Кейс case_S1_rosh: штраф 400 000 ₽ как микропредприятие

С 30 мая 2025 года действует новая редакция ст. 13.11 КоАП, введённая ФЗ-420 от 30.11.2024. Максимальный штраф за крупную утечку — 15 млн ₽ для первичного нарушения и до 500 млн ₽ при повторном (оборотный состав). Первые дела по новым нормам показали: правоприменитель использует все механизмы смягчения, которые заложил законодатель. Дело РЭШ (case_S1_rosh) — наглядный пример того, как формально «катастрофическое» нарушение превращается в управляемую сумму при грамотной квалификации.

Что произошло в деле case_S1_rosh и при чём здесь ч. 14 ст. 13.11 КоАП?

Российская электронная школа (РЭШ) — федеральная образовательная платформа. В 2025 году из её систем утекли персональные данные более 100 000 субъектов. Это пороговое значение, которое автоматически переводит нарушение в состав ч. 14 ст. 13.11 КоАП: утечка ПДн свыше 100 000 субъектов либо свыше 1 000 000 уникальных идентификаторов.

Роскомнадзор составил протокол и передал материалы в Арбитражный суд Москвы. Дело рассмотрено по правилам арбитражного судопроизводства — в тот период, когда подсудность по ст. 13.11 ещё не была возвращена мировым судьям (ФЗ-508 от 28.12.2025 вернул её с 28.12.2025; дело рассмотрено раньше).

Ключевой вопрос заседания — применимость особого порядка расчёта санкции для субъектов малого и среднего предпринимательства. Суд установил, что РЭШ соответствует критериям микропредприятия по Федеральному закону о развитии МСП. Это открыло возможность применить ч. 1 ст. 4.1.2 КоАП — расчёт штрафа исходя из правил, установленных для индивидуальных предпринимателей.

Итог: штраф составил 400 000 рублей. Это в 25 раз ниже минимального порога ч. 14 для обычных юридических лиц.

Как ст. 4.1.2 КоАП снижает штраф для микропредприятий в 25 раз?

Статья 4.1.2 КоАП устанавливает специальный порядок назначения штрафов для субъектов малого и среднего предпринимательства. Для микропредприятий ч. 1 этой статьи предусматривает расчёт штрафа в размере, не превышающем половину максимального штрафа, предусмотренного для должностных лиц, либо по правилам для ИП — если соответствующий состав таких правил не содержит.

В случае РЭШ суд применил расчёт по правилам для ИП. Для ИП ч. 14 ст. 13.11 КоАП предусматривает санкцию в размере, существенно меньшем, чем для юридических лиц. Итоговые 400 000 рублей — результат этого специального расчёта.

Условия применения ст. 4.1.2 КоАП:

• Организация внесена в реестр субъектов МСП Федеральной налоговой службы с категорией «микропредприятие».
• Нарушение совершено впервые (нет вступившего в силу постановления по той же статье в течение года).
• Состав не относится к исключениям, прямо указанным в КоАП (ч. 15 и ч. 18 ст. 13.11 — оборотные штрафы — под ст. 4.1.2 попадают с особенностями).

Для CEO это означает следующее: если выручка компании не превышает 120 млн рублей в год и среднесписочная численность — до 15 человек, статус микропредприятия уже может быть в реестре ФНС. Это один из первых аргументов, который нужно проверить при получении протокола.

Когда применяется оборотный штраф по ч. 15 ст. 13.11 и при чём здесь минимум 20 млн ₽?

Оборотный штраф — это не автоматическое следствие крупной утечки. Он применяется только при повторности: если компания уже привлекалась к ответственности по ч. 12, 13, 14, 16, 17 или 15 ст. 13.11 КоАП, и в этот период совершила новое нарушение из тех же составов.

Для среднего бизнеса с выручкой 1 млрд рублей оборотный минимум (20 млн ₽) ниже 1% выручки, поэтому применяется абсолютный минимум. Для компании с выручкой 3 млрд рублей 1% составляет уже 30 млн ₽ — и применяется процентный расчёт. Максимум 500 млн ₽ достигается при выручке свыше ~16,7 млрд рублей (при ставке 3%).

Важная норма ст. 4.1 КоАП (примечание 3.4-2): если компания инвестировала в информационную безопасность не менее 0,1% совокупной выручки за три предшествующих года — штраф по ч. 15 и ч. 18 ст. 13.11 составит одну десятую минимального размера, но не менее 15 млн ₽ и не более 50 млн ₽. Этот механизм принципиален для компаний с большой выручкой: он превращает потенциальный штраф в 100–200 млн ₽ в сумму 15–50 млн ₽.

В деле РЭШ оборотный штраф не применялся — нарушение было первичным. Но логика дела показывает: своевременная фиксация статуса МСП и инвестиций в ИБ до возбуждения дела — это не формальность, а реальный финансовый инструмент.

Можно ли заменить штраф на предупреждение по ст. 4.1.1 КоАП?

Статья 4.1.1 КоАП допускает замену штрафа на предупреждение для субъектов малого и среднего предпринимательства при одновременном выполнении условий: первичность нарушения, отсутствие вреда жизни и здоровью людей, отсутствие имущественного ущерба, нарушение не создало угрозу ЧС.

Применительно к ст. 13.11 КоАП суды трактуют «вред» расширительно: сам факт утечки ПДн ряд составов квалифицирует как причинение вреда субъектам данных. Поэтому для ч. 12–14 ст. 13.11 (реальная утечка с числом субъектов) заменить штраф на предупреждение значительно сложнее, чем по ч. 1–5 (нарушения порядка обработки без факта утечки).

Практика подтверждает дифференцированный подход. В деле о хищении базы ПДн работников и соискателей (менее 1 000 субъектов, Центральный ФО, 2025) компания-микропредприятие получила предупреждение по ст. 4.1.1 КоАП — суд признал нарушение формальным и не установил реального ущерба. В деле РЭШ с более чем 100 000 субъектов замена на предупреждение не применялась: масштаб инцидента исключал квалификацию нарушения как малозначительного.

Оборотные штрафы по ч. 15 и ч. 18 ст. 13.11 КоАП под действие ст. 4.1.1 не подпадают прямо — законодатель исключил их из периметра замены на предупреждение.

Какая подсудность дел по ст. 13.11 действует с 28.12.2025?

ФЗ-508 от 28.12.2025 вернул рассмотрение дел по ст. 13.11 КоАП мировым судьям. В период с 30.05.2025 по 27.12.2025 дела рассматривались арбитражными судами — именно в этот период и было рассмотрено дело А40-351064/2025 по РЭШ.

Практическое значение смены подсудности для CEO:

• Мировые судьи рассматривают дела по КоАП в порядке административного, а не арбитражного судопроизводства. Процессуальные сроки, порядок подачи возражений и апелляций — различаются.
• Обжалование постановления мирового судьи — в районный суд, далее в краевой/областной суд. Обжалование постановления арбитражного суда шло по правилам АПК — апелляция и кассация в системе арбитражных судов.
• Для малого бизнеса апелляция в районный суд формально проще в части процессуальных требований, но практика формируется быстрее в арбитраже.

Дела, возбуждённые РКН до 28.12.2025 и переданные в арбитражные суды, завершаются в арбитраже по старым правилам подсудности. Новые протоколы, составленные после 28.12.2025, направляются мировым судьям.

Практика: как суды применяют новые нормы в 2025–2026 годах

Кейс 1 (case_S1_rosh). Арбитражный суд Москвы (дело А40-351064/2025, рассмотрено в начале 2026 года): утечка более 100 000 субъектов, квалификация — ч. 14 ст. 13.11 КоАП, стандартный диапазон штрафа 10–15 млн ₽. Суд установил статус микропредприятия, применил ч. 1 ст. 4.1.2 КоАП и правила расчёта для ИП. Назначен штраф 400 000 рублей. Первый публичный прецедент применения новых норм к крупной утечке.

Кейс 2 (case_S2_pkr_analitika). Арбитражный суд Санкт-Петербурга и Ленинградской области (дело А56-4733/2026 от 10.03.2026): утечка около 70 000 субъектов (ФИО, должности, служебные email и телефоны) после хакерской атаки на цифровую платформу инвестиционных проектов. Квалификация — ч. 14 ст. 13.11 КоАП. Суд применил смягчающие обстоятельства. Точная сумма штрафа подлежит уточнению менеджером при публикации, однако дело зафиксировано как подтверждение применения ч. 14 к утечкам ниже 100 000 субъектов при квалификации по числу идентификаторов.

Общая тенденция по итогам первых шести месяцев применения ФЗ-420: суды активно используют смягчающие инструменты. По данным InfoWatch (январь 2026), за 2025 год вынесено шесть административных штрафов по новым нормам ст. 13.11 на общую сумму около 570 тысяч рублей. Среднее значение — 95 000 рублей на дело. Это свидетельствует о том, что крупные оборотные штрафы пока не применялись: суды ищут баланс между строгостью новых санкций и принципом соразмерности.

Что это означает для CEO: первичное нарушение, статус МСП и отсутствие повторности — три фактора, которые в совокупности могут снизить штраф от стандартного минимума в десятки раз. Но это работает только если аргументы заявлены профессионально и до первого заседания.

Услуги DATUM по теме

• Защита при штрафе в арбитраже — оспаривание протокола и постановления по ст. 13.11, применение ст. 4.1 и 4.1.1 КоАП
• Аудит соответствия 152-ФЗ — выявление нарушений до проверки РКН, приоритизированный план устранения
• Сопровождение проверок РКН — подготовка к внеплановой проверке, представление интересов в РКН

Частые вопросы

1. Какие штрафы по ст. 13.11 КоАП действуют с 30.05.2025?

С 30 мая 2025 года ст. 13.11 КоАП действует в редакции ФЗ-420 от 30.11.2024 и содержит 18 частей. За утечку от 1 000 до 10 000 субъектов — ч. 12, штраф для юрлиц 3–5 млн ₽. От 10 000 до 100 000 субъектов — ч. 13, штраф 5–10 млн ₽. Свыше 100 000 субъектов — ч. 14, штраф 10–15 млн ₽. За повторную утечку — оборотный штраф по ч. 15: 1–3% совокупной выручки за прошлый год, не менее 20 млн ₽ и не более 500 млн ₽. Нарушение порядка обработки (без факта утечки) — ч. 1, штраф 150–300 тыс. ₽. Дата нарушения имеет значение: если утечка произошла до 30.05.2025 — применяется старая редакция.

2. Что такое оборотный штраф 1–3% и как он считается?

Оборотный штраф по ч. 15 ст. 13.11 КоАП применяется только при повторном нарушении: если компания уже привлекалась по ч. 12–14, 16–17 или 15 ст. 13.11, и допустила новую утечку. База расчёта — совокупная выручка за предшествующий календарный год (выручка от реализации товаров, работ, услуг, без НДС). Ставка — от 1 до 3% по усмотрению суда. При выручке 1 млрд ₽ это 10–30 млн ₽, но применяется абсолютный минимум 20 млн ₽. При выручке 3 млрд ₽ — 30–90 млн ₽. Скидка 50% за уплату в течение 20 дней по ст. 32.2 КоАП к оборотному составу не применяется.

3. Когда применяется минимум 20 млн ₽ по оборотному штрафу?

Минимум 20 млн ₽ по ч. 15 ст. 13.11 применяется всегда, когда расчётная сумма в 1% годовой выручки меньше 20 млн ₽. Это означает, что для компаний с выручкой до 2 млрд ₽ минимум всегда составляет 20 млн ₽ — процентный расчёт им не поможет. При инвестициях в ИБ не менее 0,1% выручки за три года применяется особый порядок по примечанию 3.4-2 ст. 4.1 КоАП: штраф составит одну десятую от минимума — то есть от 15 млн ₽ до 50 млн ₽. Для среднего бизнеса это ключевой инструмент снижения.

4. Можно ли заменить штраф на предупреждение по ст. 4.1.1 КоАП?

Замена штрафа на предупреждение по ст. 4.1.1 КоАП возможна для субъектов МСП при первичном нарушении, отсутствии реального вреда и угрозы жизни или здоровью людей. На практике это реально для ч. 1–5 ст. 13.11 (нарушения порядка обработки без факта утечки). По ч. 12–14 (реальная утечка данных) суды применяют замену реже: масштаб инцидента затрудняет квалификацию нарушения как не причинившего вреда. Оборотные штрафы по ч. 15 и ч. 18 под ст. 4.1.1 не подпадают. Конкретные шансы зависят от категорий утекших данных, числа субъектов и доказательств принятых мер защиты.

5. Какая подсудность дел по ст. 13.11 после ФЗ-508 от 28.12.2025?

С 28 декабря 2025 года (ФЗ-508 от 28.12.2025) дела по ст. 13.11 КоАП рассматривают мировые судьи. С 30 мая по 27 декабря 2025 года — арбитражные суды субъектов РФ. Дела, переданные в арбитражные суды до 28.12.2025, завершаются в арбитраже. Новые протоколы, составленные РКН после этой даты, направляются мировым судьям. Апелляция на постановление мирового судьи подаётся в районный суд; на постановление арбитражного суда — в апелляционный арбитражный суд по правилам АПК.

Итог

Дело РЭШ (case_S1_rosh) доказывает: штраф по ч. 14 ст. 13.11 КоАП в диапазоне 10–15 млн ₽ — это потолок, а не гарантия. Статус микропредприятия, применение ч. 1 ст. 4.1.2 КоАП и правильная квалификация снизили санкцию до 400 000 рублей. Оборотный штраф по ч. 15 — другой уровень риска, но и он управляем через инвестиции в ИБ по примечанию 3.4-2 ст. 4.1 КоАП.

DATUM сопровождает дела по ст. 13.11 КоАП с момента составления протокола до вступления постановления в силу. Практика включает применение ст. 4.1, 4.1.1 и 4.1.2 КоАП, анализ доказательной базы РКН и подготовку возражений под конкретный состав нарушения.

19 декабря 2027 года