Арбитраж по 13.11 в 2025: что было до ФЗ-508

ФЗ-420 от 30.11.2024 расширил ст. 13.11 КоАП с 7 до 18 частей и ввёл оборотный штраф (ч. 15). Одновременно подсудность перешла от мировых судей к арбитражным судам. Период с 30.05.2025 по 27.12.2025 — единственный в истории 152-ФЗ, когда крупный бизнес оспаривал протоколы РКН в арбитраже. ФЗ-508 от 28.12.2025 вернул дела мировым судьям, но семь месяцев арбитражной практики дали юристам конкретные ориентиры по снижению штрафов, применению смягчающих обстоятельств и тактике защиты.

Почему дела по ст. 13.11 пошли в арбитраж и почему вернулись к мировым?

До вступления в силу ФЗ-420 дела по ст. 13.11 рассматривали мировые судьи. Это работало при максимальном штрафе 500 000 ₽ по старой редакции ч. 9. Когда ФЗ-420 поднял потолок до 500 млн ₽ (ч. 15, оборотный), законодатель счёл мировых судей ненадлежащим форумом для споров такого масштаба и отнёс дела к арбитражу.

Однако практика показала проблему: физические лица и индивидуальные предприниматели, а также малый бизнес оказались в арбитраже, где процессуальные требования выше, а издержки больше. ФЗ-508 от 28.12.2025 исправил ситуацию, вернув подсудность мировым судьям. С 28.12.2025 новые дела по ст. 13.11 снова рассматривают мировые судьи.

Для юриста это означает: прецеденты, вынесенные арбитражными судами в мае–декабре 2025 года, существуют и оцениваются мировыми судьями при аналогичных обстоятельствах. Ссылаться на них в жалобах и отзывах — допустимо и целесообразно.

Что арбитражные суды решали по новым частям ст. 13.11 в 2025 году?

За семь месяцев арбитражные суды рассмотрели несколько десятков дел по новым составам ст. 13.11. Практика неоднородна, но несколько устойчивых тенденций прослеживаются.

Ч. 8 — нарушение локализации (1–6 млн ₽). Суды проверяли, действительно ли первичный сбор и систематизация российских ПДн производились за рубежом, или лишь резервная копия хранилась в иностранном облаке. Во втором случае несколько судов отказали РКН в квалификации по ч. 8, переквалифицировав деяние на ч. 1 (150–300 тыс. ₽). Различие принципиально: разрыв в санкции — на порядок.

Ч. 12–14 — утечки (3–15 млн ₽). Суды в первую очередь проверяли, соответствует ли заявленное РКН число субъектов фактическому объёму компрометации. В деле о платформе инвестпроектов (Арбитражный суд Санкт-Петербурга и Ленинградской области, дело № А56-4733/2026) суд установил, что утечка затронула около 70 000 субъектов, — квалификация по ч. 14 (более 100 000 субъектов) не подтвердилась; при этом суд применил смягчающие обстоятельства.

Ч. 11 — неуведомление об утечке (1–3 млн ₽). Суды разграничивали просрочку первичного уведомления (24 ч по ч. 3.1 ст. 21 ФЗ-152) и просрочку отчёта о расследовании (72 ч по Приказу РКН №187). Это два самостоятельных нарушения с самостоятельными санкциями, которые могут суммироваться.

Как суды применяли ст. 4.1.1 и ст. 4.1 КоАП в делах по 13.11?

Арбитражные суды активно применяли ст. 4.1.1 КоАП (замена штрафа на предупреждение) к микропредприятиям и субъектам МСП при первичном нарушении и отсутствии вреда. Исключение — ч. 15 и ч. 18 ст. 13.11 (оборотные составы): по ним замена на предупреждение прямо запрещена.

По ч. 4.1 КоАП суды учитывали инвестиции компании в информационную безопасность как смягчающее обстоятельство. Примечание 3.4-2 к ст. 4.1 КоАП, введённое ФЗ-420, прямо предусматривает: если оператор инвестировал в ИБ не менее 0,1% совокупной выручки за три предшествующих года, штраф по оборотным составам (ч. 15, ч. 18) составляет одну десятую минимального размера — но не менее 15 млн ₽ и не более 50 млн ₽. Это единственный инструментальный способ уйти ниже порога в 20 млн ₽ по оборотным составам.

Ключевое условие применения льготы — документальное подтверждение расходов на ИБ: договоры с подрядчиками, акты, платёжные поручения, отчёты о внедрении СЗИ по Приказу ФСТЭК №21. Суды отказывали в льготе, когда компания представляла только бухгалтерские справки без привязки к конкретным проектам защиты.

Типовые ситуации в арбитражных делах по 13.11: три сценария

Сценарий 1. Утечка произошла до 30.05.2025 — применяется старая редакция ст. 13.11. Ситуация: РКН возбудил дело в 2025 году по факту утечки декабря 2024 года. Доказательства: дата обнаружения инцидента, дата уведомления РКН. Вероятный исход: суд квалифицирует по старой редакции ч. 1 ст. 13.11 (максимум 75 000 ₽ для юрлица по нормам до ФЗ-420). Стратегия: зафиксировать дату события до 30.05.2025, ходатайствовать о применении мягкого закона по ст. 1.7 КоАП. Именно так произошло в деле АС Москвы № А40-263126/2025: утечка 26 млн записей обошлась штрафом в 150 000 ₽ — минимальным по старым нормам.

Сценарий 2. Компания уведомила РКН об утечке, но с просрочкой. Ситуация: CISO зафиксировал инцидент в пятницу вечером, уведомление РКН направлено в понедельник утром — через 60 часов вместо 24. Доказательства: журналы SIEM, тикеты в системе управления инцидентами, метка времени отправки уведомления. Вероятный исход: протокол по ч. 11 ст. 13.11 (1–3 млн ₽). Стратегия: представить доказательства технической сложности идентификации инцидента и направление уведомления сразу после подтверждения факта утечки. Арбитражные суды снижали штраф до минимума при документированной оперативности реагирования.

Сценарий 3. Компания не стоит в реестре операторов — и при этом произошла утечка. Ситуация: РКН возбуждает два дела: по ч. 10 (неуведомление о намерении обрабатывать, 100–300 тыс. ₽) и по ч. 12–14 (по объёму утечки, 3–15 млн ₽). Суммирование санкций по совокупности — правило, а не исключение. Стратегия: параллельно подать уведомление о включении в реестр (Приказ РКН №180), устранить нарушение до рассмотрения дела — это фиксируется судом как смягчающее обстоятельство по ст. 4.2 КоАП.

Как применялись индикаторы риска РКН при инициировании проверок в 2025 году?

РКН использует индикаторы риска для инициирования внеплановых проверок без согласования с прокуратурой (Постановление Правительства РФ о системе управления рисками в сфере ПДн). Публично известные индикаторы: сообщение в СМИ или социальных сетях об утечке данных оператора; жалоба субъекта, подтверждённая двумя и более независимыми источниками; появление базы данных оператора в открытом доступе или даркнете.

В 2025 году арбитражные суды рассматривали вопрос о законности проведения внеплановой проверки в нескольких делах. Позиция судов: если проверка инициирована на основании индикатора риска, зафиксированного в соответствующем НПА, — она законна вне зависимости от того, уведомлял ли оператор РКН самостоятельно. Ссылка на «профвизит» как замену проверки в этот период не работала: РКН применял инструмент профилактических визитов до выявления нарушений, а при наличии индикатора — инициировал именно проверку.

Мораторий на плановые проверки бизнеса (Постановление Правительства РФ №336 от 10.03.2022 и последующие продления) не распространялся на внеплановые проверки РКН по ПДн, инициированные по индикаторам риска. Это подтвердили арбитражные суды в нескольких делах 2025 года.

Практика по делам 2025 года: два показательных кейса

Кейс 1. Арбитражный суд Санкт-Петербурга и Ленинградской области рассматривал дело цифровой платформы инвестпроектов (дело № А56-4733/2026, март 2026). Утечка около 70 000 субъектов (ФИО, должность, служебный email, телефон) в результате хакерской атаки. РКН квалифицировал по ч. 14 ст. 13.11 КоАП (более 100 000 субъектов, штраф 10–15 млн ₽). Суд установил, что число затронутых субъектов не достигает порога ч. 14, применил смягчающие обстоятельства. Кейс стал ориентиром при оспаривании квалификации по объёму утечки.

Кейс 2. Арбитражный суд Москвы рассмотрел дело (№ А40-351064/2025) об утечке более 100 000 субъектов, связанной с образовательной платформой. Квалификация по ч. 14 ст. 13.11 (штраф 10–15 млн ₽) подтвердилась, однако суд применил ст. 4.1.2 КоАП: оператор имел статус, аналогичный микропредприятию по расчётным показателям, и штраф был исчислен по правилам для ИП — в итоге назначено 400 000 ₽. Кейс наглядно показывает: при наличии оснований для ст. 4.1.2 разрыв между заявленной санкцией и реально назначенной — на порядок.

Услуги DATUM по теме

• Защита при штрафе в арбитраже — оспаривание протокола и постановления по ст. 13.11 КоАП, применение ст. 4.1 и 4.1.1.
• Сопровождение проверок РКН — подготовка к проверке, представление интересов оператора, обжалование предписания.
• Аудит соответствия 152-ФЗ — выявление нарушений до прихода РКН, приоритизированный план устранения.

Частые вопросы

1. Как подготовиться к проверке Роскомнадзора?

Подготовка включает несколько блоков: проверка актуальности уведомления в реестре операторов ПДн (pd.rkn.gov.ru), наличие и содержание политики обработки ПДн по ч. 2 ст. 18.1 ФЗ-152, комплект отдельных согласий работников в редакции с 01.09.2025 (ФЗ-156), приказ о назначении ответственного по ст. 22.1 ФЗ-152, регламент реагирования на утечки с обеспечением 24-часового уведомления РКН. Арбитражные суды в 2025 году последовательно учитывали наличие этих документов как смягчающее обстоятельство при назначении штрафа.

2. Какие индикаторы риска использует РКН для внеплановых проверок?

Публично известные индикаторы: публикация в СМИ или социальных сетях сведений об утечке данных оператора; жалоба субъекта, подтверждённая двумя и более независимыми источниками; обнаружение базы данных оператора в открытом доступе или даркнете. Наличие индикатора риска позволяет РКН инициировать внеплановую проверку без согласования с прокуратурой и без привязки к мораторию на плановые проверки.

3. Можно ли отказаться отвечать на запрос Роскомнадзора?

Нет. Непредставление сведений по запросу РКН в рамках проверки образует самостоятельный состав административного правонарушения. Ответить необходимо в установленный срок; если срок объективно недостаточен — направить мотивированное ходатайство о продлении. Игнорирование запроса суды квалифицируют как отягчающее обстоятельство при рассмотрении основного дела по ст. 13.11 КоАП.

4. Что грозит за невыполнение предписания РКН?

Невыполнение предписания регулятора образует отдельный состав по ст. 19.5 КоАП (штраф для юрлиц до 500 000 ₽), а также может служить основанием для повторного возбуждения дела по ст. 13.11 с квалификацией нарушения как повторного — что при наличии утечки ведёт к оборотному штрафу по ч. 15 ст. 13.11 (от 20 до 500 млн ₽).

5. Куда обжаловать постановление РКН после ФЗ-508?

С 28.12.2025 постановления по ст. 13.11 вновь выносят мировые судьи. Жалоба на постановление мирового судьи подаётся в районный суд по месту рассмотрения дела в течение 10 суток с момента вручения постановления (ч. 1 ст. 30.3 КоАП). Постановления, вынесенные арбитражными судами в период с 30.05.2025 по 27.12.2025, обжалуются по правилам АПК РФ — в арбитражный суд апелляционной инстанции.

Итог

Семимесячный арбитражный период по делам ст. 13.11 КоАП (30.05–27.12.2025) создал первый массив судебной практики по новым составам — от нарушений локализации до крупных утечек. Суды отработали применение ст. 4.1.1 КоАП для МСП, льготы по примечанию 3.4-2 к ст. 4.1 при инвестициях в ИБ и разграничение составов по числу субъектов утечки.

DATUM сопровождал операторов в арбитражных делах этого периода и продолжает защиту в мировых судах после ФЗ-508. Прецеденты арбитражного периода используются в текущих делах как обоснование позиции по смягчающим обстоятельствам и квалификации.