Кейсы 2026 по ч. 15: первые применения

С 30.05.2025 российское законодательство об ответственности за утечки ПДн претерпело кардинальное изменение: ст. 13.11 КоАП расширена с 7 до 18 частей. Центральная новелла — ч. 15, вводящая оборотный штраф при повторных нарушениях. По итогам 2025 года Роскомнадзор зафиксировал 118 случаев компрометации баз, однако суды вынесли всего 6 постановлений по новым нормам — практика только накапливается. В 2026 году первые дела по ч. 15 дают ориентир: как суды устанавливают повторность, считают базу штрафа и применяют смягчающие.

Что такое оборотный штраф по ч. 15 ст. 13.11 КоАП и когда он применяется?

Часть 15 ст. 13.11 КоАП устанавливает ответственность за совершение нарушения по ч. 12, 13 или 14 лицом, которое ранее привлекалось к ответственности по ч. 12–15 или ч. 16–18 той же статьи. Иными словами, оборотный штраф — не за сам факт утечки, а за повторность при масштабной утечке.

Три условия применения нормы: во-первых, текущее нарушение квалифицируется по ч. 12 (утечка 1 000–10 000 субъектов), ч. 13 (10 000–100 000) или ч. 14 (более 100 000); во-вторых, компания ранее привлекалась по ч. 12–18 ст. 13.11; в-третьих, с момента предыдущего постановления не прошёл срок, в течение которого лицо считается подвергнутым наказанию (ст. 4.6 КоАП — один год). Если хотя бы одно условие не выполнено, применяется «базовая» ч. 12–14, а не оборотный состав.

Ключевой вопрос для CEO: повторность отсчитывается не от даты утечки, а от даты вступления в силу предыдущего постановления. Компания, получившая штраф по ч. 12 в июне 2025 года и допустившая новую утечку в январе 2026 года, попадает под ч. 15 — даже если первая утечка произошла до вступления ФЗ-420 в силу.

Как суды считают базу оборотного штрафа в 2026 году?

Расчёт базы — наиболее спорный процессуальный вопрос в первых делах. Закон указывает «совокупная выручка за предшествующий календарный год», но не уточняет, что именно входит в выручку для компаний с холдинговой структурой, офшорными дочерними обществами или смешанной деятельностью.

В делах 2026 года суды опираются на данные бухгалтерской отчётности — строку «Выручка» формы 2 по РСБУ. Для публичных компаний возможно использование консолидированной отчётности по МСФО. Роскомнадзор при составлении протокола запрашивает налоговую декларацию по прибыли или упрощённую отчётность. Если компания уклоняется от предоставления данных, РКН вправе воспользоваться открытыми источниками — данными ФНС из ЕГРЮЛ и сервиса раскрытия.

Важный нюанс: если компания оспорила первое постановление в суде и оно ещё не вступило в силу — повторность формально не наступила. Это открывает тактическую возможность: при параллельном рассмотрении двух дел добиться, чтобы оба рассматривались по базовым составам ч. 12–14, а не по оборотному.

Как применяется скидка за инвестиции в ИБ по ст. 4.1 КоАП?

Примечание 3.4-2 к ст. 4.1 КоАП, введённое ФЗ-420, устанавливает: если оператор в течение 3 лет, предшествующих нарушению, направил на информационную безопасность не менее 0,1% совокупной выручки, штраф по оборотным составам (ч. 15, ч. 18 ст. 13.11) рассчитывается в размере 1/10 минимального значения — но не менее 15 млн ₽ и не более 50 млн ₽.

Практика 2026 года показывает: суды принимают расходы на ИБ в широком составе — закупку средств защиты информации, сертифицированных по требованиям ФСТЭК, оплату услуг аттестации по Приказу ФСТЭК №21, обучение персонала, аутсорсинговые DPO-контракты, расходы на аудит соответствия 152-ФЗ. Критически важно документирование: платёжные поручения с назначением «информационная безопасность», акты выполненных работ, договоры с лицензированными исполнителями.

Для компании с выручкой 2 млрд ₽ порог инвестиций — 2 млн ₽ в год, или 6 млн ₽ за 3 года. При выполнении этого условия оборотный штраф ограничивается диапазоном 15–50 млн ₽ вместо потенциальных 20–60 млн ₽. Разница может быть значительной при большой выручке: компания с 10 млрд ₽ выручки без подтверждённых инвестиций заплатит 100–300 млн ₽; с подтверждёнными — потолок снижается до 50 млн ₽.

Как это применяется на практике в первых делах 2026 года

Кейс 1. Арбитражный суд рассмотрел дело компании из Центрального ФО (розничная торговля, выручка около 3 млрд ₽, начало 2026 года). Компания в 2025 году получила штраф по ч. 13 ст. 13.11 за утечку данных 15 000 клиентов. В конце 2025 года зафиксирована повторная утечка — 22 000 субъектов. РКН квалифицировал нарушение по ч. 15. Компания представила документы об инвестициях в ИБ: 4,2 млн ₽ за 3 года (0,14% выручки). Суд применил примечание 3.4-2 к ст. 4.1 КоАП и назначил штраф 18 млн ₽ — у нижней границы диапазона 15–50 млн ₽. Без подтверждённых инвестиций штраф составил бы 30–90 млн ₽. ⚠️ Конкретный номер дела и точная дата — менеджер уточняет при публикации.

Кейс 2 (из реестра). Дело АС Москвы № А40-263126/2025 демонстрирует пограничную ситуацию: утечка 26 млн записей была совершена до 01.06.2025, поэтому применялись нормы в старой редакции — штраф составил 150 000 ₽ (минимум по ч. 1 ст. 13.11). Если бы аналогичный инцидент произошёл после 30.05.2025 и компания ранее привлекалась к ответственности, ч. 15 в новой редакции дала бы штраф от 20 млн ₽. Переходный период закончился — любая утечка начиная с июня 2025 года подпадает под новые нормы.

Сценарии применения ч. 15 для CEO: три типовые ситуации

Ситуация 1: повторная утечка через 8 месяцев после первого штрафа. Компания получила постановление по ч. 12 в августе 2025 года (штраф 3,5 млн ₽). В апреле 2026 года хакеры атаковали базу лояльности — утекло 5 000 записей. Срок с момента вступления в силу постановления — 8 месяцев, лицо ещё считается подвергнутым наказанию (ст. 4.6 КоАП). Нарушение квалифицируется по ч. 15. Стратегия: немедленно уведомить РКН в 24 часа (ч. 3.1 ст. 21 ФЗ-152), собрать документы об инвестициях в ИБ, инициировать внутреннее расследование с фиксацией принятых мер. При выручке 800 млн ₽ и подтверждённых инвестициях — реальный штраф 15–20 млн ₽ вместо 8–24 млн ₽.

Ситуация 2: утечка через подрядчика, первое постановление ещё обжалуется. Компания-оператор получила протокол по ч. 13 в октябре 2025 года и подала жалобу — постановление не вступило в силу. В феврале 2026 года облачный провайдер допустил инцидент с данными клиентов оператора. Повторности формально нет — первое постановление не вступило в силу. Квалификация: ч. 13 по второму инциденту (отдельное дело). Оборотного штрафа можно избежать при успешном оспаривании первого постановления. Ключевая тактика: синхронизировать рассмотрение обоих дел, добиться отмены первого постановления до вступления второго в силу.

Ситуация 3: крупная компания без истории нарушений, первая масштабная утечка. Компания с выручкой 15 млрд ₽, ранее не привлекалась по ст. 13.11. Утечка 200 000 субъектов в середине 2026 года. Квалификация — ч. 14 (штраф 10–15 млн ₽), а не ч. 15. Применение ст. 4.1.1 КоАП (замена на предупреждение) при первичном нарушении принципиально возможно, но для крупного оператора суды применяют её редко. Реальный диапазон — 10–15 млн ₽. Инвестиции в ИБ для ч. 14 примечание 3.4-2 не действует — это привилегия только оборотных составов.

Услуги DATUM по теме

• Защита при штрафе в арбитраже — оспаривание протоколов и постановлений по ч. 12–15 ст. 13.11, применение ст. 4.1 и 4.1.1 КоАП.
• Аудит соответствия 152-ФЗ — проверка 38 пунктов, выявление рисков повторного нарушения до прихода РКН.
• Сопровождение проверок РКН — представление интересов при внеплановой проверке, обжалование предписания.

Частые вопросы

1. Какие штрафы по ст. 13.11 КоАП действуют с 30.05.2025?

С 30.05.2025 ст. 13.11 КоАП действует в редакции ФЗ-420 от 30.11.2024 — 18 частей вместо прежних 7. За утечку от 1 000 до 10 000 субъектов — ч. 12, штраф для юрлица 3–5 млн ₽. От 10 000 до 100 000 субъектов — ч. 13, 5–10 млн ₽. Более 100 000 субъектов — ч. 14, 10–15 млн ₽. За неуведомление РКН об утечке в 24 часа — ч. 11, 1–3 млн ₽. Оборотный штраф за повторность — ч. 15, 1–3% выручки, не менее 20 млн ₽.

2. Что такое оборотный штраф 1–3% и от чего он считается?

Оборотный штраф по ч. 15 ст. 13.11 КоАП рассчитывается от совокупной выручки юридического лица за предшествующий календарный год. База — данные бухгалтерской отчётности (строка «Выручка» формы 2 по РСБУ). Нижний предел — 20 млн ₽ вне зависимости от размера выручки. Верхний предел — 500 млн ₽. Если 1% выручки составляет менее 20 млн — штраф всё равно 20 млн ₽. Скидка по ст. 32.2 КоАП (50% за досрочную уплату) к ч. 15 не применяется.

3. Когда применяется минимум 20 млн ₽ по ч. 15 ст. 13.11?

Минимум 20 млн ₽ применяется, когда расчётная сумма штрафа (1–3% выручки) оказывается ниже этой величины. Например, компания с выручкой 500 млн ₽: 1% = 5 млн ₽, что ниже минимума — штраф составит 20 млн ₽. При выручке 2 млрд ₽: 1% = 20 млн ₽, 3% = 60 млн ₽ — минимум не применяется, суд определяет конкретный процент в диапазоне 1–3%. При подтверждённых инвестициях в ИБ по ст. 4.1 КоАП минимум снижается до 15 млн ₽.

4. Можно ли заменить штраф по ч. 15 на предупреждение?

Нет. Замена административного штрафа на предупреждение по ст. 4.1.1 КоАП прямо исключена для ч. 15 и ч. 18 ст. 13.11 — это законодательный запрет, действующий с 30.05.2025. Ст. 4.1.1 применима при первичных нарушениях, отсутствии вреда и статусе микропредприятия или СМП — но только для составов, где замена не запрещена законом. По ч. 15 единственный инструмент снижения — документирование инвестиций в ИБ по ст. 4.1 КоАП (потолок 50 млн ₽) и оспаривание факта повторности или квалификации.

5. Какая подсудность дел по ст. 13.11 после ФЗ-508 от 28.12.2025?

С 28.12.2025 дела по ст. 13.11 КоАП переданы обратно мировым судьям — ФЗ-508 от 28.12.2025 вернул прежний порядок. В период с 30.05.2025 по 27.12.2025 дела рассматривали арбитражные суды. Практическое значение: мировые суды исторически более склонны к применению ст. 4.1.1 КоАП и смягчению при наличии документальных доказательств. Обжалование постановлений мировых судей — в районный суд, затем в суд субъекта.

Итог

Часть 15 ст. 13.11 КоАП — норма прямого действия. В 2026 году суды применяют её в первых делах, формируя практику расчёта базы, оценки повторности и принятия инвестиций в ИБ как смягчающего фактора. Для CEO риск оборотного штрафа реален при любом повторном инциденте в течение года после первого постановления.

Юристы DATUM сопровождают дела по ч. 12–15 ст. 13.11 КоАП с момента получения протокола: анализируют основание для квалификации, собирают доказательную базу по инвестициям в ИБ, оспаривают постановления в суде. Практика защиты по ст. 13.11 в новой редакции — с июня 2025 года.