Считается ли выручка группы компаний по ч. 15

С 30 мая 2025 года оборотный штраф за повторную утечку персональных данных стал реальностью для любого крупного оператора. Для группы компаний вопрос «чья выручка» — не академический: разница между штрафом в 20 млн ₽ и 200 млн ₽ может определяться одним словом в корпоративной структуре. В этом материале разбираем, как сформулирована норма ч. 15 ст. 13.11 КоАП, что берётся за базу расчёта, когда суд может расширить периметр и какие аргументы снижают размер санкции.

Как сформулирован оборотный штраф по ч. 15 ст. 13.11 КоАП?

Ч. 15 ст. 13.11 КоАП введена ФЗ-420 от 30.11.2024 и действует с 30.05.2025. Санкция применяется, если юридическое лицо ранее привлекалось к ответственности по ч. 12–14, 15, 16 или 17 той же статьи. То есть основание — повторность нарушений, связанных с утечкой персональных данных.

Ключевое слово в норме — «правонарушителя». КоАП не использует понятия «группа компаний», «холдинг», «материнская компания» или «консолидированная выручка». Субъект административной ответственности по ст. 13.11 — конкретное юридическое лицо, которое признано оператором персональных данных и совершило нарушение. Именно его выручка за предшествующий календарный год берётся в расчёт.

Это подтверждает общая логика КоАП: административная ответственность строго персонифицирована. Ст. 2.10 КоАП устанавливает ответственность юридических лиц за собственные действия. Нет нормы, которая позволяла бы суду суммировать выручку нескольких юридических лиц при расчёте штрафа одному из них.

Что считается «совокупной выручкой» для целей ч. 15?

КоАП не раскрывает понятие «совокупная выручка» применительно к ст. 13.11. По аналогии с антимонопольной практикой (ч. 1 ст. 14.31 КоАП, ст. 178 УК) и разъяснениями ФАС выручка определяется как сумма, полученная от реализации товаров, работ и услуг за соответствующий период без НДС. Источник данных — бухгалтерская отчётность оператора-правонарушителя.

На практике регулятор запросит отчётность того юридического лица, которому выставлен протокол. Если оператором является операционная «дочка» с выручкой 500 млн ₽, расчёт идёт от 500 млн, а не от консолидированной выручки группы в 50 млрд ₽. Это создаёт очевидный структурный стимул для группы компаний: разграничить роли оператора и бенефициара данных между разными юридическими лицами.

Однако такой подход работает только при реальном, а не номинальном разграничении функций. Если «дочка» фактически обрабатывает данные в интересах материнской компании без надлежащего поручения по п. 3 ст. 6 ФЗ-152, РКН вправе признать оператором и материнскую структуру или оспорить правомерность передачи.

Когда суд может расширить базу расчёта штрафа?

Действующая редакция КоАП не содержит механизма «прокола корпоративной вуали» при расчёте оборотного штрафа. Тем не менее существуют сценарии, при которых периметр ответственности фактически расширяется.

Сценарий первый. Несколько операторов в одной структуре. Если несколько юридических лиц группы зарегистрированы как самостоятельные операторы ПДн в реестре РКН и каждое из них причастно к инциденту, РКН вправе составить протоколы на каждое. Суммарная нагрузка на группу превысит расчёт по одному юрлицу. Ситуация: крупный ритейлер с операционной сетью из 15 региональных «дочек» — каждая в реестре. При утечке единой CRM все 15 потенциально в зоне риска.

Сценарий второй. Переквалификация субъекта ответственности. Если РКН установит, что формальным оператором выступает «дочка» с минимальной выручкой, а фактические решения об обработке ПДн принимает управляющая компания, регулятор вправе составить протокол на управляющую компанию. Доказательная база: данные реестра, внутренние регламенты, переписка, ИТ-инфраструктура. Стратегия: при реальном разграничении ролей — документировать поручение на обработку (п. 3 ст. 6 ФЗ-152), согласовать с управляющей компанией роли в договорной документации.

Сценарий третий. Повторность у нескольких лиц группы. Ч. 15 требует предыдущего привлечения того же лица. Если «дочка» ранее не привлекалась, а «мать» — привлекалась, ч. 15 к «дочке» не применяется. Однако если группа реструктурирована специально для обнуления истории нарушений, суд оценит такую реструктуризацию как обстоятельство, отягчающее ответственность.

Как снизить размер штрафа по ч. 15 ст. 13.11 КоАП?

Оборотный штраф по ч. 15 не допускает замены на предупреждение по ст. 4.1.1 КоАП. Это прямо следует из конструкции нормы: ч. 15 — повторный состав, к которому ст. 4.1.1 не применяется. Досрочная уплата со скидкой по ст. 32.2 КоАП также не действует: скидка 50% установлена для штрафов за нарушения ПДД и ряда иных составов, но не для ст. 13.11.

Работающие механизмы снижения — три.

Первый: льгота за инвестиции в ИБ. Примечание 3.4-2 к ст. 4.1 КоАП (введено ФЗ-420) устанавливает: если оператор вложил в информационную безопасность не менее 0,1% совокупной выручки за три предшествующих года, штраф по ч. 15 составляет одну десятую минимального размера, но не менее 15 млн ₽ и не более 50 млн ₽. Для компании с выручкой 10 млрд ₽ это означает потолок в 50 млн вместо 300 млн ₽ при расчёте 3% от выручки. Условие — документально подтверждённые расходы на средства защиты информации, сертифицированные ФСТЭК или ФСБ.

Второй: обжалование размера нарушения. Ч. 12–14 ст. 13.11 привязаны к числу субъектов и идентификаторов. Если в первоначальном деле (на которое ссылается ч. 15) был неправильно определён масштаб утечки, суд может пересмотреть квалификацию. Снижение с ч. 14 на ч. 12 меняет базовый состав, а при несоблюдении формальных условий повторности — исключает применение ч. 15.

Третий: смягчающие обстоятельства по ст. 4.1 КоАП. Суд учитывает добровольное уведомление РКН в 24 часа, принятые меры по устранению последствий, сотрудничество с регулятором. Эти обстоятельства не снижают штраф ниже минимума, но влияют на выбор конкретного значения внутри диапазона 1–3%.

Как применяется норма на практике: примеры из судебной практики

Кейс 1. В деле Арбитражного суда Москвы № А40-351064/2025 (кейс РЭШ) суд применил ч. 14 ст. 13.11 КоАП к оператору с утечкой более 100 000 субъектов. Штраф был существенно снижен от диапазона нормы (10–15 млн ₽) до 400 000 ₽ — суд применил расчёт для субъекта малого предпринимательства по ч. 1 ст. 4.1.2 КоАП. Вывод для группы компаний: статус юридического лица в части малого/среднего бизнеса влияет на расчёт так же, как и сама выручка.

Кейс 2. В деле Арбитражного суда Санкт-Петербурга и Ленинградской области № А56-4733/2026 (ПКР Аналитика) суд рассматривал утечку около 70 000 субъектов. Квалификация — ч. 14 ст. 13.11 КоАП. Суд применил смягчающие обстоятельства и снизил штраф ниже диапазона нормы. Принципиально: выручка считалась по отчётности самого оператора, без учёта аффилированных структур.

Частые вопросы

1. Какие штрафы по ст. 13.11 КоАП действуют с 30.05.2025?

С 30 мая 2025 года ст. 13.11 КоАП действует в редакции ФЗ-420 от 30.11.2024 и содержит 18 частей. Базовые санкции: ч. 1 (обработка без оснований) — 150–300 тыс. ₽, ч. 2 (нарушение требований к согласию) — 300–700 тыс. ₽, ч. 12 (утечка 1–10 тыс. субъектов) — 3–5 млн ₽, ч. 13 (10–100 тыс.) — 5–10 млн ₽, ч. 14 (более 100 тыс.) — 10–15 млн ₽, ч. 15 (повторная утечка, оборотный) — 1–3% выручки, минимум 20 млн ₽, максимум 500 млн ₽. Подсудность с 28.12.2025 — мировые судьи (ФЗ-508).

2. Что такое оборотный штраф 1–3% и как он считается?

Оборотный штраф по ч. 15 ст. 13.11 КоАП — процент от совокупной выручки конкретного юридического лица-нарушителя за предшествующий календарный год. Берётся бухгалтерская выручка от реализации без НДС. Минимальный штраф — 20 млн ₽ даже при выручке ниже 2 млрд ₽. Максимальный — 500 млн ₽. Выручка группы компаний не суммируется: в расчёт идёт только отчётность того юридического лица, которое признано оператором-правонарушителем.

3. Когда применяется минимум 20 млн ₽ по ч. 15?

Минимум 20 млн ₽ применяется, когда расчёт 1–3% от выручки оператора даёт сумму ниже этого порога. Например, если выручка оператора — 500 млн ₽, то 1% составит 5 млн ₽, что ниже минимума. Штраф в таком случае будет назначен в размере 20 млн ₽. При применении льготы за инвестиции в ИБ (примечание 3.4-2 к ст. 4.1 КоАП) нижняя граница снижается до 15 млн ₽, верхняя — до 50 млн ₽.

4. Можно ли заменить штраф по ч. 15 на предупреждение?

Нет. Замена административного штрафа предупреждением по ст. 4.1.1 КоАП не применяется к ч. 15 ст. 13.11. Это повторный состав, и закон прямо исключает такую замену. Для снижения размера штрафа доступны другие механизмы: льгота за инвестиции в ИБ (примечание 3.4-2 к ст. 4.1 КоАП), смягчающие обстоятельства по ст. 4.1 КоАП, оспаривание масштаба нарушения и квалификации первоначального состава.

5. Какая подсудность дел по ст. 13.11 КоАП после ФЗ-508?

С 28 декабря 2025 года дела по ст. 13.11 КоАП рассматривают мировые судьи (ФЗ-508 от 28.12.2025). С 30.05.2025 по 27.12.2025 дела рассматривали арбитражные суды. Возврат подсудности мировым судьям влияет на процессуальную тактику: обжалование в районный суд, иные сроки и процедуры, чем в арбитраже.

Итог

Оборотный штраф по ч. 15 ст. 13.11 КоАП рассчитывается от выручки конкретного юридического лица — оператора персональных данных, а не от консолидированной выручки группы. Это создаёт пространство для управления риском через корректную структуру операторов в группе, договоры поручения и документирование инвестиций в ИБ. Минимум санкции — 20 млн ₽ — применяется независимо от выручки и не снижается ниже 15 млн ₽ даже при наличии льготы.

Юристы DATUM сопровождают операторов в спорах по ст. 13.11 КоАП с момента первого протокола: оценивают базу расчёта, готовят доказательную документацию по инвестициям в ИБ, обжалуют постановления в суде.

Услуги DATUM по теме

• Защита при штрафе в арбитраже — оспаривание протоколов и постановлений по ст. 13.11 КоАП
• Аудит соответствия 152-ФЗ — оценка структуры операторов и рисков для группы компаний
• Сопровождение проверок РКН — подготовка и представление интересов

22 декабря 2027 года