Состав по части биометрии: 3 признака — Часть 18 ст. 13.11

С 30 мая 2025 года ст. 13.11 КоАП действует в редакции ФЗ-420 от 30.11.2024: 18 частей вместо прежних семи. Части 16–18 регулируют нарушения при обработке биометрических персональных данных. Часть 18 — это оборотный состав для тех, кто уже получал санкцию по ч. 16 или ч. 17 и допустил повторное нарушение. Для компании с выручкой 1 млрд ₽ минимальный штраф составит 20 млн ₽; для компании с выручкой 3 млрд ₽ и нарушением средней тяжести — до 90 млн ₽. Материал разбирает три признака состава, условия применения, смягчающие основания и стратегию защиты.

Что такое состав по части 18 ст. 13.11 КоАП?

Часть 18 ст. 13.11 КоАП — самостоятельный состав административного правонарушения, не связанный с размером ущерба и числом субъектов. Законодатель выбрал оборотную модель расчёта штрафа по аналогии с ч. 15 той же статьи. Обе оборотные части (15 и 18) направлены против систематических нарушителей: тех, кто уже получил предупреждение в виде «обычного» штрафа и не устранил причины нарушения.

Конструкция оборотного состава привязана к совокупной выручке за предшествующий календарный год. Это означает: если нарушение зафиксировано в 2026 году, расчётная база — выручка за 2025 год по данным налоговой и бухгалтерской отчётности. Санкция не фиксированная, а переменная — от 1% до 3% от этой базы, но не выходит за пределы 20 млн — 500 млн ₽.

Для целей применения ч. 18 подсудность определяется по правилам ФЗ-508 от 28.12.2025: дела рассматривают мировые судьи. Протокол составляет Роскомнадзор. Срок давности привлечения — 1 год с даты совершения нарушения по общим правилам КоАП.

Три обязательных признака состава по ч. 18

Признак первый — предикатное нарушение. Ч. 18 требует, чтобы лицо ранее было привлечено к ответственности по ч. 16 или ч. 17 ст. 13.11 КоАП. Ч. 16 охватывает обработку биометрических ПДн с нарушением требований ст. 11 ФЗ-152 (в частности, без письменного согласия субъекта), когда деяние не подпадает под отдельную ст. 13.11.3 КоАП о нарушениях при размещении биометрии в ЕБС. Ч. 17 — утечка биометрических ПДн (штраф 15–20 млн ₽ за первичное нарушение). Протокол и постановление по одной из этих частей являются обязательным предшествующим фактом.

Признак второй — повторность. Лицо считается «ранее подвергнутым наказанию» до истечения одного года со дня исполнения постановления о назначении административного наказания по ч. 16 или ч. 17 (ст. 4.6 КоАП). Повторное нарушение, совершённое после истечения этого срока, квалифицируется снова по ч. 16 или ч. 17, но не по ч. 18. Проверка хронологии постановлений — ключевая задача защиты при квалификации.

Признак третий — объективная сторона нового нарушения. Деяние, образующее повторное нарушение, должно самостоятельно содержать признаки ч. 16 или ч. 17. Ч. 18 не является «утяжелённой» версией с иными признаками объективной стороны — она лишь меняет санкцию. Если новое деяние по объективной стороне не содержит нарушения требований к биометрии по ст. 11 ФЗ-152 или факта утечки биометрических ПДн, применение ч. 18 исключено.

Чем ч. 18 отличается от оборотного штрафа по ч. 15?

Оба состава используют оборотную модель расчёта с одинаковыми пределами (1–3% выручки, 20–500 млн ₽). Однако предмет нарушения различается принципиально. Ч. 15 применяется при повторной утечке данных любых субъектов (ч. 12–14), а также при совершении нарушений по ч. 16–18. Ч. 18 — специальный состав, ограниченный исключительно биометрическими ПДн и предикатными частями 16–17.

На практике это означает: компания, допустившая утечку биометрии впервые, платит 15–20 млн ₽ по ч. 17. При повторной утечке биометрии активируется ч. 18 с оборотным штрафом. При этом ч. 15 может применяться параллельно, если первичное нарушение подпадало под ч. 12–14 (утечка обычных ПДн), а повторное — снова утечка. Конкуренция составов и возможность поглощения требует анализа совокупности постановлений.

Смягчение санкции: ст. 4.1 КоАП и инвестиции в ИБ

Оборотный штраф по ч. 18, как и по ч. 15, не подлежит замене предупреждением по ст. 4.1.1 КоАП. Это прямое ограничение закона: льгота для микропредприятий и субъектов МСП при первичных нарушениях на оборотные составы не распространяется. Снизить штраф по ч. 18 можно только через механизм примечания 3.4-2 к ст. 4.1 КоАП.

Примечание 3.4-2 к ст. 4.1 КоАП (введено ФЗ-420) устанавливает: если оператор в течение трёх предшествующих лет инвестировал в средства защиты информации не менее 0,1% совокупной выручки за этот период, штраф по оборотным составам (ч. 15 и ч. 18) рассчитывается как одна десятая от минимального размера, но не менее 15 млн ₽ и не более 50 млн ₽. Это кратное снижение: вместо 20 млн ₽ минимума — потенциально 15 млн ₽; вместо 90 млн ₽ за 3% выручки 3 млрд — не более 50 млн ₽.

Документальное подтверждение инвестиций в ИБ — договоры с поставщиками СЗИ, лицензии на сертифицированные ФСТЭК средства, акты выполненных работ с указанием сумм — должно быть собрано до возбуждения дела. Ретроспективное обоснование допустимо, но значительно сложнее доказывается в процессе.

Практические сценарии применения ч. 18

Сценарий 1. Утечка биометрии после первичного постановления по ч. 17. Компания в сфере розничной торговли внедрила СКУД с распознаванием лиц и получила штраф 16 млн ₽ по ч. 17 за утечку данных 800 сотрудников (биометрические шаблоны попали к подрядчику). Постановление исполнено в марте 2026 года. В ноябре 2026 года — повторная утечка через уязвимость того же подрядчика, затронуты 1 200 субъектов. Выручка компании за 2025 год — 2,4 млрд ₽. РКН квалифицирует деяние по ч. 18; расчётный штраф — от 24 млн ₽ (1%) до 72 млн ₽ (3%). Стратегия: оспорить идентичность причины (иная уязвимость), доказать инвестиции в ИБ для применения примечания 3.4-2, снизить базовый расчёт до 1% и добиться штрафа в нижней части вилки — 24 млн ₽ с применением 1/10 порога = 15 млн ₽ итогового минимума.

Сценарий 2. Нарушение ст. 11 ФЗ-152 после постановления по ч. 16. Медицинский центр собирал биометрию пациентов для записи через мобильное приложение без отдельного письменного согласия. Получил постановление по ч. 16 (штраф для юрлиц — верифицировать точный диапазон), устранил нарушение. Через восемь месяцев проверка РКН выявила, что согласия вновь объединены с договором на медицинские услуги. Признак повторности выполнен: постановление ещё не исполнено год назад. Доказательства: приказ о внедрении обновлённых форм согласий, дата ввода в оборот. Если формы введены после постановления, но до обнаружения нарушения — это смягчающее обстоятельство по ст. 4.2 КоАП, не устраняющее состав, но снижающее санкцию ближе к 1% базы.

Сценарий 3. Истечение срока повторности — квалификация по ч. 17, а не ч. 18. Банк получил постановление по ч. 17 за утечку биометрии клиентов в феврале 2025 года, исполнил штраф в мае 2025 года. В июне 2026 года — новый инцидент с биометрическими данными. Год с даты исполнения (май 2025 + 12 месяцев = май 2026) истёк. РКН возбуждает дело по ч. 17, а не ч. 18. Хронологическая защита: предоставить суду точную дату исполнения постановления и доказать, что новое нарушение совершено за пределами годичного срока по ст. 4.6 КоАП.

Как применяется ст. 13.11 КоАП с 30.05.2025 на практике?

По данным InfoWatch за 2025 год, Роскомнадзор возбудил всего шесть дел по новым нормам ст. 13.11, суммарный штраф — около 570 тыс. ₽. Оборотные составы (ч. 15 и ч. 18) в 2025 году фактически не применялись: для их активации нужна повторность, а большинство операторов сталкивается с новыми частями впервые. Однако накопление первичных постановлений по ч. 12–14 и ч. 16–17 идёт, и в 2026–2027 годах рост дел по ч. 15 и ч. 18 ожидаем.

Два подтверждённых первых дела по новым нормам — АС Москвы № А40-351064/2025 (РЭШ, утечка более 100 000 субъектов, квалификация ч. 14, итоговый штраф 400 000 ₽ с учётом статуса микропредприятия по ч. 1 ст. 4.1.2 КоАП) и АС Санкт-Петербурга и Ленинградской области № А56-4733/2026 (ПКР Аналитика, около 70 000 субъектов, ч. 14). Оба дела — первичные нарушения. Оборотные составы будут апробированы позже: когда у операторов, привлечённых в 2025–2026 годах, зафиксируют повторные инциденты.

Кейс 1. Оператор систем биометрического контроля (Сибирский ФО, конец 2025 года) получил постановление по ч. 17 ст. 13.11 за утечку биометрических шаблонов сотрудников производственного предприятия. РКН установил, что шаблоны хранились на сервере подрядчика без надлежащего соглашения об уровне защиты. Штраф — в диапазоне, предусмотренном ч. 17. Компания заключила договор с DATUM, провела аудит всех биометрических процессов, переоформила соглашения с подрядчиком, зафиксировала инвестиции в обновление СЗИ. Документация подготовлена таким образом, чтобы при следующей проверке исключить как признаки ч. 16–17, так и основания для применения ч. 18.

Кейс 2. Сеть фитнес-клубов (Центральный ФО, начало 2026 года) использовала идентификацию по лицу на турникетах без отдельного письменного согласия на обработку биометрии. После предписания РКН и постановления по ч. 16 клубы обратились за сопровождением. Арбитражный суд региона при обжаловании постановления учёл добровольное устранение нарушения и частичное возмещение субъектам расходов на повторную идентификацию. Штраф снижен ближе к нижней границе диапазона ч. 16. По итогам сопровождения выстроена система согласий, исключающая повторность и активацию ч. 18 при следующей проверке.

Услуги DATUM по теме

• Защита при штрафе в арбитраже — оспаривание протоколов и постановлений по ст. 13.11, снижение через ст. 4.1 и ст. 4.1.1 КоАП
• Аудит соответствия 152-ФЗ — проверка биометрических процессов, согласий по ст. 11, соглашений с подрядчиками
• Сопровождение проверок РКН — представление интересов в ходе проверки, обжалование предписаний

Частые вопросы

1. Какие штрафы по ст. 13.11 КоАП с 30.05.2025?

С 30.05.2025 ст. 13.11 КоАП действует в редакции ФЗ-420 от 30.11.2024 и содержит 18 частей. Для биометрических ПДн ключевые части: ч. 16 (нарушение требований к обработке по ст. 11 ФЗ-152 — точный диапазон для юрлиц верифицируется по актуальной редакции КоАП), ч. 17 (утечка биометрии — 15–20 млн ₽), ч. 18 (повторное нарушение по ч. 16 или 17 — 1–3% выручки, не менее 20 млн ₽, не более 500 млн ₽). Параллельно существуют ст. 13.11.3 для нарушений при работе с ЕБС (500 тыс. — 1 млн ₽ за первичное).

2. Что такое оборотный штраф 1–3%?

Оборотный штраф — санкция, исчисляемая не в фиксированной сумме, а в процентах от совокупной выручки нарушителя за предшествующий календарный год. По ч. 18 ст. 13.11 диапазон — от 1% до 3% этой базы. Конкретный процент в пределах вилки определяет судья с учётом смягчающих и отягчающих обстоятельств по ст. 4.1–4.3 КоАП. Минимальный порог 20 млн ₽ применяется, когда 1% выручки оказывается меньше этой суммы (то есть при выручке до 2 млрд ₽ штраф не может быть ниже 20 млн).

3. Когда применяется минимум 20 млн ₽?

Минимум 20 млн ₽ применяется всегда, когда расчётная сумма (1–3% от выручки) оказывается меньше этого порога. При выручке 1,5 млрд ₽ даже 1% даёт 15 млн ₽ — ниже порога, поэтому назначается минимум 20 млн ₽. При выручке 2 млрд ₽ и ставке 1% получается ровно 20 млн — минимум не «поднимает» сумму. При применении примечания 3.4-2 к ст. 4.1 (инвестиции в ИБ) штраф снижается до 1/10 минимума, то есть до 15 млн ₽, и этот порог также является нижней границей льготного расчёта.

4. Можно ли заменить штраф на предупреждение?

Нет. Замена административного штрафа предупреждением по ст. 4.1.1 КоАП для оборотных составов законодательно исключена. Ч. 18 ст. 13.11 — оборотный состав, поэтому ст. 4.1.1 неприменима независимо от размера бизнеса и первичности нарушения. Единственный инструмент снижения санкции — примечание 3.4-2 к ст. 4.1 КоАП при наличии документально подтверждённых инвестиций в ИБ не менее 0,1% выручки за три года, либо доказывание отсутствия признаков состава (например, выхода за пределы срока повторности по ст. 4.6 КоАП).

5. Какая подсудность дел после ФЗ-508?

С 28 декабря 2025 года — в соответствии с ФЗ-508 от 28.12.2025 — дела по ст. 13.11 КоАП (включая ч. 18) вновь рассматривают мировые судьи. В период с 30.05.2025 по 27.12.2025 подсудность была передана арбитражным судам. Протокол по-прежнему составляет Роскомнадзор и направляет мировому судье по месту совершения нарушения или месту нахождения юридического лица — в зависимости от обстоятельств дела.

Итог

Часть 18 ст. 13.11 КоАП — оборотный состав с тремя обязательными признаками: предикатное постановление по ч. 16 или ч. 17, повторность в пределах годичного срока по ст. 4.6 КоАП, самостоятельное новое деяние с признаками биометрического нарушения. Замена штрафа на предупреждение исключена; единственный инструмент снижения санкции — инвестиции в ИБ от 0,1% выручки за три года по примечанию 3.4-2 к ст. 4.1 КоАП. Для CEO минимальная цена ошибки при повторном нарушении — 20 млн ₽ или 1/10 этой суммы при наличии ИБ-инвестиций (не менее 15 млн ₽).

Юристы DATUM сопровождают дела по ст. 13.11 КоАП с момента возбуждения протокола: проверяют хронологию постановлений, формируют доказательную базу по инвестициям в ИБ, представляют интересы у мирового судьи и в апелляции.