Исследование Комитета, а не официальная статистика. Авторов и посты не называем: важна закономерность, а не конкретные люди.

Что мы проверили

Мы с командой Комитета взяли 82 аккаунта Instagram*, которые пишут о персональных данных, и их 100 самых просматриваемых постов за три месяца, с конца июля по 20 октября 2026 года. Про персональные данные из них 78.

Каждый пост сверили с текстом КоАП в редакции от 04.08.2026 и 152-ФЗ. Ошибкой считали расхождение с нормой. Упрощение, которое смысла нормы не меняет, ошибкой не считали. Отдельно оценили, насколько пост давит страхом: 0 баллов, если давления нет, 3, если пост запугивает.

Чем страшнее, тем чаще ошибка

Ошибка в норме нашлась в 18 постах из 78, почти в каждом четвёртом. И доля ошибок растёт вместе с давлением:

Объяснение простое. Чтобы напугать, нужна большая сумма и уверенный прогноз. Норма редко даёт и то и другое, поэтому её приходится «усиливать».

Три ошибки, которые повторяются

Миф: Самозанятому грозит штраф от 300 тысяч рублей.

Как на самом деле: самозанятый без статуса ИП отвечает как гражданин. За неподачу уведомления в Роскомнадзор гражданину грозит 5–10 тыс. ₽ (ч. 10 ст. 13.11 КоАП), за обработку без законного основания 10–15 тыс. ₽ (ч. 1). А 300 тысяч рублей соответствуют верхней границе ч. 10 для организаций или нижней границе ч. 2 для них же. Размер штрафа определяется с учётом обстоятельств дела.

Миф: Штрафы до 1,5 млн рублей.

Как на самом деле: это верхняя граница ч. 2.1 — повторная обработка без согласия, и только для организации. ИП по той же части — 0,5–1 млн ₽, самозанятому — 15–30 тыс. ₽. Но нарушения по одной части, выявленные в одной проверке, наказываются как одно (ч. 5 ст. 4.4 КоАП). По разным частям назначают одно наказание в пределах более строгой санкции (ч. 6 ст. 4.4).

Миф: Согласие можно вписать в договор или пользовательское соглашение.

Как на самом деле: с 1 сентября 2025 года согласие оформляется отдельно от других документов (ч. 1 ст. 9 152-ФЗ в редакции 156-ФЗ). При этом часто согласие не нужно вовсе: если данные нужны, чтобы выполнить договор с самим человеком, основание уже есть (п. 5 ч. 1 ст. 6 152-ФЗ).

Кто пишет о персональных данных

Узнать, кто стоит за постом, удаётся редко. Мы отдельно проверили 83 аккаунта авторов: у 63 нет сайта с реквизитами, организацию или ИП в государственных реестрах удалось подтвердить у 11.

В TenChat мы открыли 44 профиля авторов, которые пишут о персональных данных. Обучение по защите персональных данных или информационной безопасности не указано ни в одном.

Это не значит, что все эти авторы ошибаются. Это значит, что читателю почти нечем проверить, кому он доверяет.

Пять проверок, прежде чем пугаться

1. Есть ли норма: закон, статья, часть. «Штраф до 1,5 млн» без номера статьи ничего не сообщает.
2. Свежая ли она. С 30 мая 2025 года действуют новые составы ст. 13.11 КоАП. Статья 2023 года со старыми суммами устарела.
3. Про вас ли сумма. У организации, ИП и самозанятого суммы разные, одна цифра «для всех» почти всегда упрощение. И даже верная вилка не приговор: размер штрафа определяется с учётом обстоятельств дела.
4. Можно ли проверить автора. Полное имя, организация в ЕГРЮЛ или ЕГРИП, документы об образовании. Стаж проверяется датами: год диплома, год регистрации компании.
5. Нет ли прогнозов. Ни «вас скоро проверят», ни «гарантируем ноль штрафов» честный специалист не обещает.

Разбор эксперта

Сумма штрафа без номера статьи и без статуса нарушителя ничего не говорит о вашем риске. Риск зависит от того, какие данные вы обрабатываете, на каком основании и какие документы у вас уже есть.

Поэтому заключение Комитета начинается не с суммы, а с вашей организации: что требует закон именно от неё. Каждое заключение я подписываю лично.

Частые вопросы

Складываются ли штрафы за несколько нарушений, найденных в одной проверке?

Нарушения по одной части статьи, выявленные в одном контрольном мероприятии, наказываются как одно (ч. 5 ст. 4.4 КоАП). По разным частям назначают одно наказание в пределах более строгой санкции (ч. 6 ст. 4.4). Размер штрафа определяется с учётом обстоятельств дела.

Можно ли вписать согласие на обработку персональных данных в договор?

Нет. С 1 сентября 2025 года согласие оформляется отдельно от других документов (ч. 1 ст. 9 152-ФЗ в редакции 156-ФЗ). Но часто оно и не нужно: если данные нужны для исполнения договора с самим человеком, основание уже есть (п. 5 ч. 1 ст. 6 152-ФЗ).

Как проверить сам Комитет?

ООО «Комитет по информационной и правовой безопасности», ИНН 7805672696, в реестре операторов персональных данных под № 78-23-058913, работаем с 2016 года. Документы руководителя об образовании выложены на странице «О Комитете». Мы не являемся государственным контролирующим органом и не аффилированы с Роскомнадзором. Если вам пришло наше извещение, как его проверить, рассказываем на странице «Вам пришло извещение».

* Instagram принадлежит компании Meta, признанной экстремистской организацией и запрещённой в России.