Кейс штрафа по ч. 4 ст. 13.11: разбор практики

Генеральный директор узнаёт о штрафе по ч. 4 ст. 13.11 КоАП, как правило, после того как постановление уже вынесено: субъект направил запрос, оператор его проигнорировал, РКН получил жалобу и составил протокол. С 30.05.2025 практика по этому составу разворачивается заметно активнее — регулятор фиксирует нарушение дистанционно, без выезда. В этой статье — разбор состава ч. 4, разграничение с оборотными составами ч. 12–15, типовые сценарии и стратегия защиты.

Что такое ч. 4 ст. 13.11 КоАП и чем она отличается от оборотных составов?

Часть 4 ст. 13.11 КоАП фиксирует нарушение обязанности оператора предоставить субъекту информацию об обработке его персональных данных. Обязанность установлена ст. 20 ФЗ-152: оператор обязан ответить на обращение субъекта в течение 10 рабочих дней с возможностью продления ещё на 5 рабочих дней при уведомлении заявителя. Нарушение этого срока или полный отказ от ответа образуют состав.

Принципиальное отличие от оборотных составов (ч. 12–15 той же статьи): ч. 4 не связана с фактом утечки и не зависит от числа субъектов или объёма скомпрометированных записей. Это процедурное нарушение. Оборотный штраф по ч. 15 — от 1 до 3% совокупной годовой выручки, не менее 20 млн ₽ и не более 500 млн ₽ — применяется только при повторной утечке ПДн. Ч. 4 может сосуществовать с ч. 12–14 в одном деле, если параллельно произошла утечка и оператор не ответил на запросы пострадавших субъектов.

Для генерального директора важно понимать: штраф по ч. 4 сам по себе невелик, однако его наличие в истории компании при последующей утечке усиливает позицию РКН при квалификации повторности по ч. 1.1 или ч. 5.1 и осложняет применение ст. 4.1.1 КоАП (замена на предупреждение).

Как квалифицируется нарушение по ч. 4 и что проверяет РКН?

Роскомнадзор возбуждает дело по ч. 4 ст. 13.11 по жалобе субъекта или в рамках плановой проверки. Доказательная база формируется из трёх источников: текст обращения субъекта с датой направления, доказательства получения оператором (уведомление о вручении, скриншот формы обратной связи, трекинг email), ответ оператора или его отсутствие в установленный срок.

РКН оценивает три ключевых элемента состава. Первый — было ли обращение надлежащим: субъект указал себя, перечень запрашиваемой информации или требование (уточнить, уничтожить, заблокировать). Второй — получил ли оператор обращение: факт доставки на адрес из публичных документов оператора (политика конфиденциальности, сайт). Третий — выполнен ли срок: 10 рабочих дней с даты получения, ещё 5 при уведомлении субъекта о продлении.

Распространённые ошибки операторов при проверке: обращение субъекта зарегистрировано секретарём и «потерялось» до ответственного за обработку ПДн; форма на сайте работает, но письма не доходят до ответственного; компания отвечает общей отпиской без содержательной информации о целях, основаниях и сроках обработки — РКН расценивает это как фактическое невыполнение обязанности.

Когда применяется ст. 4.1.1 КоАП и можно ли заменить штраф на предупреждение?

Статья 4.1.1 КоАП допускает замену административного штрафа предупреждением при соблюдении трёх условий одновременно: субъект правонарушения — микропредприятие или субъект МСП, нарушение совершено впервые, вред охраняемым интересам не причинён или является несущественным. Для составов ч. 15 и ч. 18 ст. 13.11 (оборотные) замена прямо исключена законом. Для ч. 4 — применима при наличии всех условий.

Практика 2025–2026 годов показывает: мировые судьи (подсудность восстановлена ФЗ-508 от 28.12.2025) охотно применяют ст. 4.1.1 КоАП к ч. 4 ст. 13.11 при условии, что оператор устранил нарушение до рассмотрения дела и представил доказательства принятых мер. Крупные компании с выручкой свыше 800 млн ₽ под критерии МСП не подпадают и на замену рассчитывать не могут — для них актуальна ст. 4.1 КоАП (смягчающие обстоятельства) и обоснование малозначительности нарушения по ст. 2.9 КоАП.

Отдельный инструмент снижения оборотного штрафа по ч. 15 — примечание 3.4-2 к ст. 4.1 КоАП: если за три предшествующих года инвестиции в информационную безопасность составили не менее 0,1% совокупной выручки, штраф снижается до одной десятой минимального размера, но не менее 15 млн ₽ и не более 50 млн ₽. Для дел по ч. 4 этот механизм не применяется — но его наличие в арсенале компании снижает совокупный риск по всему портфелю составов.

Типовые сценарии: от протокола РКН до постановления суда

Ниже — три сценария, которые встречаются в практике DATUM. Каждый описывает путь от нарушения до решения с оценкой вероятного исхода.

Сценарий 1. Малый бизнес, первичное нарушение, нет истории претензий. Интернет-магазин (ЦФО) получил от покупателя запрос об уничтожении ПДн. Менеджер по клиентскому сервису ответил общим письмом без конкретики. Субъект подал жалобу в РКН. Протокол по ч. 4 ст. 13.11. Ситуация: компания — МСП, нарушение впервые, ответ формально дан (хотя и ненадлежащий). Стратегия: представить в суд исправленный ответ субъекту, письменные извинения и план мероприятий. Вероятный исход: замена штрафа предупреждением по ст. 4.1.1 КоАП.

Сценарий 2. Средний бизнес, повторное нарушение, параллельная проверка. Региональная розничная сеть (ПФО, конец 2025 г.) получила два запроса субъектов в течение квартала и не ответила на оба. РКН возбудил дела по ч. 4 (два протокола) и одновременно запросил политику обработки ПДн — её не оказалось на сайте, что добавило ч. 3 ст. 13.11. Ситуация: три протокола, компания не МСП, нарушения документально подтверждены. Исход: штрафы по каждому составу суммируются; общая сумма — в диапазоне 100 000–200 000 ₽. Стратегия защиты: оспаривание по существу (одно из обращений не было зарегистрировано надлежащим образом), применение смягчающих по ст. 4.1 КоАП, устранение нарушений до рассмотрения дела.

Сценарий 3. Крупная компания, ч. 4 как часть комплексного дела. Логистический оператор (СФО, начало 2026 г.) столкнулся с утечкой данных 8 000 клиентов. Параллельно выявлено: компания не ответила на три запроса субъектов из числа пострадавших. РКН возбудил дело по ч. 12 (утечка 1 000–10 000 субъектов, штраф 3–5 млн ₽) и по ч. 4 (три отдельных протокола). Ситуация: ч. 4 на фоне ч. 12 имеет подчинённое значение, однако фиксирует повторяемость нарушения работы с субъектами. Стратегия: приоритет — защита по ч. 12 (снижение через ст. 4.1 КоАП и инвестиции в ИБ), параллельно по ч. 4 — устранение и применение смягчающих.

Как практика изменилась после ФЗ-420 и ФЗ-508

До 30.05.2025 ст. 13.11 КоАП содержала 7 частей, дела рассматривались мировыми судьями. ФЗ-420 от 30.11.2024 расширил статью до 18 частей, ввёл оборотные составы и повысил планку санкций по большинству существующих. Ч. 4 в новой редакции сохранила тот же предмет (непредоставление информации субъекту), но диапазон штрафа для юридических лиц вырос относительно прежней нормы.

С 30.05.2025 по 27.12.2025 дела по ст. 13.11 рассматривались арбитражными судами. ФЗ-508 от 28.12.2025 вернул подсудность мировым судьям. Это практически значимо: мировые судьи чаще применяют ст. 4.1.1 КоАП и ст. 2.9 КоАП (малозначительность), тогда как арбитражные суды в 2025 году формировали более жёсткую практику. Дела, возбуждённые до 28.12.2025 и ещё не рассмотренные, были переданы мировым судьям.

Важный прецедент из реестра DATUM: по делу АС Москвы № А40-263126/2025 оператор был привлечён к ответственности за утечку 26 миллионов записей, однако штраф составил 150 000 ₽ — минимальный по старым нормам, поскольку утечка произошла до 01.06.2025. Это наглядно показывает временной рубеж: нарушения до 30.05.2025 квалифицируются по прежней редакции статьи с существенно меньшими санкциями.

Кейсы из практики: ч. 4 ст. 13.11 в реальных делах

Кейс 1. Сервисная компания (Уральский ФО, осень 2025 г.) не ответила на запрос бывшего сотрудника об уничтожении ПДн после расторжения трудового договора. Субъект направил жалобу в РКН. Компания относилась к МСП, нарушение — первичное. Генеральный директор обратился за сопровождением до заседания. Юристы подготовили исправленный ответ субъекту и ходатайство о применении ст. 4.1.1 КоАП. Мировой суд вынес предупреждение без штрафа.

Кейс 2. Оператор в сфере медицинских услуг (Приволжский ФО, начало 2026 г.) не отреагировал на обращение пациента с требованием предоставить сведения о том, каким третьим лицам переданы его данные. РКН возбудил дело по ч. 4 ст. 13.11 и одновременно запросил перечень поручений обработки. Параллельно выявлено: поручение обработки медицинских данных стороннему IT-подрядчику не было оформлено. Итог: два состава (ч. 4 и ч. 2 ст. 13.11), суммарный штраф в диапазоне сотен тысяч рублей. Кейс иллюстрирует принцип ВС РФ: оператор отвечает за утечку и нарушения через подрядчика.

Услуги DATUM по теме

• Защита при штрафе в арбитраже — оспаривание протоколов и постановлений по ст. 13.11 КоАП
• Сопровождение проверок РКН — подготовка, представление интересов, обжалование предписаний
• Аудит соответствия 152-ФЗ — проверка порядка работы с обращениями субъектов и ОРД

Частые вопросы

1. Какие штрафы по ст. 13.11 КоАП действуют с 30.05.2025?

С 30.05.2025 действует редакция ФЗ-420 от 30.11.2024: статья содержит 18 частей. Ч. 4 — непредоставление субъекту информации об обработке его ПДн — штраф для юридических лиц 40 000–80 000 ₽. Ч. 12–14 — утечки от 1 000 субъектов и выше — от 3 до 15 млн ₽. Ч. 15 — оборотный штраф при повторной утечке — 1–3% годовой выручки, не менее 20 млн ₽ и не более 500 млн ₽. Дела с 28.12.2025 рассматривают мировые судьи.

2. Что такое оборотный штраф 1–3%?

Оборотный штраф по ч. 15 ст. 13.11 КоАП — это санкция, рассчитываемая от совокупной выручки юридического лица за предшествующий календарный год. Применяется только при повторном совершении нарушений, предусмотренных ч. 12–14 (утечки разного масштаба), ч. 16–18 или самой ч. 15. Минимум — 20 млн ₽, максимум — 500 млн ₽. Скидка за быструю уплату по ст. 32.2 КоАП на оборотный штраф не распространяется.

3. Когда применяется минимум 20 млн ₽ по ч. 15?

Минимум 20 млн ₽ применяется, если расчётная сумма 1–3% выручки оказывается ниже этого порога. Например, при годовой выручке компании 500 млн ₽ расчётный штраф составил бы 5–15 млн ₽ — суд применит минимум 20 млн ₽. При выручке свыше 2 млрд ₽ расчёт даёт 20–60 млн ₽, и минимум уже не ограничивает. Снизить штраф до 1/10 минимума (не менее 15 млн ₽ и не более 50 млн ₽) можно, доказав инвестиции в ИБ не менее 0,1% выручки за три года согласно примечанию 3.4-2 к ст. 4.1 КоАП.

4. Можно ли заменить штраф по ч. 4 ст. 13.11 на предупреждение?

Да, для субъектов МСП и микропредприятий при первичном нарушении и отсутствии существенного вреда ст. 4.1.1 КоАП допускает замену штрафа предупреждением. Ключевое условие — устранить нарушение до рассмотрения дела и представить доказательства суду. Для ч. 15 и ч. 18 ст. 13.11 замена прямо запрещена законом. Для крупных компаний (не МСП) применяется ст. 4.1 КоАП — смягчающие обстоятельства, которые суд учитывает при назначении штрафа в нижней части диапазона.

5. Какая подсудность дел по ст. 13.11 после ФЗ-508?

ФЗ-508 от 28.12.2025 вернул подсудность дел по ст. 13.11 КоАП мировым судьям. С 30.05.2025 по 27.12.2025 дела рассматривались арбитражными судами. Дела, возбуждённые в период арбитражной подсудности и не рассмотренные до 28.12.2025, были переданы мировым судьям. На практике это означает более гибкий подход к применению ст. 4.1.1 КоАП и ст. 2.9 КоАП (малозначительность).

Итог

Часть 4 ст. 13.11 КоАП — процедурный состав с умеренным штрафом, однако его системное накопление формирует историю нарушений, которая осложняет защиту при более серьёзных претензиях регулятора. Ответ субъекту в срок, журнал учёта обращений и назначенный ответственный по ст. 22.1 ФЗ-152 закрывают этот риск полностью.

Практика DATUM включает сопровождение дел по ст. 13.11 на всех стадиях — от получения запроса субъекта до обжалования постановления в суде. Защитная стратегия формируется в день обращения.

8 декабря 2027 года