Смягчающие обстоятельства по ч. 12 ст. 13.11

С 30 мая 2025 года ч. 12 ст. 13.11 КоАП в редакции ФЗ-420 от 30.11.2024 предусматривает для юрлица штраф от 3 до 5 млн ₽ за утечку персональных данных от 1 000 до 10 000 субъектов или от 10 000 до 100 000 идентификаторов. Для CEO это означает: один подтверждённый инцидент среднего масштаба стоит компании до 5 млн ₽ в первый раз и до 500 млн ₽ при повторности. Ниже — разбор того, какие обстоятельства суд и Роскомнадзор признают смягчающими, как их документировать и в какой момент подавать.

Что изменилось в ст. 13.11 КоАП с 30.05.2025?

До вступления в силу ФЗ-420 от 30.11.2024 статья 13.11 КоАП содержала семь частей, и максимальный штраф для юрлица не превышал нескольких сотен тысяч рублей. С 30 мая 2025 года статья перестроена в 18 частей. Составы, связанные с утечками, выделены в отдельный блок: ч. 12 — утечка от 1 000 до 10 000 субъектов (3–5 млн ₽), ч. 13 — от 10 000 до 100 000 субъектов (5–10 млн ₽), ч. 14 — свыше 100 000 субъектов (10–15 млн ₽).

Критически важна ч. 15: при повторном нарушении по ч. 12–14 оборотный штраф составляет от 1 до 3% совокупной годовой выручки за предшествующий календарный год, но не менее 20 млн ₽ и не более 500 млн ₽. Скидка за досрочную оплату по ст. 32.2 КоАП на оборотные штрафы не распространяется.

С 28 декабря 2025 года, после вступления в силу ФЗ-508, подсудность дел по ст. 13.11 КоАП вернулась к мировым судьям. В период с 30 мая по 27 декабря 2025 года дела рассматривали арбитражные суды. Это влияет на процессуальный порядок обжалования: апелляция на постановление мирового судьи подаётся в районный суд, а не в арбитражный апелляционный.

Какие смягчающие обстоятельства признаёт суд по ч. 12 ст. 13.11?

Ст. 4.1 КоАП закрепляет перечень обстоятельств, при которых суд вправе назначить штраф ниже минимума или применить иные послабления. Для составов ч. 12–14 ст. 13.11 практика складывается с середины 2025 года, и суды опираются на тот же перечень, что и по другим административным составам.

Перечень обстоятельств, которые суды систематически учитывают как смягчающие:

• Добровольное уведомление РКН об утечке в установленные сроки. Направление первичного уведомления в течение 24 часов (ч. 3.1 ст. 21 ФЗ-152) и отчёта в течение 72 часов (Приказ РКН №187) — прямое доказательство добросовестности. Суды оценивают как деятельное раскаяние.
• Первичность нарушения. Отсутствие ранее вынесенных постановлений по ст. 13.11 КоАП — стандартное смягчающее обстоятельство по ст. 4.1 КоАП. Подтверждается справкой из базы исполнительных производств и сведениями из РКН.
• Оперативное устранение последствий. Блокирование канала утечки, уведомление пострадавших субъектов, восстановление целостности ИСПДн — суды фиксируют как активное снижение вреда.
• Введение дополнительных мер защиты после инцидента. Доказательства: приказы о внедрении новых технических мер, обновлённые регламенты, аудит после инцидента. Подкрепляет позицию, что нарушение не системное.
• Отсутствие реального вреда субъектам. Если утечка ограничилась контактными данными без специальных категорий и нет подтверждённых случаев ущерба субъектам — это основание для смягчения в совокупности с другими обстоятельствами.
• Незначительный масштаб при нижней границе диапазона. Утечка 1 000–1 500 субъектов ближе к нижнему пределу ч. 12, чем 9 000–10 000, — при одинаковом составе это учитывается при выборе суммы внутри диапазона 3–5 млн ₽.

Каждое смягчающее обстоятельство должно быть подтверждено документально до момента рассмотрения дела. Устные объяснения без приложений суды принимают как второстепенные.

Как работает инвестиционная скидка по примечанию 3.4-2 к ст. 4.1 КоАП?

ФЗ-420 от 30.11.2024 ввёл механизм снижения оборотного штрафа для компаний, инвестирующих в информационную безопасность. Согласно примечанию 3.4-2 к ст. 4.1 КоАП, при инвестициях в ИБ в размере не менее 0,1% совокупной выручки за три предшествующих года оборотный штраф по ч. 15 ст. 13.11 назначается в размере одной десятой минимального, но не менее 15 млн ₽ и не более 50 млн ₽.

Механизм применяется только к оборотному штрафу по ч. 15, то есть при повторном нарушении. К штрафу по ч. 12 в первый раз он формально не применяется — там работают общие смягчающие по ст. 4.1 КоАП. Однако документация об инвестициях в ИБ усиливает позицию компании и при первичном нарушении: суд учитывает её как свидетельство системной работы по защите ПДн.

Для подтверждения инвестиций потребуются: договоры на приобретение средств защиты информации, лицензии ФСТЭК-сертифицированных продуктов, оплаченные счета за аудиты и пентесты, штатное расписание ИБ-подразделения. Расчёт ведётся за три полных календарных года, предшествующих году нарушения.

Когда суд заменяет штраф на предупреждение по ст. 4.1.1 КоАП?

Ст. 4.1.1 КоАП позволяет заменить административный штраф предупреждением для субъектов малого и среднего предпринимательства при первичном нарушении и отсутствии реального вреда. Однако применительно к ст. 13.11 КоАП эта норма работает с ограничениями.

Замена на предупреждение возможна только по тем частям ст. 13.11, для которых ч. 4.1.1 прямо не установлен запрет. К ч. 12 в первый раз — замена теоретически возможна для микропредприятий при соблюдении всех условий: первичность, отсутствие вреда, статус СМП. К ч. 15 (оборотный) и ч. 18 — замена на предупреждение не применяется.

Из судебной практики 2025–2026 годов: компания с числом сотрудников до 15 человек получила предупреждение вместо штрафа по ч. 1 ст. 13.11, несмотря на утечку базы данных работников. Суд применил ст. 4.1.1 КоАП с учётом статуса микропредприятия, первичности нарушения и отсутствия доказанного вреда субъектам. По ч. 12 аналогичный исход менее вероятен из-за масштаба инцидента, но не исключён при нижней границе диапазона (1 000–2 000 субъектов) и совокупности смягчающих.

Как применяются смягчающие на практике: три сценария для CEO

Сценарий 1. Утечка 1 500 субъектов, первичное нарушение, уведомление РКН в срок. Компания обнаружила инцидент, направила первичное уведомление за 22 часа, отчёт за 68 часов. На момент рассмотрения дела подготовлены: акт расследования, приказы о внедрении дополнительных мер, справка об отсутствии ранее вынесенных постановлений. Суд назначил штраф в размере 3 млн ₽ (минимум по ч. 12). Снижение ниже минимума без специального основания невозможно — но выбор нижней границы диапазона уже экономия в 2 млн ₽ относительно максимума.

Сценарий 2. Та же утечка, но уведомление РКН просрочено на 6 часов. Компания направила первичное уведомление через 30 часов, не укладываясь в 24-часовой срок по ч. 3.1 ст. 21 ФЗ-152. Результат: помимо протокола по ч. 12 (3–5 млн ₽), РКН составляет протокол по ч. 11 (неуведомление об утечке) — штраф от 1 до 3 млн ₽. Совокупная ответственность возрастает. Просрочка уведомления лишает компанию главного смягчающего довода о добросовестности.

Сценарий 3. Повторная утечка — ч. 15 вместо ч. 12. Компания уже получала постановление по ч. 12 в 2025 году. В 2026 году зафиксирована новая утечка от 1 500 субъектов. Квалификация меняется на ч. 15 — оборотный штраф. При годовой выручке 800 млн ₽ минимальный оборотный штраф составит 20 млн ₽ (1% = 8 млн ₽, но минимум — 20 млн). При подтверждённых инвестициях в ИБ от 0,1% выручки за три года (не менее 2,4 млн ₽ совокупно) штраф снижается до 1/10 минимума, но не менее 15 млн ₽. Разница — 5 млн ₽, что превышает стоимость комплексного аудита ИБ.

Какой аргумент суды отклоняют чаще всего?

На основе практики 2025–2026 годов суды систематически отклоняют следующие доводы.

«Утечка произошла из-за действий подрядчика». Оператор несёт ответственность за действия лица, осуществляющего обработку по его поручению (п. 3 ст. 6 ФЗ-152). Вина подрядчика не снимает административную ответственность оператора. Этот довод не является смягчающим обстоятельством и не влияет на квалификацию.

«Данные не были реально использованы злоумышленниками». Состав ч. 12 ст. 13.11 КоАП не требует наступления конкретного вреда субъектам — достаточно факта неправомерного распространения или предоставления. Отсутствие доказанного ущерба может учитываться как смягчающее, но не как основание для прекращения дела.

«У нас есть политика конфиденциальности». Наличие документа без доказательства его исполнения не является смягчающим обстоятельством. Суды требуют показать не наличие ОРД, а факт его применения: журналы проверок, результаты внутренних аудитов, обучение персонала.

Кейс 1. В Сибирском ФО (осень 2025) производственная компания получила протокол по ч. 12 ст. 13.11 после утечки базы клиентов из ERP-системы (около 2 400 субъектов). Генеральный директор предоставил суду: уведомление РКН с отметкой о подаче в течение 20 часов, акт расследования с описанием векторов атаки, договор с ИБ-подрядчиком на проведение экстренного аудита. Суд назначил штраф в размере 3 млн ₽ — нижняя граница диапазона. Без документации по смягчающим штраф был бы в диапазоне 4–5 млн ₽.

Кейс 2. В Северо-Западном ФО (начало 2026) торговая компания получила протокол по ч. 12 за утечку 7 800 записей через уязвимость в API маркетинговой платформы. Компания не уведомила РКН в установленный срок, не представила доказательств устранения уязвимости. Суд назначил штраф 5 млн ₽ — максимум по ч. 12, а дополнительно вынес постановление по ч. 11 (штраф 1,5 млн ₽ за просрочку уведомления). Совокупная нагрузка составила 6,5 млн ₽.

Услуги DATUM по теме

• Защита при штрафе в арбитраже — оспаривание протоколов по ст. 13.11, применение ст. 4.1 и 4.1.1 КоАП
• Аудит соответствия 152-ФЗ — проверка готовности ОРД и технических мер до инцидента
• Сопровождение проверок РКН — представление интересов при рассмотрении дела об административном правонарушении

Частые вопросы

1. Какие штрафы по ст. 13.11 КоАП с 30.05.2025?

С 30 мая 2025 года статья содержит 18 частей. За утечку от 1 000 до 10 000 субъектов — ч. 12, штраф от 3 до 5 млн ₽ для юрлица. За утечку от 10 000 до 100 000 субъектов — ч. 13, штраф от 5 до 10 млн ₽. Свыше 100 000 субъектов — ч. 14, от 10 до 15 млн ₽. При повторности — ч. 15 (оборотный): от 1 до 3% выручки, не менее 20 млн ₽, не более 500 млн ₽. Неуведомление об утечке — ч. 11, штраф от 1 до 3 млн ₽.

2. Что такое оборотный штраф 1–3%?

Оборотный штраф по ч. 15 ст. 13.11 КоАП применяется при повторном нарушении по ч. 12, 13, 14, 16–18. База расчёта — совокупная выручка юрлица за предшествующий календарный год. Ставка — 1–3% этой суммы. Нижний предел — 20 млн ₽ вне зависимости от выручки, верхний — 500 млн ₽. Скидка за досрочную уплату по ст. 32.2 КоАП к оборотным штрафам не применяется.

3. Когда применяется минимум 20 млн ₽?

Минимум 20 млн ₽ действует в случае, когда расчётная сумма оборотного штрафа (1–3% выручки) оказывается ниже этого порога. Например: выручка 500 млн ₽, 1% = 5 млн ₽ — применяется минимум 20 млн ₽. При инвестициях в ИБ от 0,1% выручки за три года (примечание 3.4-2 к ст. 4.1 КоАП) минимум снижается до 15 млн ₽, а штраф ограничивается 50 млн ₽.

4. Можно ли заменить штраф на предупреждение?

По ч. 12 ст. 13.11 КоАП замена на предупреждение по ст. 4.1.1 КоАП теоретически возможна для микропредприятий при первичном нарушении и отсутствии вреда — судебная практика по новым нормам ещё формируется. К ч. 15 (оборотный) и ч. 18 замена на предупреждение прямо не применяется. Снижение штрафа ниже минимума по ч. 12 без специального основания невозможно.

5. Какая подсудность дел после ФЗ-508?

С 28 декабря 2025 года дела по ст. 13.11 КоАП снова рассматривают мировые судьи (ФЗ-508 от 28.12.2025). В период с 30 мая по 27 декабря 2025 года подсудность принадлежала арбитражным судам. Апелляция на постановление мирового судьи подаётся в районный суд общей юрисдикции в течение 10 суток. При рассмотрении в арбитражном суде (если дело возбуждено до 28.12.2025) апелляция — в арбитражный апелляционный суд.

Итог

Смягчающие обстоятельства по ч. 12 ст. 13.11 КоАП — это не абстрактная юридическая техника, а набор конкретных действий и документов: уведомление РКН в 24 часа, акт расследования, приказы о внедрении мер, справка о первичности. Каждое из них формирует доказательную базу до рассмотрения дела. После вынесения постановления инструментарий сужается до обжалования и процессуальных оснований.

DATUM сопровождает дела по ст. 13.11 КоАП начиная с этапа составления протокола: формирует доказательную базу по смягчающим, применяет ст. 4.1 и ст. 4.1.1 КоАП, рассчитывает инвестиционный порог для примечания 3.4-2 и представляет интересы компании в суде.