Доказательная база защиты в арбитраже по 13.11

Генеральный директор несёт репутационный и финансовый риск одновременно: оборотный штраф по ч. 15 ст. 13.11 КоАП рассчитывается от совокупной годовой выручки, нижняя планка — 20 млн ₽, верхняя — 500 млн ₽. С 30.05.2025 составов 18, а не 7. В этом материале разобраны пять групп доказательств, два реальных сценария и инструменты снижения штрафа через ст. 4.1 и ст. 4.1.1 КоАП.

Что изменилось в ст. 13.11 КоАП с 30.05.2025?

ФЗ-420 от 30.11.2024 перестроил статью с 7 до 18 частей. Логика простая: размер штрафа зависит от числа пострадавших субъектов и факта повторности. Штрафы для юридических лиц по ключевым составам:

• Ч. 12 — утечка от 1 000 до 10 000 субъектов: 3–5 млн ₽.
• Ч. 13 — утечка от 10 000 до 100 000 субъектов: 5–10 млн ₽.
• Ч. 14 — утечка более 100 000 субъектов: 10–15 млн ₽.
• Ч. 15 — оборотный штраф при повторности: 1–3% совокупной выручки за прошлый год, но не менее 20 млн ₽ и не более 500 млн ₽.
• Ч. 17 — утечка биометрических ПДн: 15–20 млн ₽.
• Ч. 11 — неуведомление РКН об утечке в течение 24 часов: 1–3 млн ₽.

Подсудность: с 28.12.2025 (ФЗ-508 от 28.12.2025) дела по ст. 13.11 рассматривают мировые судьи. С 30.05.2025 по 27.12.2025 рассматривали арбитражные суды. Апелляция на постановление мирового судьи — в районный суд, кассация — в суд субъекта.

Какие пять групп доказательств нужны для защиты в арбитраже?

Суд оценивает не факт нарушения — он установлен протоколом РКН. Суд оценивает соразмерность санкции и наличие смягчающих обстоятельств. Поэтому доказательная база строится вокруг пяти групп.

1. Наличие организационно-распорядительной документации (ОРД). Политика обработки ПДн, приказ о назначении ответственного по ст. 22.1 ФЗ-152, регламент реагирования на инциденты, журнал учёта обращений субъектов — всё это фиксирует добросовестность оператора до нарушения. Суды снижают штраф, когда ОРД была на месте и исполнялась.

2. Инвестиции в информационную безопасность. Это ключевой инструмент снижения оборотного штрафа. Примечание 3.4-2 к ст. 4.1 КоАП: если оператор вложил в ИБ не менее 0,1% совокупной выручки за три предшествующих года — штраф по ч. 15 и ч. 18 ст. 13.11 назначается в размере одной десятой минимального, но не менее 15 млн ₽ и не более 50 млн ₽. Доказательства — договоры с ИБ-вендорами, лицензии ФСТЭК, акты выполненных работ, бухгалтерские первичные документы.

3. Оперативное реагирование на инцидент. Уведомление РКН в течение 24 часов по ч. 3.1 ст. 21 ФЗ-152 и отчёт за 72 часа по Приказу РКН №187 — это не просто обязанность, это смягчающее обстоятельство. Суды рассматривают своевременное уведомление как признак добросовестности оператора. Доказательства — распечатка из личного кабинета pd.rkn.gov.ru с отметкой о дате подачи, входящий номер РКН.

4. Устранение нарушения и мер по недопущению. Документы об устранении: приказ об изменении системы защиты, акт проведения технических мер, новый договор с подрядчиком. Фиксируется всё, что было сделано после инцидента и до первого судебного заседания. Это прямое смягчающее обстоятельство по ч. 1 ст. 4.2 КоАП.

5. Имущественное и финансовое положение. Для оборотного штрафа суд обязан исследовать выручку за предшествующий год. Справка из бухгалтерии, налоговая декларация, выписка из ЕГРЮЛ — всё это влияет на расчётную базу. Небольшая компания с выручкой 300 млн ₽ при 1% заплатит 3 млн ₽; при наличии инвестиций в ИБ — максимум 15 млн ₽ по льготному правилу.

Когда применяется минимум 20 млн ₽ по ч. 15 и как его снизить?

Оборотный штраф по ч. 15 применяется при повторном нарушении по составам ч. 12–14 или ч. 15–18. Повторность — новое аналогичное нарушение в течение года после вступления первого постановления в силу. Минимум 20 млн ₽ означает: даже если 1% выручки компании меньше 20 млн — штраф всё равно 20 млн.

Снижение через примечание 3.4-2 работает при одновременном выполнении двух условий: оператор подтверждает инвестиции в ИБ за три года и предоставляет документы до вынесения постановления. Если документы поданы после — суд вправе их не принять как смягчающие. Поэтому сбор доказательной базы начинается немедленно после получения протокола, а не после первого заседания.

Второй инструмент снижения — оспаривание размера выручки в базе расчёта. Если в доходах оператора есть сторонняя выручка (агентские, транзитные поступления), суд вправе исключить их из базы. Это требует бухгалтерской экспертизы и правильной постановки вопроса в ходатайстве.

Как применяется ст. 4.1.1 КоАП и когда замена штрафа на предупреждение реальна?

Ст. 4.1.1 КоАП позволяет заменить штраф предупреждением для субъектов МСП при нескольких условиях: первичное нарушение, отсутствие имущественного вреда, нет угрозы жизни и безопасности. Замена не применяется к ч. 15 и ч. 18 ст. 13.11 КоАП — оборотным составам.

По составам ч. 1–14 для микропредприятий и малых предприятий предупреждение реально. Из публичной практики 2026 года: компания, у которой украли базу данных менее 1 000 работников и соискателей, получила предупреждение вместо штрафа по ч. 1 ст. 13.11 именно через ст. 4.1.1 КоАП — первичность нарушения и отсутствие доказанного вреда субъектам сыграли ключевую роль.

Для среднего и крупного бизнеса ст. 4.1.1 не работает: реестр МСП — необходимое условие. Но ст. 4.1 КоАП применима всегда: она позволяет суду назначить штраф ниже минимального при совокупности смягчающих. Это открывает путь к снижению даже без статуса МСП.

Как это применяется на практике

Кейс 1. В деле арбитражного суда Санкт-Петербурга и Ленинградской области (дело № А56-4733/2026) цифровая платформа инвестпроектов допустила утечку около 70 000 субъектов после хакерской атаки. Квалификация — ч. 14 ст. 13.11 КоАП (штраф 10–15 млн ₽). Применены смягчающие обстоятельства, итоговый штраф снижен. Ключевые факторы: хакерская атака как внешнее воздействие, наличие ОРД, своевременное уведомление РКН.

Кейс 2. Российская электронная школа (АС Москвы, дело № А40-351064/2025) допустила утечку более 100 000 субъектов — состав ч. 14, штраф для юрлица 10–15 млн ₽. Однако суд применил расчёт по правилам для ИП в связи со статусом организации по ч. 1 ст. 4.1.2 КоАП — итоговый штраф составил 400 000 ₽. Это первые публичные дела по новым нормам ФЗ-420.

Сценарии: что происходит при разных исходных условиях

Сценарий 1. Крупная компания, первая утечка, ОРД отсутствовала. Ситуация: РКН выявил утечку 50 000 субъектов, политика конфиденциальности не опубликована, ответственный по ст. 22.1 не назначен. Состав — ч. 13 (5–10 млн ₽) плюс отдельно ч. 3 (30–60 тыс. ₽) за отсутствие политики. Доказательства для снижения: инвестиции в ИБ за три года хотя бы по 0,1% выручки — дают льготную ставку. Без инвестиций суд назначит штраф в нижней части вилки. Стратегия: собрать ОРД срочно, подтвердить инвестиции, подать ходатайство о снижении по ст. 4.1 КоАП.

Сценарий 2. Средний бизнес, повторная утечка, оборотный штраф. Ситуация: компания уже привлекалась по ч. 13 год назад, теперь новая утечка 15 000 субъектов. Применяется ч. 15 — оборотный штраф. При выручке 2 млрд ₽ расчётный штраф по 1% — 20 млн ₽ (совпадает с минимумом). Инвестиции в ИБ за три года подтверждены на 0,15% выручки — применяется льгота: штраф одна десятая минимума, итого 15 млн ₽ (с учётом установленного минимума). Скидка 50% за добровольную уплату — не применяется. Стратегия: собрать все документы об инвестициях немедленно, оспорить размер базы расчёта выручки.

Сценарий 3. CEO без сведений о том, что протокол уже составлен. Ситуация: РКН направил протокол на юридический адрес, CEO не получил — 10 суток вышли. Постановление вступило в силу. Доказательства — ненадлежащее уведомление через суд субъекта. Если почтового извещения не было — восстановление срока реально. Стратегия: жалоба на постановление с ходатайством о восстановлении срока, документы о ненадлежащем вручении.

Связанные услуги DATUM

• Защита при штрафе в арбитраже — оспаривание протоколов и постановлений, применение ст. 4.1 и ст. 4.1.1 КоАП.
• Аудит соответствия 152-ФЗ — формирование доказательной базы до проверки РКН.
• Сопровождение проверок РКН — представительство на проверке и при составлении протокола.

Частые вопросы

1. Какие штрафы по ст. 13.11 КоАП действуют с 30.05.2025?

С 30.05.2025 статья расширена до 18 частей по ФЗ-420 от 30.11.2024. Ключевые для бизнеса: утечка от 1 000 до 10 000 субъектов — ч. 12, штраф 3–5 млн ₽; от 10 000 до 100 000 — ч. 13, 5–10 млн ₽; более 100 000 — ч. 14, 10–15 млн ₽; повторная утечка — ч. 15, оборотный штраф 1–3% годовой выручки, не менее 20 млн ₽ и не более 500 млн ₽. Неуведомление РКН об инциденте в 24 часа — ч. 11, 1–3 млн ₽.

2. Что такое оборотный штраф 1–3% и как он считается?

Оборотный штраф по ч. 15 ст. 13.11 КоАП рассчитывается от совокупной выручки оператора за предшествующий календарный год. Суд берёт 1, 2 или 3% от этой суммы в зависимости от тяжести нарушения и смягчающих обстоятельств. Нижняя планка — 20 млн ₽, верхняя — 500 млн ₽. Если 1% выручки меньше 20 млн — штраф всё равно 20 млн. Инвестиции в ИБ не менее 0,1% выручки за три года снижают штраф до одной десятой минимума: не менее 15 млн ₽ и не более 50 млн ₽ (примечание 3.4-2 к ст. 4.1 КоАП).

3. Когда применяется минимум 20 млн ₽?

Минимум 20 млн ₽ применяется всегда при квалификации по ч. 15 ст. 13.11 КоАП — независимо от размера компании. Если расчётный 1% выручки дал меньше 20 млн — штраф всё равно назначается в размере 20 млн ₽. Снизить ниже 20 млн возможно только через примечание 3.4-2 (льгота за инвестиции в ИБ), которое устанавливает иной нижний порог — 15 млн ₽ при наличии подтверждённых вложений.

4. Можно ли заменить штраф на предупреждение?

Замена штрафа на предупреждение по ст. 4.1.1 КоАП возможна для субъектов МСП при первичном нарушении без причинения имущественного вреда. Не применяется к ч. 15 и ч. 18 ст. 13.11 КоАП — оборотным составам. По составам ч. 1–14 для микропредприятий, если нет отягчающих, замена реальна: практика 2026 года подтверждает предупреждения вместо штрафов в 300 тыс. ₽ за первичные нарушения при доказанной добросовестности оператора.

5. Какая подсудность дел по ст. 13.11 после ФЗ-508?

С 28.12.2025 (ФЗ-508 от 28.12.2025) дела по ст. 13.11 КоАП рассматривают мировые судьи. С 30.05.2025 по 27.12.2025 их рассматривали арбитражные суды. Апелляция на постановление мирового судьи подаётся в районный суд в течение 10 суток. Кассация — в суд субъекта Российской Федерации. Дела о нарушениях, допущенных до 30.05.2025, квалифицируются по нормам старой редакции ст. 13.11 КоАП — это подтвердила практика арбитражных судов в делах 2025–2026 годов.

Итог

Доказательная база по ст. 13.11 КоАП — это не документ, составленный после получения протокола. Это система, которая строится заранее: ОРД, инвестиции в ИБ, процедуры реагирования на инциденты. С 30.05.2025 цена отсутствия системы — от 3 до 500 млн ₽ в зависимости от масштаба утечки и факта повторности.

Практика DATUM по арбитражной защите операторов ПДн ведётся с 2014 года. Юристы сопровождали дела по ст. 13.11 КоАП в обеих редакциях — до и после ФЗ-420, в арбитражных судах и у мировых судей.