районный суд. От этого зависит, куда подавать жалобу.
3. Подготовьте жалобу в вышестоящий суд: на постановление мирового судьи, в районный суд по тому же участку.
4. Соберите доказательства того, что обязанность оператора фактически исполнялась или что состава нет: опубликованная политика, формы согласия, уведомление в Роскомнадзор, подтверждение хранения данных в России.
5. Если срок обжалования пропущен по уважительной причине, приложите ходатайство о его восстановлении с обоснованием.

Логика защиты при этом не изменилась: спор всё так же идёт о том, выполнил ли оператор требования закона о персональных данных. Изменился только маршрут жалобы, и он стал короче и проще прежнего арбитражного.

Что это значит для малого бизнеса и самозанятых

Для большинства владельцев сайтов смена подсудности означает простую вещь: дело о персональных данных стало ближе, быстрее и менее предсказуемым. Раньше рядовой предприниматель имел шанс, что экономический суд внимательно разберётся в специфике его деятельности. Теперь дело уйдёт мировому судье, который рассмотрит его в общем потоке административных дел, и пройдёт это быстрее, чем в арбитраже.

Отдельно про тех, кто работает как самозанятый или физическое лицо. В статье 13.11 субъекты ответственности разделены: граждане, должностные лица, индивидуальные предприниматели (их выделяют отдельно лишь в части составов) и юридические лица. Это разделение принципиально для размеров штрафа. Оборотные штрафы, тот самый процент от выручки за повторную утечку, применяются только к юридическим лицам. Гражданин или самозанятый не платит процент от выручки и не несёт ответственность по «юрлицовой» вилке: для него предусмотрены фиксированные суммы, и они кратно ниже корпоративных. Поэтому пугать владельца лендинга «штрафом до 500 миллионов за отсутствие согласия» неверно: это совсем другой состав и другой субъект.

Из этого следует практический вывод. Самый разумный шаг: не дожидаться, когда дело дойдёт до какого бы то ни было суда, а закрыть основания заранее. Большинство дел по статье 13.11 вырастают из вещей, которые видны на сайте снаружи и устраняются без юриста: нет политики обработки, нет корректного согласия в форме, на странице стоят иностранные счётчики, нарушающие локализацию, не подано уведомление в Роскомнадзор. Пока этих нарушений нет, нет и повода для дела, независимо от того, мировой судья его рассматривал бы или арбитраж.

Как проверить свой сайт

Поскольку наказывают в итоге за невыполненные обязанности оператора, а не за абстрактную «работу с данными», проверять надо именно эти обязанности. Практический минимум самопроверки такой: убедитесь, что на сайте опубликована политика обработки персональных данных и она доступна по ссылке; что в каждой форме, собирающей данные, есть корректное согласие, а не просто галочка «согласен со всем»; что вы подали уведомление в Роскомнадзор о намерении обрабатывать данные; что данные россиян не уходят в первую очередь в зарубежные базы через иностранные счётчики и виджеты.

Пройти этот список вручную по всем страницам долго, а часть нарушений, вроде иностранных скриптов в коде, на глаз вообще не видна. Быстрее увидеть все основания для штрафа разом автоматически. На странице проверки сайта на соответствие 152-ФЗ сканер пройдёт по вашему сайту и покажет, чего не хватает: нет ли политики, корректно ли собрано согласие, поданы ли уведомления, нет ли иностранных сервисов, нарушающих локализацию. Это не заменит индивидуальную правовую оценку, но точно покажет, с каких пунктов начинать, чтобы дело о персональных данных вообще не дошло до мирового судьи.

Коротко

С 1 января 2026 года дела о штрафах за персональные данные снова рассматривают мировые судьи, а не арбитражные суды: это сделал закон 508-ФЗ, исключив статью 13.11 из перечня арбитражной подсудности в статье 23.1 КоАП. Сами размеры штрафов он не менял, их ужесточил раньше другой закон, 420-ФЗ. Для бизнеса перемена скорее минус: исчезла дорога до экономической коллегии Верховного Суда, процесс стал короче и менее предсказуемым, а обжалование теперь идёт в районный суд, а не по арбитражной вертикали. Не смешивайте три закона: обязанности задаёт 152-ФЗ, штраф назначают по статье 13.11 КоАП, а кто судит, решает статья 23.1 КоАП. Самая надёжная защита: не доводить до суда, а закрыть основания для штрафа на сайте заранее, проверив политику, согласие, уведомление и иностранные сервисы.