Кейс штрафа по ч. 2.1 ст. 13.11: разбор практики

Часть 2.1 ст. 13.11 КоАП появилась в российском праве 30 мая 2025 года вместе с новой редакцией всей статьи по ФЗ-420. До этого момента повторное нарушение при обработке ПДн без согласия квалифицировалось по тем же частям, что и первичное, — разница в санкции отсутствовала. Теперь повторность означает другой состав и существенно иную сумму. Для генерального директора это важно: повторный протокол влечёт штраф до 1,5 млн рублей на организацию, а при следующем нарушении — уже оборотный состав по ч. 15 с минимумом 20 млн рублей.

Что такое ч. 2.1 ст. 13.11 КоАП и когда она применяется?

Состав ч. 2 ст. 13.11 КоАП — обработка персональных данных без письменного согласия субъекта, когда закон его требует, либо с нарушением требований к составу согласия. Штраф по ч. 2 для юрлица составляет от 300 000 до 700 000 рублей.

Часть 2.1 — квалифицированный повторный состав. Применяется, если компанию ранее привлекали по ч. 2 той же статьи и новое однородное нарушение совершено после вступления предыдущего постановления в законную силу. Штраф возрастает до диапазона 1 000 000 — 1 500 000 рублей.

Требования к составу письменного согласия установлены ст. 9 ФЗ-152 «О персональных данных». С 01.09.2025 согласие оформляется отдельным документом — это требование введено ФЗ-156 от 24.06.2025. Согласие, включённое в трудовой договор, оферту, политику или иной составной документ, с этой даты не считается надлежащим. Именно такой дефект — согласие не отдельным документом — стал основой нескольких протоколов по ч. 2 ст. 13.11 в 2025 году.

Ключевые реквизиты согласия по ст. 9 ФЗ-152: полное имя субъекта, контактные данные, наименование оператора, цель обработки, перечень персональных данных, перечень разрешённых действий, срок действия согласия, способ его отзыва. Отсутствие любого реквизита — нарушение требований к составу, то есть состав ч. 2.

Как формируется повторность и почему это критично для CEO?

Повторность по ст. 13.11 КоАП определяется по общему правилу ст. 4.6 КоАП: лицо считается подвергнутым административному наказанию со дня вступления постановления в законную силу и до истечения одного года со дня исполнения наказания. Если в этот период совершено аналогичное нарушение — оно квалифицируется как повторное.

Для генерального директора это означает следующую цепочку. Первое нарушение по ч. 2 — штраф 300 000 — 700 000 рублей. Второе нарушение в течение года — ч. 2.1, штраф 1 000 000 — 1 500 000 рублей. Третье нарушение — уже оборотный состав по ч. 15 ст. 13.11 при условии, что нарушения связаны с утечками, либо повторный базовый состав с иной квалификацией. Прогрессия санкций конструктивна: государство создаёт экономический стимул устранить нарушение после первого протокола.

Проблема в том, что многие компании не воспринимают первый штраф по ч. 2 как сигнал. Оплачивают 300 000 — 400 000 рублей и продолжают работать с теми же формами согласий. Через несколько месяцев при плановой или внеплановой проверке РКН фиксирует то же нарушение — и составляет протокол уже по ч. 2.1.

Для CEO дополнительный риск — уголовная ответственность по ст. 272.1 УК РФ, введённой ФЗ-421 от 30.11.2024 и действующей с 11.12.2024. Норма касается незаконного использования, передачи, сбора или хранения компьютерной информации, содержащей персональные данные. При тяжких последствиях — лишение свободы до 10 лет. Это не замещает административную ответственность, а дополняет её.

Разбор типичных сценариев: кто получает ч. 2.1 и почему

Практика 2025 — начала 2026 года показывает три характерные ситуации, в которых компании получают протокол именно по ч. 2.1.

Сценарий 1. Согласие осталось в трудовом договоре. Компания получила первый протокол по ч. 2 в конце 2024 года за отсутствие в согласии работника обязательных реквизитов. Штраф уплачен. С 01.09.2025 вступило в силу требование ФЗ-156: согласие — отдельный документ. Компания не обновила формы. При проверке в конце 2025 года РКН фиксирует, что согласия по-прежнему включены в трудовые договоры. Новый протокол — ч. 2.1. Защита затруднена: первое нарушение задокументировано.

Ситуация: работодатель-операторор ПДн, более 500 работников. Доказательства: протокол 2024 года в материалах дела, новые трудовые договоры с включённым согласием. Вероятный исход: штраф 1 000 000 — 1 200 000 рублей при отсутствии смягчающих обстоятельств. Стратегия: доказать, что согласие де-факто отвечает требованиям ст. 9 ФЗ-152, либо применить ст. 4.1 КоАП для снижения до минимума диапазона.

Сценарий 2. Маркетинговые рассылки без отдельного согласия. Интернет-магазин получил протокол по ч. 2 за обработку e-mail для рассылок без надлежащего согласия — согласие было встроено в чекбокс под офертой. После штрафа магазин добавил отдельный чекбокс, но не вынес согласие в отдельный документ. При повторной проверке позиция РКН: форма без явного заголовка «Согласие на обработку персональных данных» и без перечня конкретных действий не отвечает требованиям ст. 9 ФЗ-152. Протокол по ч. 2.1.

Ситуация: e-commerce, база 50 000 подписчиков. Доказательства: скриншоты формы, первый протокол, переписка с РКН. Вероятный исход: штраф в диапазоне ч. 2.1 с учётом умеренного объёма базы. Стратегия: оспорить квалификацию, настаивать на первичности нарушения (если форма изменялась), применить ст. 4.1.1 КоАП для замены штрафа предупреждением при статусе малого предприятия.

Сценарий 3. Биометрия в СКУД без письменного согласия. Компания использует биометрические СКУД (сканеры отпечатков). По ст. 11 ФЗ-152 биометрические данные обрабатываются только с письменного согласия. Первый протокол — 2024 год. Компания получила подписи работников, однако не включила в согласие перечень конкретных биометрических данных и срок хранения. Повторная проверка — ч. 2.1. Дополнительно: потенциально применима ч. 16 ст. 13.11 за нарушение требований ст. 11 ФЗ-152.

Ситуация: производственное предприятие, 800 работников, СКУД в трёх цехах. Доказательства: первый протокол, подписи без обязательных реквизитов, акт проверки. Вероятный исход: совокупность составов (ч. 2.1 + ч. 16) при агрессивной позиции регулятора. Стратегия: разграничить составы, настаивать на поглощении менее строгим составом, предоставить доказательства устранения нарушения до вынесения постановления.

Как снизить штраф по ч. 2.1: инструменты ст. 4.1 и ст. 4.1.1 КоАП

Санкция ч. 2.1 — диапазон от 1 000 000 до 1 500 000 рублей для юридического лица. Назначение наказания у нижней границы диапазона требует наличия смягчающих обстоятельств по ст. 4.2 КоАП: добровольное устранение нарушения, возмещение вреда, содействие производству по делу, раскаяние.

Статья 4.1 КоАП содержит специальное основание снижения штрафа для компаний, инвестирующих в информационную безопасность. При подтверждении расходов на ИБ в размере не менее 0,1% совокупной выручки за три предшествующих года штраф по оборотным составам (ч. 15, ч. 18 ст. 13.11) снижается до одной десятой минимального размера, но не менее 15 млн рублей и не более 50 млн рублей. Для ч. 2.1 прямого снижения ст. 4.1 не предусматривает — но расходы на ИБ учитываются как смягчающее обстоятельство.

Статья 4.1.1 КоАП — замена штрафа предупреждением — при ч. 2.1 формально применима для субъектов МСП. Однако ключевое условие — первичность нарушения. Повторный состав (ч. 2.1) по своей природе означает, что первичное нарушение уже было зафиксировано. Суды последовательно отказывают в применении ст. 4.1.1 к повторным составам: нет первичности — нет предупреждения.

Исключение — если удаётся оспорить саму квалификацию по ч. 2.1 и переквалифицировать нарушение как первичное по ч. 2. Это возможно, когда: первое постановление обжаловано и отменено; период повторности по ст. 4.6 КоАП истёк к моменту нового нарушения; нарушения носят разнородный характер (разные субъекты, разные основания обработки).

Оборотный штраф по ч. 15: когда ч. 2.1 становится точкой невозврата

Часть 15 ст. 13.11 КоАП — оборотный штраф — применяется при повторном совершении нарушений по ч. 12, ч. 13, ч. 14 (утечки ПДн) лицом, ранее привлекавшимся по этим же частям, либо по ч. 15, ч. 16, ч. 17, ч. 18. Прямой переход с ч. 2.1 на ч. 15 законом не предусмотрен — ч. 15 привязана именно к утечкам.

Однако на практике компании, которые систематически нарушают требования к согласию (ч. 2 → ч. 2.1), как правило, имеют слабую общую защиту ПДн. Следующий шаг — утечка данных, которая квалифицируется по ч. 12 — ч. 14. Если до этого уже были привлечения по ч. 14 или ч. 16 — следует ч. 15 с минимумом 20 млн рублей и максимумом 500 млн рублей (1 — 3% совокупной годовой выручки).

Именно поэтому протокол по ч. 2 — не административный штраф, а индикатор системного риска. Для CEO это сигнал провести аудит всей обработки ПДн, а не только исправить форму согласия.

Как это применяется на практике

Кейс 1. Торговая компания (Центральный ФО, осень 2025) получила протокол по ч. 2 ст. 13.11 за включение согласия клиентов на рассылки в договор купли-продажи. Штраф уплачен в размере около 350 000 рублей. Через шесть месяцев при внеплановой проверке РКН зафиксировал то же нарушение — согласие по-прежнему не выделено в отдельный документ по требованиям ФЗ-156. Составлен протокол по ч. 2.1. В ходе рассмотрения дела мировым судьёй юристы представили доказательства частичного устранения нарушения — раздельная форма согласия введена за два месяца до проверки для новых клиентов. Мировой судья назначил штраф в нижней части диапазона.

Кейс 2. По делу АС Москвы (дело № А40-351064/2025 — РЭШ) арбитражный суд рассмотрел утечку более 100 000 субъектов и квалифицировал нарушение по ч. 14 ст. 13.11 КоАП. Суд применил правила расчёта штрафа с учётом статуса компании как микропредприятия и назначил штраф 400 000 рублей. Это первое опубликованное дело по новым составам ст. 13.11, введённым ФЗ-420. Оно показывает: суды при первичных нарушениях склонны искать возможности снижения в рамках процессуальных норм КоАП. При повторных — этот манёвр недоступен.

Частые вопросы

1. Какие штрафы по ст. 13.11 КоАП действуют с 30.05.2025?

С 30.05.2025 действует редакция ст. 13.11 по ФЗ-420 от 30.11.2024. Статья расширена с 7 до 18 частей. Ключевые диапазоны для юрлиц: ч. 1 — 150 000 — 300 000 рублей (обработка в случаях, не предусмотренных законом), ч. 2 — 300 000 — 700 000 рублей (без письменного согласия), ч. 2.1 — 1 000 000 — 1 500 000 рублей (повторное нарушение по ч. 2), ч. 12 — ч. 14 — штрафы за утечки от 3 до 15 млн рублей в зависимости от числа субъектов, ч. 15 — оборотный штраф 1 — 3% выручки, не менее 20 млн рублей и не более 500 млн рублей. Подсудность — мировые судьи (ФЗ-508 от 28.12.2025).

2. Что такое оборотный штраф 1 — 3%?

Оборотный штраф по ч. 15 ст. 13.11 КоАП — это санкция, привязанная к совокупной выручке компании за предшествующий календарный год. Размер: от 1 до 3% выручки, но не менее 20 млн рублей и не более 500 млн рублей. Применяется при повторных нарушениях, связанных с утечками ПДн (ч. 12 — ч. 14), если компания уже привлекалась по этим же частям или по ч. 15, ч. 16, ч. 17, ч. 18. Скидка 50% при быстрой уплате по ст. 32.2 КоАП к оборотному штрафу не применяется. Инвестиции в ИБ свыше 0,1% выручки за три года снижают штраф до 1/10 минимума, но не менее 15 млн рублей.

3. Когда применяется минимум 20 млн рублей по ч. 15?

Минимум 20 млн рублей по ч. 15 ст. 13.11 применяется, когда расчётный штраф (1 — 3% выручки) оказывается ниже этой суммы. Например, при выручке 500 млн рублей 1% даёт 5 млн рублей — ниже минимума, поэтому назначают 20 млн рублей. При выручке 2 млрд рублей 1% даёт 20 млн рублей — минимум не ограничивает. При выручке 50 млрд рублей 1% составит 500 млн рублей, однако действует максимум 500 млн рублей. Таким образом, для большинства компаний среднего бизнеса с выручкой до 2 млрд рублей оборотный штраф равен минимуму — 20 млн рублей.

4. Можно ли заменить штраф по ч. 2.1 на предупреждение?

По общему правилу — нет. Статья 4.1.1 КоАП допускает замену штрафа предупреждением для субъектов МСП при первичности нарушения и отсутствии вреда. Часть 2.1 — повторный состав по определению: первое нарушение уже было зафиксировано. Суды отказывают в применении ст. 4.1.1 к повторным составам. Исключение — если удаётся переквалифицировать нарушение из ч. 2.1 в ч. 2 (например, доказав, что срок повторности по ст. 4.6 КоАП истёк или первое постановление было отменено). В этом случае ч. 2 является первичным нарушением, и замена на предупреждение становится процессуально возможной для субъектов МСП.

5. Какая подсудность дел по ст. 13.11 после ФЗ-508?

До 30.05.2025 дела по ст. 13.11 рассматривались Роскомнадзором и мировыми судьями. С 30.05.2025 по 27.12.2025 подсудность была передана арбитражным судам. ФЗ-508 от 28.12.2025 вернул рассмотрение дел по ст. 13.11 КоАП мировым судьям. С 28.12.2025 все дела, включая новые составы ФЗ-420, рассматривают мировые судьи. Это важно для выбора стратегии защиты: арбитражная процессуальная логика и логика мирового суда различаются по срокам, стандартам доказывания и возможностям обжалования.

Итог

Часть 2.1 ст. 13.11 КоАП — это прямое следствие первого неисправленного нарушения по ч. 2. Диапазон штрафа в 1 — 1,5 млн рублей на порядок выше, чем при первичном составе, а инструменты снижения (ст. 4.1.1 КоАП) в большинстве случаев недоступны. При следующем нарушении, если оно будет связано с утечкой, — оборотный штраф с минимумом 20 млн рублей.

Практика DATUM по защите от штрафов по ст. 13.11 КоАП включает сопровождение с момента получения протокола: оценку квалификации, подготовку возражений, представительство у мирового судьи, применение ст. 4.1 и ст. 4.1.1 КоАП. Отдельно — аудит форм согласий и ОРД, который позволяет устранить нарушение до составления повторного протокола.

Услуги DATUM по теме

• Защита при штрафе в арбитраже — оспаривание протокола и постановления, применение ст. 4.1 и ст. 4.1.1 КоАП
• Аудит соответствия 152-ФЗ — проверка форм согласий и ОРД по 38 пунктам
• Сопровождение проверок РКН — подготовка к проверке и представление интересов в регуляторе