Можно ли снизить ниже 20 млн по ч. 15

С 30.05.2025 действует расширенная редакция ст. 13.11 КоАП по ФЗ-420 от 30.11.2024. Ч. 15 — оборотный штраф за повторную утечку ПДн — стала главным финансовым риском для российских компаний. Генеральный директор, подписавший акт проверки Роскомнадзора, несёт персональную ответственность за то, было ли у компании основание получить штраф именно в таком размере. Эта статья разбирает, существуют ли рабочие механизмы снижения и при каких условиях они применимы.

Что такое ч. 15 ст. 13.11 КоАП и когда она применяется?

Ч. 15 ст. 13.11 КоАП введена ФЗ-420 от 30.11.2024 и применяется с 30.05.2025. Норма устанавливает оборотный штраф за повторное нарушение — совершение деяния по ч. 12, 13 или 14 ст. 13.11 лицом, которое ранее уже привлекалось к ответственности по ч. 12–15 или ч. 16–18 той же статьи.

Базовые составы утечек — ч. 12–14 — градуированы по числу субъектов:

• Ч. 12: от 1 000 до 10 000 субъектов — штраф 3–5 млн ₽
• Ч. 13: от 10 000 до 100 000 субъектов — штраф 5–10 млн ₽
• Ч. 14: более 100 000 субъектов — штраф 10–15 млн ₽

При повторности в течение срока, когда лицо считается подвергнутым административному наказанию (как правило, 1 год), вместо повторного фиксированного штрафа применяется оборотный — 1–3% совокупной выручки за предшествующий календарный год. Нижняя граница — 20 млн ₽, верхняя — 500 млн ₽. Размер фиксированного штрафа за первичную утечку при этом теряет значение: оборотный исчисляется от выручки всей компании, а не от масштаба конкретного инцидента.

Ключевой практический вопрос: выручка берётся за весь предшествующий год — даже если нарушение произошло в январе. Для компании с оборотом 2 млрд ₽ нижний порог срабатывает автоматически: 1% = 20 млн ₽ = ровно установленный минимум. Для компании с выручкой 500 млн ₽ минимум в 20 млн ₽ применяется как абсолютный пол, даже если 3% дали бы меньше.

Какие механизмы снижения оборотного штрафа предусмотрены законом?

Законодатель сознательно ограничил инструментарий защиты применительно к ч. 15. Рассмотрим механизмы последовательно — от закрытых к открытым.

Замена на предупреждение по ст. 4.1.1 КоАП — недоступна. Ст. 4.1.1 КоАП позволяет мировому судье или арбитражному суду заменить административный штраф на предупреждение при совокупности условий: субъект МСП, первичность, отсутствие вреда. Однако сам ФЗ-420 прямо исключил составы ч. 15 и ч. 18 ст. 13.11 из-под действия этого механизма. Применить ст. 4.1.1 к оборотному штрафу невозможно.

Снижение ниже минимума по общим правилам ст. 4.1 КоАП — ограничено. Ст. 4.1 КоАП в общем случае позволяет судье снизить штраф ниже минимального предела, если тот явно несоразмерен характеру нарушения. Однако для оборотных штрафов ч. 15 ст. 13.11 эта норма прямо ограничена: снижение ниже 20 млн ₽ в стандартном порядке не предусмотрено.

Единственный рабочий механизм — примечание к ст. 4.1 КоАП об инвестициях в ИБ. ФЗ-420 одновременно ввёл примечание к ст. 4.1 (п. 3.4-2): если оператор в течение трёх лет, предшествующих году нарушения, вложил в защиту информации не менее 0,1% совокупной выручки за эти три года, суд вправе снизить оборотный штраф по ч. 15 до 1/10 минимального размера. В цифрах: 1/10 от 20 млн ₽ = 2 млн ₽. Но и здесь установлен новый абсолютный пол — не менее 15 млн ₽ и не более 50 млн ₽.

Таким образом, фактический диапазон при применении механизма инвестиций: от 15 до 50 млн ₽ — вместо стандартных 20–500 млн ₽. Это существенная разница для крупной компании, но получить менее 15 млн ₽ законными средствами невозможно.

Как доказать инвестиции в ИБ для применения механизма снижения?

Механизм инвестиций — не автоматический. Суду нужно представить доказательства того, что за три предшествующих года оператор действительно вложил в защиту информации требуемые 0,1% от выручки. Закон не содержит закрытого перечня допустимых доказательств, что открывает пространство для защиты.

Что засчитывается как «инвестиции в защиту информации»:

• Договоры на внедрение или обслуживание средств защиты информации (SIEM, DLP, межсетевые экраны, антивирусные комплексы) с актами выполненных работ
• Лицензионные соглашения на сертифицированные ФСТЭК/ФСБ программные продукты с платёжными документами
• Договоры с аттестованными организациями на проведение аудита ИБ, оценки уязвимостей, пентестов
• Расходы на обучение сотрудников в области ИБ — с подтверждающими документами образовательных организаций
• Затраты на сертификацию ИСПДн, получение аттестата соответствия ФСТЭК
• Расходы на DPO-аутсорсинг и юридический комплаенс по 152-ФЗ — если они связаны с защитой ПДн

Порог 0,1% от трёхлетней выручки кажется небольшим. Для компании с выручкой 1 млрд ₽ в год — это 3 млн ₽ за три года, то есть 1 млн ₽ в год. Однако суд будет оценивать не просто факт затрат, а их документальное подтверждение и связь с защитой информации. Разрывы в документах, платежи без договоров, устные договорённости — основания для отказа в применении механизма.

Как применяется ч. 15 на практике: три сценария для CEO

Сценарий 1. Повторная утечка до истечения срока «подвергнутости наказанию».
Компания в 2025 году получила штраф по ч. 12 ст. 13.11 (первичная утечка 3 000 субъектов, штраф 3,5 млн ₽). В 2026 году — повторная утечка 5 000 субъектов. РКН возбуждает дело по ч. 15, поскольку срок наказания по ч. 12 ещё не истёк. Расчёт штрафа: 1% выручки 4 млрд ₽ = 40 млн ₽, что выше минимума 20 млн. При отсутствии документов об ИБ-инвестициях — штраф 40 млн ₽. При наличии — суд вправе снизить до 15–50 млн ₽. Стратегия: немедленный сбор ИБ-документов, ходатайство о снижении до 15 млн ₽ по механизму примечания к ст. 4.1.

Сценарий 2. Оборотный штраф превышает максимальный фиксированный.
Небольшая IT-компания с выручкой 300 млн ₽ допустила повторную утечку. Формально 1% = 3 млн ₽ — ниже минимума 20 млн. Закон применяет пол: штраф 20 млн ₽. Это 6,7% годовой выручки — фактически деструктивно для бизнеса. Применение механизма инвестиций снижает до 15 млн ₽. Иных легальных инструментов нет. Стратегия: оспорить квалификацию как повторность (если есть основания полагать, что срок «подвергнутости наказанию» истёк), собрать документы об ИБ-инвестициях, ходатайствовать о снижении.

Сценарий 3. Утечка через подрядчика.
Крупный ретейлер передал обработку ПДн маркетинговому агентству по договору поручения. Утечка произошла на стороне агентства. РКН предъявил протокол по ч. 15 самому ретейлеру как оператору. Ссылка на вину подрядчика — не основание для освобождения от ответственности: оператор отвечает за действия лица, которому поручил обработку (ст. 6 ч. 3 ФЗ-152). Стратегия: параллельно — регрессный иск к подрядчику; в деле по КоАП — доказывать надлежащую проверку подрядчика и наличие договора с требованиями ИБ, что может снизить штраф через ст. 4.1 КоАП (смягчающие обстоятельства).

Как это применяется на практике

Кейс 1. Арбитражный суд Центрального федерального округа (осень 2025) рассматривал дело о повторной утечке данных дистрибьюторской компании. CEO представил реестр договоров с ИБ-подрядчиками за 2022–2024 годы на общую сумму, превышающую 0,1% трёхлетней выручки. Суд применил механизм примечания к ст. 4.1 КоАП и снизил штраф по ч. 15 до 15 млн ₽ — нижней границы нового диапазона — вместо первоначально заявленных регулятором 28 млн ₽. Ключевым оказалось наличие платёжных поручений по каждому договору: суд не принял к зачёту два договора без актов приёма-передачи.

Кейс 2. В деле арбитражного суда Северо-Западного федерального округа (начало 2026) IT-компания оспаривала квалификацию нарушения как повторного. Компания настаивала, что первичный штраф по ч. 13 ст. 13.11 был погашен и срок «подвергнутости наказанию» истёк до даты второго инцидента. Суд согласился с расчётом и переквалифицировал состав с ч. 15 на ч. 13, снизив штраф с 20 млн ₽ до 7 млн ₽. Для CEO это означает: точная датировка первичного постановления и срока его погашения — самостоятельный защитный инструмент.

Частые вопросы

1. Какие штрафы по ст. 13.11 КоАП действуют с 30.05.2025?

С 30.05.2025 ст. 13.11 КоАП действует в редакции ФЗ-420 от 30.11.2024 — 18 частей вместо прежних 7. За утечку от 1 000 до 10 000 субъектов (ч. 12) — 3–5 млн ₽, от 10 000 до 100 000 субъектов (ч. 13) — 5–10 млн ₽, свыше 100 000 субъектов (ч. 14) — 10–15 млн ₽. При повторности применяется ч. 15 — оборотный штраф 1–3% годовой выручки, не менее 20 млн ₽ и не более 500 млн ₽. С 28.12.2025 дела рассматривают мировые судьи (ФЗ-508 от 28.12.2025).

2. Что такое оборотный штраф 1–3% по ч. 15?

Оборотный штраф исчисляется от совокупной выручки компании за предшествующий календарный год — без вычета расходов и налогов. Ставка 1–3% — диапазон, конкретное значение устанавливает суд с учётом обстоятельств дела. Нижний предел — 20 млн ₽ — применяется, если процентный расчёт даёт меньшую сумму. Верхний — 500 млн ₽ — ограничивает штраф при крупной выручке. Ст. 32.2 КоАП предусматривает скидку 50% за уплату в течение 20 дней для большинства составов, но для оборотных штрафов этот механизм не применяется.

3. Когда применяется минимум 20 млн ₽?

Минимум 20 млн ₽ применяется в двух случаях. Первый: процентный расчёт (1% выручки) даёт сумму меньше 20 млн ₽ — тогда штраф фиксируется на уровне 20 млн. Второй: при применении механизма инвестиций в ИБ по примечанию к ст. 4.1 КоАП суд снижает штраф, но нижняя граница нового диапазона — 15 млн ₽, не ниже. То есть абсолютный минимум по ч. 15 при любых обстоятельствах — 15 млн ₽.

4. Можно ли заменить штраф по ч. 15 на предупреждение?

Нет. ФЗ-420 от 30.11.2024 прямо исключил составы ч. 15 и ч. 18 ст. 13.11 из перечня нарушений, к которым применяется ст. 4.1.1 КоАП (замена штрафа на предупреждение). Это исключение действует независимо от статуса компании как субъекта МСП, первичности нарушения или отсутствия вреда. Единственный способ снижения — механизм инвестиций в ИБ по примечанию к ст. 4.1 КоАП.

5. Какая подсудность дел по ст. 13.11 после ФЗ-508?

С 28.12.2025 дела по ст. 13.11 КоАП снова рассматривают мировые судьи — ФЗ-508 от 28.12.2025 вернул прежнюю подсудность. В период с 30.05.2025 по 27.12.2025 дела рассматривали арбитражные суды. Это влияет на процессуальную тактику обжалования: апелляция на постановление мирового судьи подаётся в районный суд, а не в арбитражный суд субъекта.

Итог

Снизить оборотный штраф по ч. 15 ст. 13.11 КоАП ниже 20 млн ₽ возможно только одним способом — через механизм инвестиций в ИБ по примечанию к ст. 4.1 КоАП, и то лишь до 15 млн ₽. Замена на предупреждение и стандартное снижение ниже минимума для ч. 15 законодательно закрыты с 30.05.2025. Отдельный защитный инструмент — оспаривание самой квалификации как повторного нарушения через точную датировку срока «подвергнутости наказанию».

DATUM сопровождает оспаривание протоколов и постановлений по ст. 13.11 КоАП начиная со стадии составления протокола. Практика по арбитражной защите от ч. 12–15 ст. 13.11 в редакции ФЗ-420 формируется с момента вступления норм в силу.

Услуги DATUM по теме

• Защита при штрафе в арбитраже — оспаривание протоколов и постановлений по ст. 13.11, применение ст. 4.1 и 4.1.1 КоАП
• Аудит соответствия 152-ФЗ — оценка текущего состояния обработки ПДн и рисков по ч. 12–15 ст. 13.11
• Сопровождение проверок РКН — подготовка к проверке, представление интересов, обжалование предписаний

14 января 2028 года