Ответственность за нарушения при работе с персональными данными делится на несколько видов, и применяемый вид зависит от конкретного нарушения. За обработку без согласия, без уведомления Роскомнадзора, нарушение сроков хранения и другие подобные нарушения применяется административная ответственность по статье 13.11 КоАП РФ - суммы штрафов для юрлиц различаются по составам и с 30 мая 2025 года выросли.
Отдельно закон выделяет утечки данных - за них предусмотрены свои, более высокие штрафы, а при повторной утечке - оборотные штрафы, привязанные к выручке компании. Есть и уголовная ответственность по статье 272.1 УК РФ, но она наступает не за формальное нарушение процедуры, а за умышленный незаконный сбор, использование или распространение персональных данных - это уже не про забытую галочку в форме, а про сознательные действия.
Плюс к этому пострадавший субъект персональных данных вправе через суд требовать компенсации морального вреда, даже если административный штраф компания уже заплатила - это отдельное основание, не входящее в сумму штрафа. Для небольшого сайта на старте самый реальный риск - именно 13.11 КоАП за отсутствие уведомления в Роскомнадзор, политики конфиденциальности и корректных форм согласия, а не уголовная статья.