Часть 2.1 ст. 13.11: 300-500 тыс. за нарушение состава согласия

С 30 мая 2025 года ст. 13.11 КоАП насчитывает 18 частей. Часть 2.1 — одна из новых «повторных» норм, введённых ФЗ-420 от 30.11.2024. Для генерального директора это означает: первый штраф по ч. 2 за неправильное согласие стал не финальной точкой, а предупреждением. Второй эпизод — уже ч. 2.1 с диапазоном 300–500 тыс. рублей. Третья утечка при таком бэкграунде открывает путь к оборотному штрафу по ч. 15: от 1 до 3% годовой выручки, не менее 20 млн рублей и не более 500 млн рублей. В этой статье разобраны состав нарушения по ч. 2.1, условия применения, связь с ч. 15, способы снижения штрафа и актуальная подсудность после ФЗ-508 от 28.12.2025.

Что такое часть 2.1 ст. 13.11 и чем она отличается от части 2?

Часть 2 ст. 13.11 КоАП фиксирует базовый состав: обработка персональных данных без письменного согласия субъекта, когда оно обязательно, либо с согласием, которое не содержит всех обязательных реквизитов. Штраф по ч. 2 для юридического лица — от 300 000 до 700 000 рублей.

Часть 2.1 — квалифицирующий состав: то же нарушение, совершённое повторно лицом, уже привлечённым по ч. 2. Санкция для юридического лица — от 300 000 до 500 000 рублей. На первый взгляд диапазон уже, чем по ч. 2. Но логика иная: ч. 2.1 является «триггером истории», которая при следующем инциденте с утечкой способна активировать оборотный штраф по ч. 15.

Ключевое условие повторности: предыдущее постановление по ч. 2 не должно быть снято или погашено на момент нового нарушения. Срок погашения административного правонарушения — один год с даты исполнения постановления (ст. 4.6 КоАП). То есть если с момента уплаты штрафа по ч. 2 прошёл год без новых нарушений — повторность отсутствует.

Какие нарушения состава согласия влекут ответственность по ч. 2 и 2.1?

Роскомнадзор при проверке сверяет текст согласия с требованиями ч. 4 ст. 9 ФЗ-152. Типичные нарушения, которые фиксируются в протоколах:

• Согласие объединено с договором или офертой — нарушение требования об отдельном документе (действует с 01.09.2025 по ФЗ-156).
• Отсутствует перечень конкретных действий с персональными данными: написано «обработка», а не «сбор, хранение, передача третьим лицам».
• Не указан срок обработки или условие её прекращения.
• Нет способа отзыва согласия — или он описан настолько размыто, что фактически недоступен субъекту.
• В перечне данных — избыточные категории, не связанные с заявленной целью (нарушение принципа соответствия по ст. 5 ФЗ-152).
• Согласие подписано работником при приёме на работу и покрывает обработку для целей, возникших позднее, — без отдельного документа под каждую цель.

Каждый из этих дефектов достаточен для протокола по ч. 2. Повторение — основание для ч. 2.1. При этом нарушение может касаться разных субъектов или разных систем — повторность определяется по факту второго привлечения, а не по тождественности ситуации.

Как часть 2.1 связана с оборотным штрафом по части 15?

Часть 15 ст. 13.11 КоАП — оборотный штраф за повторную утечку персональных данных. Применяется к лицу, ранее привлечённому по ч. 12, 13, 14, 15, 16, 17 или 18 ст. 13.11. Само по себе наличие постановления по ч. 2.1 не активирует ч. 15 напрямую.

Логика риска для генерального директора иная: компания с постановлением по ч. 2.1 в досье находится под повышенным вниманием Роскомнадзора. При последующей утечке данных, затрагивающей от 1 000 субъектов и более, РКН возбудит дело уже по ч. 12–14. Если до этого компания уже получала штраф по ч. 12–14, следующий эпизод квалифицируется по ч. 15. История нарушений по ч. 2 и 2.1 не активирует оборотный штраф, но формирует профиль ненадёжного оператора — это влияет на усмотрение суда при назначении штрафа в диапазоне и на доступность смягчений по ст. 4.1 КоАП.

Дополнительный риск — уголовная ответственность. Ст. 272.1 УК РФ, введённая ФЗ-421 от 30.11.2024 и действующая с 11.12.2024, устанавливает ответственность за незаконное использование, передачу, сбор или хранение компьютерной информации, содержащей персональные данные. По ч. 5 — за тяжкие последствия — до 10 лет лишения свободы. Генеральный директор, подписывающий документы на обработку ПДн, находится в зоне риска при умышленных нарушениях.

Какие сценарии приводят к протоколу по ч. 2.1?

Сценарий 1. Повторное нарушение состава согласия работников. Компания в 2024 году получила штраф по ч. 2 за то, что согласие работника на передачу данных в зарплатный банк было включено в трудовой договор без выделения в отдельный документ. После ФЗ-156 (с 01.09.2025) требование об отдельном документе стало законодательно закреплённым. Проверка РКН в конце 2025 года обнаруживает: новые работники по-прежнему подписывают единый пакет, согласие не выделено. Итог — протокол по ч. 2.1, штраф 300–500 тыс. рублей. Стратегия: до проверки провести аудит пакета кадровых согласий, заменить унифицированные формы на отдельные документы под каждую цель.

Сценарий 2. Нарушение в интернет-магазине после предупреждения. Ритейлер в 2025 году получил постановление по ч. 2 за отсутствие в форме регистрации на сайте перечня конкретных действий с данными. Штраф уплачен. Через восемь месяцев — повторная проверка: форма обновлена, но в новом мобильном приложении — прежний шаблон без перечня действий и без срока обработки. Протокол по ч. 2.1. Довод «мы исправили сайт» не помогает: нарушение зафиксировано в другом канале сбора данных, но субъект тот же — клиент. Стратегия: при устранении нарушения охватывать все точки сбора ПДн, а не только ту, которую проверяли.

Сценарий 3. Устаревшее согласие при смене CRM. Производственная компания (Приволжский ФО, начало 2026 года) сменила CRM-систему и перенесла базу клиентов. Согласия, полученные в старой системе, были оформлены корректно. Однако при переносе в новый интерфейс поля «срок обработки» и «способ отзыва» не были автоматически сопоставлены: в новых карточках эти поля оказались пустыми. РКН при плановой проверке квалифицировал это как обработку без надлежащего согласия. Поскольку компания ранее получала штраф по ч. 2 за нарушения в email-рассылке, новый протокол был составлен по ч. 2.1. Мировой судья назначил штраф в размере 350 тыс. рублей. Стратегия: при миграции данных между системами проводить верификацию полноты реквизитов согласий.

Можно ли снизить штраф по ч. 2.1 или заменить его предупреждением?

Замена штрафа предупреждением по ст. 4.1.1 КоАП возможна для микропредприятий и субъектов малого предпринимательства при первичном нарушении. Часть 2.1 — уже повторное нарушение по определению. Поэтому ст. 4.1.1 к ч. 2.1 неприменима: повторность прямо исключает замену.

Снижение штрафа ниже минимума (ниже 300 тыс. рублей) возможно в исключительных случаях через суд по ст. 4.1 КоАП — при несоразмерности санкции характеру нарушения. Судебная практика по новым нормам ФЗ-420 ещё формируется; суды применяют такое снижение редко.

Более реалистичные инструменты защиты:

• Оспорить повторность — если постановление по ч. 2 было вынесено более года назад и на момент нового нарушения срок погашения истёк (ст. 4.6 КоАП). В этом случае новый эпизод квалифицируется по ч. 2, а не по ч. 2.1.
• Оспорить состав нарушения — доказать, что согласие содержало все обязательные реквизиты ст. 9 ФЗ-152, а инспектор квалифицировал дефект расширительно.
• Применить смягчающие обстоятельства по ч. 1 ст. 4.2 КоАП: добровольное устранение нарушения, содействие проверке, признание вины.
• Доказать инвестиции в информационную безопасность: по примечанию 3.4-2 к ст. 4.1 КоАП, при вложениях в ИБ не менее 0,1% выручки за три предшествующих года штраф по оборотным составам (ч. 15, ч. 18) снижается до одной десятой минимума. К ч. 2.1 эта льгота напрямую не применяется, но демонстрация системного подхода к ИБ учитывается судом при назначении штрафа в диапазоне 300–500 тыс. рублей.

Какова подсудность дел по ст. 13.11 после ФЗ-508?

С 30.05.2025 по 27.12.2025 дела по ст. 13.11 КоАП рассматривали арбитражные суды субъектов федерации. ФЗ-508 от 28.12.2025 вернул подсудность мировым судьям. Это означает: с 28.12.2025 протоколы по ч. 2.1 направляются мировому судье по месту совершения правонарушения или месту нахождения юридического лица.

Для генерального директора это практически важно: мировой суд — менее формализованная площадка, чем арбитраж. Апелляция подаётся в районный суд, кассация — в региональный суд общей юрисдикции. Сроки обжалования — 10 суток с момента получения копии постановления (ст. 30.3 КоАП). Пропуск срока без уважительной причины закрывает возможность обжалования.

Кейс из практики. IT-компания (Центральный ФО, осень 2025 года) получила постановление по ч. 2 ст. 13.11 за согласие пользователей, объединённое с пользовательским соглашением. Штраф уплачен. Через семь месяцев — новая проверка после жалобы субъекта: в мобильном приложении введена новая форма регистрации с тем же дефектом. Мировой судья квалифицировал нарушение по ч. 2.1 и назначил штраф в размере 400 тыс. рублей. Компания обжаловала постановление в районном суде, представив доказательства начала работ по разработке отдельных форм согласия. Районный суд снизил штраф до 300 тыс. рублей, применив смягчающие обстоятельства по ст. 4.2 КоАП.

Кейс из реестра (case_S5). В деле с участием микропредприятия хакеры похитили базу персональных данных работников и соискателей (менее 1 000 человек). РКН возбудил дело по ч. 1 ст. 13.11. Поскольку предыдущих нарушений не было, компания получила предупреждение по ст. 4.1.1 КоАП. Принцип ключевой: первичность нарушения — обязательное условие для замены штрафа предупреждением. При ч. 2.1 этот механизм недоступен.

Услуги DATUM по теме

• Защита при штрафе в арбитраже — оспаривание протоколов и постановлений по ст. 13.11 КоАП, применение ст. 4.1 и 4.1.1.
• Аудит соответствия 152-ФЗ — проверка состава согласий и всего пакета ОРД по 38 пунктам.
• Сопровождение проверок РКН — представление интересов при плановых и внеплановых проверках Роскомнадзора.

Частые вопросы

1. Какие штрафы по ст. 13.11 КоАП действуют с 30.05.2025?

Статья 13.11 КоАП в редакции ФЗ-420 от 30.11.2024 содержит 18 частей. За первичное нарушение состава согласия (ч. 2) — 300 000–700 000 рублей для юридических лиц. За повторное (ч. 2.1) — 300 000–500 000 рублей. За утечку данных от 1 000 субъектов (ч. 12) — 3–5 млн рублей. За повторную утечку (ч. 15, оборотный) — 1–3% выручки, не менее 20 млн рублей, не более 500 млн рублей. Нормы действуют с 30.05.2025; к нарушениям, совершённым до этой даты, применяются старые редакции.

2. Что такое оборотный штраф 1–3% по ч. 15 ст. 13.11?

Оборотный штраф по ч. 15 ст. 13.11 КоАП применяется при повторной утечке персональных данных — когда компания уже привлекалась по ч. 12, 13, 14, 15, 16, 17 или 18. Размер — от 1 до 3% совокупной выручки за предшествующий календарный год, но не менее 20 млн рублей и не более 500 млн рублей. Льгота по примечанию 3.4-2 к ст. 4.1 КоАП (инвестиции в ИБ не менее 0,1% выручки за три года) снижает штраф до одной десятой минимума — но не ниже 15 млн рублей и не выше 50 млн рублей.

3. Когда применяется минимум 20 млн рублей по ч. 15?

Минимум 20 млн рублей по ч. 15 ст. 13.11 КоАП применяется, когда процент от выручки даёт сумму ниже этого порога. Например, при выручке 500 млн рублей 1% составит 5 млн рублей — суд всё равно назначит не менее 20 млн рублей. При выручке свыше 2 млрд рублей 1% уже превышает минимум, и штраф рассчитывается процентно. Максимум 500 млн рублей ограничивает штраф для компаний с очень высокой выручкой.

4. Можно ли заменить штраф по ч. 2.1 на предупреждение?

Нет. Статья 4.1.1 КоАП допускает замену административного штрафа предупреждением только при первичном нарушении для микропредприятий и субъектов МСП. Часть 2.1 ст. 13.11 — это повторное нарушение по определению. Поэтому ст. 4.1.1 к ч. 2.1 неприменима. Снижение штрафа ниже минимума возможно через ст. 4.1 КоАП при доказанной несоразмерности, но суды применяют это исключительно.

5. Какая подсудность дел по ст. 13.11 после ФЗ-508 от 28.12.2025?

С 28 декабря 2025 года дела по ст. 13.11 КоАП рассматривают мировые судьи — по месту совершения правонарушения или месту нахождения юридического лица. В период с 30.05.2025 по 27.12.2025 дела рассматривались арбитражными судами. Апелляция на постановление мирового судьи подаётся в районный суд в течение 10 суток с момента получения копии постановления (ст. 30.3 КоАП).

Итог

Часть 2.1 ст. 13.11 КоАП — это не технический штраф за формальный дефект документа, а сигнал системной проблемы: компания нарушала требования к согласию дважды. Диапазон 300–500 тыс. рублей — управляемая сумма, но с учётом ужесточения с 01.09.2025 (ФЗ-156 об отдельном документе) риск повторных нарушений для компаний с большим числом точек сбора данных существенно вырос.

Юристы DATUM сопровождают дела по ст. 13.11 КоАП на всех стадиях: от составления возражений на протокол до обжалования постановления у мирового судьи и в районном суде. Помимо защиты — проводим аудит согласий и ОРД, чтобы исключить повторные нарушения.

19 сентября 2027 года