Смягчающие обстоятельства по ч. 8 ст. 13.11

С 30.05.2025 ст. 13.11 КоАП действует в редакции ФЗ-420 от 30.11.2024: нарушение требований локализации ПДн граждан РФ по ч. 5 ст. 18 ФЗ-152 выделено в самостоятельный состав — ч. 8. Минимальный штраф для юрлица вырос до 1 млн ₽, максимальный — до 6 млн ₽. Повторное нарушение квалифицируется по ч. 9 и грозит 6–18 млн ₽. При этом КоАП сохраняет инструменты смягчения: ст. 4.1, ст. 4.1.1 и специальное правило об инвестициях в ИБ. Для CEO компании с существенной выручкой разница между максимальным и сниженным штрафом может составлять десятки миллионов рублей.

Что такое нарушение по ч. 8 ст. 13.11 и каков его состав?

Состав ч. 8 ст. 13.11 КоАП охватывает шесть действий с ПДн граждан РФ, осуществлённых в базах данных, расположенных за пределами России: запись, систематизацию, накопление, хранение, уточнение и извлечение. Правовое основание — ч. 5 ст. 18 ФЗ-152 о локализации, действующая с 01.09.2015.

Субъектом правонарушения выступает оператор — любое юридическое лицо, обрабатывающее ПДн граждан РФ. Типичные ситуации: основная база клиентов в облаке AWS или Azure без российского региона; CRM-система с первичным сбором на зарубежных серверах; передача данных SaaS-провайдеру без российской точки обработки. Факт нарушения РКН фиксирует по результатам плановых и внеплановых проверок, а также на основании жалоб субъектов ПДн.

Важное разграничение: трансграничная передача (ст. 12 ФЗ-152) и нарушение локализации — самостоятельные составы. Передача ПДн за рубеж после первичной записи в российской базе нарушением ч. 8 не является, если первичные операции выполнены в России.

Какие смягчающие обстоятельства применяются по ч. 8 ст. 13.11?

Статья 4.1 КоАП устанавливает общие смягчающие обстоятельства и право суда снизить штраф ниже минимального размера. Для ч. 8 ст. 13.11 ключевые смягчающие обстоятельства делятся на три группы.

Группа 1 — процессуальные:

• Добровольное устранение нарушения до вынесения постановления. Оператор перевёл базы в российский сегмент, уведомил РКН об изменении мест обработки по форме Приказа РКН №180.
• Добровольное сообщение о правонарушении в орган надзора. Практически реализуется через уведомление РКН по ст. 22 ФЗ-152 об актуальном составе баз.
• Содействие РКН в ходе проверки: предоставление запрошенных документов без задержки, допуск инспектора к ИС.
• Отсутствие предшествующих нарушений по ст. 13.11 КоАП.

Группа 2 — имущественные:

• Тяжёлое финансовое положение юрлица: убыток за отчётный год, наличие обязательств по реструктуризации, кредиты ВЭБ/МСП и т. д.
• Инвестиции в информационную безопасность. Специальное правило: если за 3 предшествующих года расходы на ИБ составили ≥ 0,1% совокупной выручки, штраф по оборотным составам (ч. 15, ч. 18) снижается до 1/10 минимума. Для ч. 8 это правило применяется по аналогии через ст. 4.1 КоАП как дополнительное основание.

Группа 3 — организационные:

• Наличие действующей политики обработки ПДн (ч. 2 ст. 18.1 ФЗ-152) и назначенного ответственного (ст. 22.1 ФЗ-152).
• Прохождение аудита соответствия 152-ФЗ и наличие плана устранения нарушений — свидетельствует о системном подходе, а не о намеренном уклонении.
• Незначительный объём пострадавших субъектов (порог 100 000 по ПП РФ №1119 влияет на оценку тяжести нарушения).

Как работает ст. 4.1.1 КоАП — замена штрафа на предупреждение?

Статья 4.1.1 КоАП допускает замену штрафа предупреждением для субъектов малого и среднего предпринимательства (МСП) при одновременном выполнении трёх условий: нарушение совершено впервые, реального вреда третьим лицам не причинено, угрозы жизни или здоровью граждан не возникло.

Для нарушений по ч. 8 ст. 13.11 замена на предупреждение теоретически применима — прямого запрета в тексте статьи нет. Практика 2025–2026 годов показывает, что мировые суды удовлетворяют такие ходатайства при наличии статуса МСП и документального подтверждения отсутствия вреда субъектам ПДн. В делах о локализации «отсутствие вреда» доказывается через: отсутствие утечки, сохранность ПДн, устранение нарушения до рассмотрения дела.

Ограничение: ст. 4.1.1 КоАП не применяется к ч. 15 и ч. 18 ст. 13.11 (оборотные составы). Нарушение по ч. 8 под это ограничение не подпадает, если только дело не перешло в повторность (ч. 9).

Что такое оборотный штраф и когда он грозит при нарушении локализации?

Оборотный штраф по ч. 15 ст. 13.11 КоАП применяется при повторном совершении нарушений по ч. 12–14 ст. 13.11 (утечки ПДн). Прямой связи с ч. 8 (локализация) у ч. 15 нет: повторное нарушение локализации образует самостоятельный состав ч. 9, а не ч. 15.

Тем не менее для CEO важно понимать три сценария пересечения:

• Параллельные составы: хранение ПДн в зарубежном облаке без адекватной защиты может одновременно создать условия для утечки. Тогда возбуждаются дела и по ч. 8 (локализация), и по ч. 12–14 (утечка). Санкции суммируются по правилам ст. 4.4 КоАП.
• Повторность по ч. 9: если компания ранее привлекалась по ч. 8, следующее нарушение локализации квалифицируется по ч. 9 (6–18 млн ₽). Смягчающие обстоятельства применимы и здесь, но диапазон шире.
• Репутационный триггер: протокол по ч. 8 — сигнал для РКН при последующих проверках. Он создаёт риск квалификации схожих нарушений как повторных по другим частям ст. 13.11.

Оборотный штраф по ч. 15 составляет от 1 до 3% совокупной годовой выручки, не менее 20 млн ₽ и не более 500 млн ₽. Правило об инвестициях в ИБ снижает его до 1/10 минимума, но не ниже 15 млн ₽. Для компании с выручкой 1 млрд ₽ разница между стандартным и сниженным штрафом — 7 млн ₽.

Как это применяется на практике

Кейс 1. Компания электронной коммерции (Центральный ФО, осень 2025) хранила базу покупателей в европейском облаке. РКН по итогам внеплановой проверки составил протокол по ч. 8 ст. 13.11. До рассмотрения дела мировым судьёй компания перенесла данные в российский дата-центр, обновила уведомление в реестре РКН и представила справку о расходах на ИБ за 3 года (0,15% выручки). Мировой судья назначил штраф в размере, близком к минимуму санкции, с учётом устранения нарушения как смягчающего обстоятельства по ст. 4.1 КоАП.

Кейс 2. В деле о нарушении локализации компанией — субъектом МСП (Сибирский ФО, начало 2026) мировой суд региона применил ст. 4.1.1 КоАП и заменил штраф по ч. 8 ст. 13.11 предупреждением. Ключевые факторы: первичность нарушения, отсутствие утечки ПДн, перенос данных в Россию до рассмотрения дела, действующая политика обработки ПДн. Штраф от 1 млн ₽ был заменён предупреждением без материальных последствий для компании.

Матрица сценариев: как действовать CEO при протоколе по ч. 8

Сценарий 1. Первичный протокол, нарушение устранено до заседания. Ситуация: РКН выявил хранение ПДн в зарубежном облаке, данные перенесены после получения акта проверки. Доказательства: договор с российским провайдером, технический акт миграции, обновлённое уведомление в реестре. Вероятный исход: суд применяет ст. 4.1 КоАП, штраф снижается ниже минимума в 1 млн ₽ или заменяется предупреждением при наличии статуса МСП. Стратегия: максимально документировать каждый шаг устранения нарушения и подать ходатайство о применении ст. 4.1 до первого заседания.

Сценарий 2. Параллельные составы: ч. 8 и ч. 12 (утечка ПДн от 1 000 до 10 000 субъектов). Ситуация: в ходе инцидента выяснилось, что утечка произошла из зарубежной базы, нарушавшей требования локализации. РКН возбудил два дела. Доказательства: факт устранения обоих нарушений, соблюдение сроков 24/72 часа по Приказу РКН №187, отсутствие повторности. Вероятный исход: санкции назначаются по ч. 8 (1–6 млн ₽) и ч. 12 (3–5 млн ₽) раздельно. Стратегия: по ч. 8 добиваться минимума через смягчающие; по ч. 12 — оперативное уведомление РКН снижает размер санкции как смягчающее обстоятельство.

Сценарий 3. Повторный протокол — ч. 9 ст. 13.11 (6–18 млн ₽). Ситуация: компания ранее привлекалась по ч. 8, снова выявлено хранение ПДн за рубежом. Доказательства: справка об инвестициях в ИБ ≥ 0,1% выручки, масштаб нарушения (число затронутых субъектов), принятые меры после первого дела. Вероятный исход: без смягчающих — штраф 6–18 млн ₽. При доказанных инвестициях в ИБ суд вправе снизить до нижней границы диапазона. Стратегия: привлечь юридическое сопровождение на стадии проверки, до составления протокола — это расширяет пространство для переговоров с инспектором.

Услуги DATUM по теме

• Защита при штрафе в арбитраже — оспаривание протоколов и постановлений по ст. 13.11 КоАП, применение ст. 4.1 и ст. 4.1.1.
• Аудит соответствия 152-ФЗ — проверка требований локализации, оценка рисков по ч. 8 ст. 13.11, план устранения нарушений.
• Сопровождение проверок РКН — представление интересов при проверке, подготовка документов, обжалование предписаний.

Частые вопросы

1. Какие штрафы по ст. 13.11 КоАП с 30.05.2025?

С 30.05.2025 ст. 13.11 КоАП действует в редакции ФЗ-420 от 30.11.2024 и содержит 18 частей. Нарушение локализации (ч. 8) — от 1 до 6 млн ₽ для юрлица; повторное (ч. 9) — от 6 до 18 млн ₽. Утечка ПДн от 1 000 до 10 000 субъектов (ч. 12) — 3–5 млн ₽; от 10 000 до 100 000 (ч. 13) — 5–10 млн ₽; свыше 100 000 (ч. 14) — 10–15 млн ₽. Оборотный штраф при повторной утечке (ч. 15) — 1–3% годовой выручки, но не менее 20 млн ₽ и не более 500 млн ₽.

2. Что такое оборотный штраф 1–3%?

Оборотный штраф по ч. 15 ст. 13.11 КоАП назначается при повторном совершении нарушений, связанных с утечкой ПДн (ч. 12–14, 16–18 или 15). База расчёта — совокупная выручка компании за предшествующий календарный год. Минимум — 20 млн ₽, максимум — 500 млн ₽. Снижение до 1/10 минимума (но не менее 15 млн ₽) возможно при подтверждённых инвестициях в ИБ ≥ 0,1% выручки за 3 года по примечанию 3.4-2 к ст. 4.1 КоАП.

3. Когда применяется минимум 20 млн ₽?

Минимум 20 млн ₽ по ч. 15 ст. 13.11 применяется, если расчётная величина 1–3% выручки окажется ниже этой суммы. Например, у компании с выручкой 500 млн ₽ расчётный 1% составит 5 млн ₽ — штраф всё равно будет 20 млн ₽. При выручке свыше 2 млрд ₽ расчётный 1% превысит 20 млн ₽, и минимальная планка не действует. К ч. 8 ст. 13.11 (локализация) этот минимум не применяется напрямую — там другой диапазон (1–6 млн ₽).

4. Можно ли заменить штраф по ч. 8 на предупреждение?

Да, при одновременном наличии трёх условий: статус МСП, первичность нарушения, отсутствие имущественного вреда субъектам ПДн. Основание — ст. 4.1.1 КоАП. Прямого запрета на замену штрафа предупреждением для ч. 8 ст. 13.11 закон не содержит (в отличие от ч. 15 и ч. 18, где замена исключена). Практика 2025–2026 годов подтверждает применимость этого инструмента при надлежащей доказательной базе.

5. Какая подсудность дел по ст. 13.11 после ФЗ-508?

С 28.12.2025 (ФЗ-508 от 28.12.2025) дела по ст. 13.11 КоАП рассматривают мировые судьи. В период с 30.05.2025 по 27.12.2025 подсудность была передана арбитражным судам, что создало неоднородность практики. Возврат к мировым судьям означает, что ходатайства о применении ст. 4.1.1 КоАП (замена штрафа предупреждением для МСП) теперь рассматриваются в рамках общей административной процедуры, а не арбитражного судопроизводства.

Итог

Смягчающие обстоятельства по ч. 8 ст. 13.11 КоАП — не абстрактное правило, а рабочий инструмент: документально подтверждённый перенос баз в Россию, расходы на ИБ и статус МСП реально снижают штраф от 1–6 млн ₽ до нуля (предупреждение) или ниже минимума. Ключевое условие — формировать доказательную базу до первого заседания, а не после вынесения постановления.

Практика DATUM по защите от штрафов по ст. 13.11 КоАП включает сопровождение дел о нарушении локализации с 30.05.2025 — с момента вступления в силу ФЗ-420 и формирования первых правоприменительных прецедентов по новым составам.