Протокол по ст. 13.11 КоАП: процедура

Реформа ст. 13.11 КоАП, введённая ФЗ-420 от 30.11.2024, изменила не только санкции, но и логику правоприменения: протокол теперь составляется по одной из 18 частей, а выбор части определяет орган рассмотрения, сроки и максимальный размер штрафа. Юрист, получивший уведомление РКН, должен действовать в нескольких измерениях одновременно: проверить процедуру, оспорить квалификацию и подготовить доказательства смягчения. В этом материале — пошаговый разбор от основания проверки до обжалования постановления.

Что является основанием для составления протокола по ст. 13.11 КоАП?

Протокол составляется должностным лицом РКН после выявления признаков нарушения в ходе плановой или внеплановой проверки, профилактического визита либо рассмотрения жалобы субъекта персональных данных. Плановые проверки проводятся по ежегодному плану, публикуемому на сайте РКН; внеплановые — при наличии индикаторов риска, утверждённых Приказом РКН, или поступлении обращения от субъекта.

Индикаторы риска, применяемые Роскомнадзором, охватывают: отсутствие оператора в реестре операторов персональных данных, отсутствие опубликованной политики обработки ПДн, жалобы субъектов, сведения об утечке в открытых источниках, несоответствие уведомления по Приказу РКН №180 от 28.10.2022 фактической деятельности. Профилактический визит — более мягкая форма: должностное лицо вправе выдать предписание об устранении нарушений без составления протокола, если оператор согласился с нарушением и устранил его.

Мораторий на проверки малого и среднего бизнеса, действовавший в 2022–2023 годах, формально снят. РКН при этом активно использует альтернативные инструменты контроля — профилактические визиты и наблюдение через мониторинг реестра. Это означает, что составление протокола без предварительного предупреждения стало стандартной практикой для случаев, которые подпадают под индикаторы риска.

Как проходит процедура составления протокола?

Составление протокола — строго регламентированная процедура. Должностное лицо РКН обязано уведомить представителя оператора о времени и месте составления; присутствие представителя — право, а не обязанность компании, но отсутствие без уважительной причины не препятствует составлению. Протокол составляется при наличии надлежащего уведомления.

В протоколе фиксируются: дата и место составления, данные должностного лица, сведения об операторе, описание события правонарушения со ссылкой на конкретную часть ст. 13.11 КоАП, нормы ФЗ-152, которые нарушены, доказательства. Представитель оператора вправе давать объяснения, которые вносятся в протокол или прилагаются к нему. Отказ от подписи фиксируется в протоколе; это не влечёт прекращения производства.

Процессуальные нарушения при составлении протокола образуют самостоятельное основание для его признания недопустимым доказательством: ненадлежащее уведомление, составление по ненадлежащей части, отсутствие описания конкретного события. Каждое из них необходимо фиксировать в объяснениях на стадии составления — это создаёт доказательную базу для обжалования.

Какие части ст. 13.11 КоАП наиболее часто применяются на практике?

По итогам 2025 года правоприменительная практика по ст. 13.11 в новой редакции только формируется: РКН зафиксировал 118 случаев компрометации баз данных, но административных штрафов по новым нормам назначено лишь шесть на общую сумму около 570 тыс. ₽ (данные InfoWatch, февраль 2026). Это объясняется переходным периодом: основная часть инцидентов произошла до 30.05.2025 и квалифицируется по старой редакции.

Наиболее распространённые составы в текущей практике:

• Ч. 1 — обработка ПДн в случаях, не предусмотренных законом, или несовместимая с целями (150 000–300 000 ₽). Типичная ситуация: обработка без правового основания по ст. 6 ФЗ-152 или цель фактической обработки шире заявленной в реестре операторов.
• Ч. 2 — обработка без письменного согласия или с нарушением требований к его составу (300 000–700 000 ₽). Актуально с 01.09.2025: согласие по ФЗ-156 от 24.06.2025 оформляется отдельным документом, не объединяется с договором или офертой.
• Ч. 3 — непубликация политики обработки ПДн (30 000–60 000 ₽). Самый низкий штраф, но один из самых частых поводов для инициирования проверки.
• Ч. 10 — неуведомление РКН о намерении осуществлять обработку ПДн (100 000–300 000 ₽). Обязанность установлена ст. 22 ФЗ-152, форма уведомления — Приказ РКН №180.
• Ч. 11 — неуведомление или несвоевременное уведомление об инциденте (1 000 000–3 000 000 ₽). Срок — 24 часа с момента обнаружения по ч. 3.1 ст. 21 ФЗ-152 и Приказу РКН №187 от 14.11.2022.
• Ч. 12–14 — составы за утечку в зависимости от числа субъектов: от 3 000 000 до 15 000 000 ₽. При повторности — оборотный штраф по ч. 15.

Как применяются смягчающие обстоятельства и ст. 4.1 КоАП?

Ст. 4.1 КоАП позволяет при наличии смягчающих обстоятельств назначить штраф ниже минимального размера, но не менее половины минимума. Ключевые смягчающие обстоятельства для дел по ст. 13.11: добровольное устранение нарушения до рассмотрения дела, содействие РКН в ходе проверки, отсутствие предшествующих нарушений, принятие мер по предотвращению вреда субъектам.

Примечание 3.4-2 к ст. 4.1 КоАП, введённое ФЗ-420, предусматривает специальный механизм для оборотных штрафов по ч. 15 и ч. 18 ст. 13.11: если оператор вложил в информационную безопасность не менее 0,1% совокупной выручки за три предшествующих года, штраф составляет 1/10 минимального размера, но не менее 15 млн ₽ и не более 50 млн ₽. Этот механизм требует документального подтверждения инвестиций: договоры с поставщиками ИБ-решений, платёжные поручения, акты внедрения.

Ст. 4.1.1 КоАП — замена штрафа предупреждением — применима при совокупности условий: субъект МСП или микропредприятие, первичное нарушение, отсутствие вреда охраняемым интересам, нет угрозы жизни и здоровью. В 2025–2026 годах арбитражные суды применяли эту норму к делам по ч. 1 ст. 13.11, когда оператор устранял нарушение до рассмотрения дела и представлял доказательства.

Как это применяется на практике

Кейс 1. Торговая компания (Центральный ФО, весна 2026) получила протокол по ч. 2 ст. 13.11 КоАП: согласия работников были включены в текст трудовых договоров, что с 01.09.2025 нарушает требования ФЗ-156 к отдельному документу. Штраф по санкции части — до 700 000 ₽. Юрист компании при составлении протокола зафиксировал в объяснениях факт добровольного переоформления согласий за две недели до проверки и представил комплект новых форм. По результатам рассмотрения мировой судья применил ст. 4.1 КоАП и назначил штраф у нижней границы санкции.

Кейс 2. IT-компания (Северо-Западный ФО, осень 2025) получила протокол по ч. 10 и ч. 11 ст. 13.11 одновременно: уведомление о намерении обрабатывать ПДн в реестре отсутствовало, а об инциденте РКН уведомлён через 36 часов вместо положенных 24. По ч. 11 штраф в диапазоне 1–3 млн ₽ был оспорен: защита доказала, что 36-часовой интервал частично объяснялся необходимостью идентификации категорий затронутых ПДн, что соответствует духу Приказа РКН №187 о содержательности уведомления. Арбитражный суд региона снизил штраф до нижней границы санкции с учётом смягчающих обстоятельств. ⚠️ Конкретный номер дела и точная дата — менеджер уточняет при публикации.

Услуги DATUM по теме

• Защита при штрафе в арбитраже — оспаривание протокола и постановления, применение ст. 4.1 и 4.1.1 КоАП
• Сопровождение проверок РКН — подготовка, представление интересов, обжалование предписания
• Аудит соответствия 152-ФЗ — выявление оснований для протокола до прихода РКН

Частые вопросы

1. Как подготовиться к проверке РКН?

Проверьте наличие уведомления в реестре операторов на pd.rkn.gov.ru и соответствие его содержания фактической обработке. Убедитесь, что политика обработки ПДн опубликована на сайте и содержит разделы по ч. 2 ст. 18.1 ФЗ-152. Проверьте, оформлены ли согласия работников и клиентов отдельными документами в соответствии с требованиями ст. 9 ФЗ-152 в редакции с 01.09.2025. Назначьте ответственного по ст. 22.1 ФЗ-152. Подготовьте журнал обращений субъектов за последние 12 месяцев и регламент реагирования на утечки.

2. Какие индикаторы риска использует РКН?

Роскомнадзор применяет индикаторы риска, утверждённые подзаконным актом РКН. К типичным относятся: отсутствие в реестре операторов или несоответствие реестровой записи фактической деятельности, отсутствие политики обработки ПДн в открытом доступе, поступление жалоб субъектов, публикации об утечке в СМИ или в даркнете, несоблюдение требований локализации по ч. 5 ст. 18 ФЗ-152. Наличие хотя бы одного индикатора — достаточное основание для внеплановой проверки без предупреждения.

3. Можно ли отказаться отвечать на запрос РКН?

Отказ от ответа на запрос РКН в ходе проверки не освобождает от ответственности и создаёт дополнительный риск: должностное лицо фиксирует факт непредставления, что может быть квалифицировано как воспрепятствование. Вместе с тем оператор вправе запросить разъяснения об основаниях проверки, уточнить перечень запрашиваемых документов и ограничить предоставление сведений, составляющих охраняемую законом тайну. Любые пояснения рекомендуется давать в письменном виде с фиксацией даты подачи.

4. Что грозит за невыполнение предписания РКН?

Невыполнение предписания РКН об устранении нарушения влечёт самостоятельную административную ответственность по ч. 1 ст. 19.5 КоАП: штраф для юридического лица — от 10 000 до 20 000 ₽. Повторное невыполнение может повлечь дисквалификацию должностного лица. Помимо этого, невыполнение предписания лишает оператора возможности ссылаться на добровольное устранение нарушения как смягчающее обстоятельство при рассмотрении основного дела по ст. 13.11 КоАП.

5. Куда обжаловать постановление по ст. 13.11 КоАП?

С 28.12.2025 (ФЗ-508 от 28.12.2025) дела по ст. 13.11 КоАП рассматривают мировые судьи. Постановление мирового судьи обжалуется в районный суд в течение 10 суток с момента вручения или получения копии. Решение районного суда — в суд субъекта. Постановления, вынесенные в период с 30.05.2025 по 27.12.2025 арбитражными судами, обжалуются в арбитражный суд апелляционной инстанции. При обжаловании обратите внимание на процессуальные нарушения при составлении протокола: они рассматриваются в приоритетном порядке.

Итог

Протокол по ст. 13.11 КоАП — не финальный акт, а начало административного производства, в котором у оператора есть несколько инструментов защиты: оспаривание процедуры составления, переквалификация состава, применение ст. 4.1 и ст. 4.1.1 КоАП, документальное подтверждение инвестиций в ИБ для снижения оборотного штрафа. С 30.05.2025 санкции существенно выросли, но одновременно появились и новые механизмы смягчения.

Юристы DATUM сопровождают дела по ст. 13.11 КоАП с момента получения уведомления о проверке до вынесения постановления и при необходимости — в апелляции. Практика охватывает как текущую редакцию с 18 частями, так и переходные ситуации, когда инцидент произошёл до 30.05.2025.