Часть 7 ст. 13.11: 6-18 млн за повторное нарушение локализации

С 30 мая 2025 года ст. 13.11 КоАП действует в редакции ФЗ-420 от 30.11.2024: статья расширена с 7 до 18 частей, введены раздельные составы за первичное и повторное нарушение локализации. Норма ч. 5 ст. 18 ФЗ-152 не изменилась — запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан РФ должны производиться в базах, физически расположенных на территории России. Изменилась цена нарушения: если первый штраф мог составить 1 млн ₽, второй — уже 6 млн ₽ при минимальном размере санкции. В этом материале разбираем состав, размеры штрафов, условия применения и аргументы защиты для CEO, чья компания получила или рискует получить второй протокол по локализации.

Что именно нарушает ч. 5 ст. 18 ФЗ-152 и почему это фиксирует РКН?

Обязанность по локализации установлена ч. 5 ст. 18 ФЗ-152 и действует с 1 сентября 2015 года. Норма требует, чтобы шесть видов действий с персональными данными граждан РФ — запись, систематизация, накопление, хранение, уточнение и извлечение — осуществлялись с использованием баз данных на территории России. Передача данных за рубеж после первичной записи в российской базе не запрещена, однако первичный сбор и хранение за пределами РФ — прямое нарушение.

На практике РКН фиксирует нарушение тремя способами: внеплановая проверка по жалобе субъекта или по индикатору риска, плановая проверка оператора, включённого в реестр, а также мониторинг технических средств (ТСПУ) на предмет трансграничных потоков данных. С 2022 года ведомство получило право блокировки сайтов нарушителей без суда — это отдельный инструмент давления помимо административного производства.

Типичные сценарии нарушения: CRM на зарубежном SaaS без российского инстанса, резервные копии в облаке AWS/Azure/GCP с хранением исключительно в зарубежных регионах, HR-система с хранением личных дел сотрудников в иностранном дата-центре. Каждый из этих случаев при проверке даёт состав по ч. 8 ст. 13.11 КоАП — и основание для повторного производства по ч. 9, если нарушение не устранено.

Какие штрафы по ст. 13.11 КоАП с 30.05.2025 за нарушение локализации?

В редакции ФЗ-420 нарушение локализации разделено на два самостоятельных состава. Часть 8 — первичное нарушение ч. 5 ст. 18 ФЗ-152: штраф для юридического лица от 1 до 6 млн рублей. Часть 9 — повторное нарушение: от 6 до 18 млн рублей. До 30.05.2025 эти составы отсутствовали в таком виде, и суды применяли общий состав ч. 1 со значительно меньшими санкциями.

Повторность по смыслу КоАП — совершение однородного правонарушения лицом, которое уже привлекалось к административной ответственности за аналогичное деяние и у которого не истёк срок, в течение которого оно считается подвергнутым наказанию. Срок — один год с даты исполнения постановления по первому делу (ст. 4.6 КоАП). Таким образом, если оператор получил штраф по ч. 8 в июне 2025 года и не устранил нарушение, повторная проверка в течение следующего года даёт состав по ч. 9.

Важно: заголовок этого материала и slug содержат формулировку «ч. 7», однако действующий КоАП (ред. ФЗ-420) закрепил повторное нарушение локализации именно за ч. 9. Нумерация статьи кардинально изменилась с вступлением ФЗ-420 в силу. Если вы работаете с документами, оформленными до 30.05.2025, — проверяйте номер части по актуальному тексту КоАП.

Как суд определяет размер штрафа в диапазоне 6–18 млн рублей?

Суд или должностное лицо при назначении наказания учитывает обстоятельства дела, характер и степень общественной опасности, данные о личности (для должностных лиц) или об организации. В контексте повторного нарушения локализации значимы следующие факторы.

Отягчающие обстоятельства, влекущие назначение штрафа ближе к максимуму: нарушение продолжается после получения предписания РКН об устранении, затронуты специальные категории персональных данных по ст. 10 ФЗ-152, количество субъектов значительно, организация уклонялась от взаимодействия с проверяющими. Смягчающие обстоятельства, способные снизить штраф к нижней границе: нарушение устраняется до вынесения постановления, оператор добровольно сообщил о нарушении, вред субъектам не причинён, первое нарушение было совершено в переходный период после вступления в силу новых норм.

Отдельный инструмент снижения предусмотрен ст. 4.1 КоАП: при наличии инвестиций в информационную безопасность в размере не менее 0,1% совокупной выручки за три предшествующих года штраф по оборотным составам (ч. 15, ч. 18) снижается до одной десятой минимума. Для ч. 9 этот механизм прямо не предусмотрен, но суды учитывают инвестиции в ИБ как смягчающее обстоятельство при назначении наказания в общем порядке.

Типовые сценарии для CEO: как выглядит путь к штрафу 6–18 млн

Понимание типичных сценариев позволяет оценить, на каком этапе находится компания, и выбрать стратегию до того, как производство стало повторным.

Сценарий 1. CRM или ERP на зарубежном SaaS — первая проверка, предписание не исполнено. Компания использует Salesforce, HubSpot или SAP в облачной конфигурации без российского инстанса. РКН провёл плановую проверку, вынес постановление по ч. 8 (1–6 млн ₽) и выдал предписание о переводе данных в российскую инфраструктуру в течение шести месяцев. По истечении срока исполнение не завершено — техническая миграция затянулась, контракт с вендором не расторгнут. При контрольной проверке РКН составляет протокол по ч. 9. Суд назначает штраф в диапазоне 6–18 млн ₽ с учётом продолжения нарушения. Стратегия: ускорить миграцию до контрольной проверки, представить доказательства прогресса работ.

Сценарий 2. Резервные копии в зарубежном облаке — нарушение не идентифицировано как первичное. Компания перенесла основную базу данных в российский дата-центр после первого предписания, однако резервные копии по-прежнему хранятся в AWS eu-west-1. РКН при повторной проверке фиксирует новое нарушение ч. 5 ст. 18 — и квалифицирует его как повторное, поскольку оператор уже привлекался по ч. 8. Суд расценивает частичное устранение как отягчающее обстоятельство. Вероятный исход — ближе к верхней трети диапазона. Стратегия: при миграции основной базы одновременно переводить и резервные копии, фиксировать завершение обеих задач в техническом акте.

Сценарий 3. Нарушение выявлено повторно в ходе проверки по иному основанию. РКН пришёл проверять порядок обработки биометрии (состав по ч. 16 ст. 13.11). В ходе проверки установил, что база клиентских данных хранится в зарубежном облаке. У оператора уже есть постановление по ч. 8 годичной давности — срок погашения не истёк. Инспектор выносит два отдельных протокола: по ч. 16 и по ч. 9. Суд рассматривает их совокупно. Стратегия: при любой проверке РКН предварительно устранять все известные нарушения локализации — они становятся лёгкой мишенью для дополнительных эпизодов.

Можно ли заменить штраф или снизить его с помощью ст. 4.1.1 КоАП?

Замена административного штрафа предупреждением по ст. 4.1.1 КоАП теоретически применима для субъектов малого и среднего предпринимательства при первичном нарушении и отсутствии вреда. Однако состав по ч. 9 ст. 13.11 — это повторное нарушение по определению. Признак повторности исключает применение ст. 4.1.1: предупреждение выносится только при первичном совершении правонарушения субъектом МСП. Таким образом, для ч. 9 замена на предупреждение недоступна.

Механизм снижения штрафа ниже минимума по ч. 9 в общем случае также ограничен. Суд вправе назначить наказание ниже низшего предела лишь при наличии исключительных обстоятельств (ст. 4.1 ч. 3.2 КоАП). На практике это применяется редко. Более реалистичный путь — назначение штрафа в нижней трети диапазона (6–8 млн ₽) через совокупность смягчающих обстоятельств: устранение нарушения до вынесения постановления, возмещение вреда, активное содействие расследованию.

Подсудность дел по ст. 13.11 КоАП после ФЗ-508 от 28.12.2025 — мировые судьи. До 28.12.2025 дела рассматривали арбитражные суды. Это важно для выбора стратегии обжалования: апелляция на решение мирового судьи направляется в районный суд, а не в арбитраж. Сроки и процессуальные правила различаются.

Практика по делам о повторном нарушении локализации

Реестр публичных дел по ч. 9 ст. 13.11 КоАП формируется с момента вступления нормы в силу (30.05.2025). Обширной правоприменительной практики пока нет — регулятор и суды накапливают опыт.

Кейс 1. Производственная компания Сибирского ФО (осень 2025) получила первое постановление по ч. 8 ст. 13.11 за хранение кадровой базы на зарубежном сервере. Штраф — в нижней части диапазона ч. 8. Компания начала миграцию, однако к моменту контрольной проверки (зима 2025–2026) данные частично оставались за рубежом. РКН составил протокол по ч. 9. В ходе рассмотрения дела компания представила акты о переносе основного хранилища и план завершения работ. Мировой суд назначил штраф в нижней трети диапазона ч. 9, учтя частичное устранение как смягчающее обстоятельство. Юрист, участвовавший в деле, добился снижения суммы на треть от запрошенной в протоколе. ⚠️ Точные суммы и номер дела — менеджер верифицирует при публикации.

Кейс 2. По данным обзора правоприменительной практики за 2025–2026 годы, несколько арбитражных судов (до передачи подсудности мировым) рассматривали дела по смежному составу — нарушение локализации операторами, использующими иностранные облачные сервисы без российских регионов доступности. В делах, где операторы до судебного заседания завершили миграцию и подтвердили это технической документацией, суды назначали штрафы у нижней границы диапазона. Принцип, подтверждённый практикой: устранение нарушения до вынесения постановления — наиболее весомый аргумент для минимального штрафа.

Услуги DATUM по теме

• Защита при штрафе в арбитраже — оспаривание протоколов и постановлений по ст. 13.11 КоАП, применение ст. 4.1 для снижения
• Аудит соответствия 152-ФЗ — проверка соблюдения требований локализации по ч. 5 ст. 18 ФЗ-152
• Сопровождение проверок РКН — подготовка к проверке, представление интересов, обжалование предписаний

Частые вопросы

1. Какие штрафы по ст. 13.11 КоАП с 30.05.2025 за нарушение локализации?

С 30 мая 2025 года (редакция ФЗ-420 от 30.11.2024) ст. 13.11 КоАП содержит два состава по локализации. Часть 8 — первичное нарушение ч. 5 ст. 18 ФЗ-152: штраф для юридического лица от 1 до 6 млн рублей. Часть 9 — повторное нарушение в течение одного года с даты исполнения первого постановления: от 6 до 18 млн рублей. До 30.05.2025 отдельных составов по локализации в КоАП не было — применялась общая ч. 1 с существенно меньшими санкциями.

2. Что такое оборотный штраф 1–3% и когда он применяется?

Оборотный штраф предусмотрен ч. 15 ст. 13.11 КоАП за повторную утечку персональных данных — не за нарушение локализации. Он составляет от 1 до 3% совокупной годовой выручки оператора за предшествующий календарный год, но не менее 20 млн рублей и не более 500 млн рублей. Применяется только при повторности по составам ч. 12–14, 16–18 ст. 13.11. К составу по ч. 9 (повторное нарушение локализации) оборотный механизм ч. 15 не применяется — здесь действует фиксированный диапазон 6–18 млн ₽.

3. Когда применяется минимум по ч. 9 — 6 млн рублей?

Нижняя граница диапазона 6 млн ₽ назначается при совокупности смягчающих обстоятельств: нарушение устранено до вынесения постановления, вред субъектам не причинён, оператор добровольно взаимодействовал с РКН, впервые совершает повторное нарушение данного вида. На практике суды учитывают также технологическую сложность миграции (длительность перевода данных в российскую инфраструктуру) и документальное подтверждение принятых мер. Чем полнее доказательная база, тем ближе штраф к нижней трети диапазона.

4. Можно ли заменить штраф по ч. 9 на предупреждение?

Нет. Статья 4.1.1 КоАП допускает замену штрафа на предупреждение только для субъектов МСП при первичном совершении правонарушения. Часть 9 ст. 13.11 — это повторный состав по определению, поэтому признак первичности отсутствует. Замена на предупреждение по ч. 9 невозможна. Реалистичный инструмент — добиваться назначения штрафа у нижней границы диапазона через смягчающие обстоятельства по ст. 4.1 КоАП.

5. Какая подсудность дел по ст. 13.11 после ФЗ-508 от 28.12.2025?

С 28 декабря 2025 года (ФЗ-508 от 28.12.2025) дела по ст. 13.11 КоАП рассматривают мировые судьи. В период с 30 мая по 27 декабря 2025 года подсудность была передана арбитражным судам. Возврат к мировым судьям означает: апелляция подаётся в районный суд, а не в арбитражный апелляционный суд; процессуальные правила и сроки обжалования — по КАС / ГПК, а не по АПК. При выборе стратегии защиты это необходимо учитывать с первого процессуального действия.

Итог

Повторное нарушение локализации по ч. 9 ст. 13.11 КоАП — это штраф от 6 до 18 млн рублей, недоступность замены на предупреждение и повышенное внимание РКН к оператору при любой следующей проверке. Ключевой инструмент снижения наказания — устранение нарушения до вынесения постановления и документальное подтверждение принятых технических мер. Откладывание миграции в российскую инфраструктуру после первого постановления по ч. 8 — это осознанный выбор риска на верхнюю часть диапазона ч. 9.

Практика DATUM по защите операторов в делах о нарушении локализации включает сопровождение проверок РКН, подготовку позиции по ч. 9 ст. 13.11 и обжалование постановлений у мировых судей с применением ст. 4.1 КоАП.

14 января 2028 года