Состав правонарушения по ч. 1.1 ст. 13.11: 3 признака

С 30 мая 2025 года ст. 13.11 КоАП действует в редакции ФЗ-420 от 30 ноября 2024 года: статья расширена с 7 до 18 частей, введены оборотные штрафы, а нарушения, связанные с незаконной обработкой персональных данных, разбиты на базовые и повторные составы. Ч. 1.1 — прямое следствие этой логики: она применяется только тогда, когда CEO уже получал постановление по ч. 1, но нарушение повторилось. Настоящий материал разбирает три признака состава ч. 1.1, разграничение с ч. 1 и смежными частями, а также стратегию защиты в арбитраже.

Что такое ч. 1 ст. 13.11 и почему повторность меняет квалификацию?

Часть 1 ст. 13.11 КоАП устанавливает ответственность за обработку персональных данных в случаях, не предусмотренных законом, либо обработку, несовместимую с заявленными целями. Штраф для юридического лица — от 150 000 до 300 000 рублей. Это базовый состав: он охватывает ситуации, когда оператор обрабатывает ПДн без надлежащего правового основания по ст. 6 ФЗ-152 или объединяет базы с несовместимыми целями в нарушение ст. 5 того же закона.

Повторность в административном праве — это не просто «второй раз». По общим правилам КоАП, повторным признаётся нарушение, совершённое лицом, которое ранее привлекалось к ответственности за аналогичное деяние и у которого не истёк срок, в течение которого оно считается подвергнутым административному наказанию. По ст. 4.6 КоАП этот срок составляет один год с момента исполнения постановления о штрафе. Это означает: если компания заплатила штраф по ч. 1, а через восемь месяцев РКН выявил аналогичное нарушение — применяется ч. 1.1. Если прошло более года после исполнения — снова ч. 1.

Практическое значение разграничения велико. Штраф по ч. 1.1 вдвое выше минимума ч. 1, а главное — повторное привлечение по ч. 1.1 создаёт преюдицию для квалификации последующих нарушений как грубых и может учитываться судом при оценке характера деятельности оператора.

Какие три признака образуют состав ч. 1.1 ст. 13.11 КоАП?

Анализ конструкции ч. 1.1 позволяет выделить три обязательных элемента состава. Отсутствие любого из них означает, что квалификация по ч. 1.1 неправомерна и постановление подлежит отмене или изменению.

Признак первый: наличие вступившего в силу постановления по ч. 1 ст. 13.11. Ч. 1.1 применима только в том случае, если ранее вынесенное постановление вступило в законную силу и было исполнено (штраф уплачен либо взыскан принудительно). Если первое постановление обжалуется в вышестоящем суде — лицо ещё не считается «подвергнутым наказанию» в смысле ст. 4.6 КоАП. Это создаёт процессуальный инструмент защиты: обжалование постановления по ч. 1 прерывает формирование повторности.

Признак второй: срок повторности — один год с момента исполнения постановления. Срок исчисляется не с момента вынесения, а с момента исполнения. Если компания уплатила штраф 1 апреля 2025 года, срок повторности истекает 1 апреля 2026 года. Нарушение, выявленное 2 апреля 2026 года, квалифицируется по ч. 1, а не ч. 1.1. Точная дата исполнения постановления — ключевое доказательство в арбитраже.

Признак третий: однородность нарушений. Новое нарушение должно быть однородным нарушению, за которое компания уже привлекалась по ч. 1. Ч. 1 охватывает незаконную обработку и несовместимость с целями. Если новое нарушение связано с иным объективным составом — например, с отсутствием политики конфиденциальности (ч. 3) или с нарушением порядка уведомления РКН (ч. 10) — квалификация по ч. 1.1 неправомерна. Суды оценивают однородность по объективной стороне деяния.

Как ч. 1.1 соотносится с другими повторными составами ст. 13.11?

Логика «базовый + повторный» последовательно реализована в ФЗ-420 по нескольким составам ст. 13.11. Понимание этой структуры принципиально для CEO: квалификация конкретного нарушения как повторного по смежной части, а не по ч. 1.1, меняет размер санкции и риск оборотного штрафа.

Ч. 2 (обработка без письменного согласия) и ч. 2.1 (повторное) работают по той же схеме: базовый штраф 300 000–700 000 рублей, повторный — 1 000 000–1 500 000 рублей. Ч. 5 (невыполнение требования субъекта об уточнении или уничтожении ПДн) и ч. 5.1 (повторное) — 50 000–90 000 и 300 000–500 000 рублей соответственно. Ч. 8 (нарушение локализации) и ч. 9 (повторное) — 1 000 000–6 000 000 и 6 000 000–18 000 000 рублей.

Принципиальный порог — ч. 12–14 и ч. 15. Ч. 12–14 устанавливают ответственность за утечку ПДн в зависимости от числа пострадавших субъектов: от 1 000 до 10 000 субъектов — 3 000 000–5 000 000 рублей (ч. 12), от 10 000 до 100 000 — 5 000 000–10 000 000 рублей (ч. 13), свыше 100 000 — 10 000 000–15 000 000 рублей (ч. 14). Ч. 15 — оборотный штраф при повторном совершении нарушений по ч. 12–14: 1–3% совокупной годовой выручки за предшествующий календарный год, не менее 20 000 000 рублей и не более 500 000 000 рублей.

Таким образом, ч. 1.1 — наименее тяжкий из повторных составов ст. 13.11 по размеру санкции. Однако само по себе привлечение по ч. 1.1 фиксирует систематичность нарушений и при последующих проверках РКН может влиять на оценку степени вины оператора при квалификации более тяжких составов.

Какие сценарии приводят к ч. 1.1 на практике?

Рассмотрим три типовые ситуации, с которыми сталкивается CEO при взаимодействии с РКН.

Сценарий 1. Устаревшее уведомление в реестре РКН. Компания направила уведомление по ст. 22 ФЗ-152 два года назад, указав одни цели обработки. За это время маркетинговый отдел добавил новые категории субъектов и новые виды обработки, уведомление не обновлялось. При плановой проверке РКН составил протокол по ч. 1 ст. 13.11 — обработка не соответствует заявленным целям. Компания уплатила штраф 200 000 рублей. Через семь месяцев внеплановая проверка выявила ту же ситуацию — реестр по-прежнему не актуализирован. Исход: протокол по ч. 1.1, штраф 400 000–500 000 рублей. Стратегия защиты: незамедлительно после первого постановления подать изменённое уведомление в РКН через портал pd.rkn.gov.ru, зафиксировать дату подачи. Это устраняет объективную сторону нового нарушения.

Сценарий 2. Совмещение согласия с договором. До 1 сентября 2025 года компания включала согласие на обработку ПДн в текст трудового договора. РКН выявил нарушение ч. 1 ст. 13.11 (обработка без надлежащего согласия, несовместимость с целями договора). После получения постановления HR-департамент изменил форму трудового договора, но оставил согласие на передачу данных зарплатному банку встроенным в тот же документ. При следующей проверке РКН квалифицировал ситуацию как повторное нарушение. Доказательства в защиту: факт частичного устранения нарушения, различие между согласием работника (ст. 9 ФЗ-152, ред. ФЗ-156 от 24.06.2025) и согласием на передачу в банк. Если суд признает составы неоднородными — применяется ч. 1, а не ч. 1.1.

Сценарий 3. Истечение срока повторности как основание для переквалификации. Компания получила постановление по ч. 1 ст. 13.11 и уплатила штраф 15 февраля 2025 года. Следующая проверка состоялась в марте 2026 года — через 13 месяцев после исполнения постановления. РКН составил протокол по ч. 1.1. В арбитраже юрист компании представил квитанцию об оплате штрафа от 15 февраля 2025 года и доказал, что на дату выявления нового нарушения (март 2026) срок по ст. 4.6 КоАП истёк. Суд переквалифицировал деяние на ч. 1 со снижением штрафа до нижней границы — 150 000 рублей.

Как применяются ст. 4.1 и ст. 4.1.1 КоАП при штрафе по ч. 1.1?

Ст. 4.1 КоАП определяет общие правила назначения административного наказания и перечень обстоятельств, смягчающих ответственность. При назначении штрафа по ч. 1.1 суд обязан учитывать характер нарушения, имущественное положение оператора, наличие смягчающих обстоятельств. Примечание 3.4-2 к ст. 4.1 КоАП устанавливает специальное правило для оборотных составов (ч. 15, ч. 18 ст. 13.11): при инвестициях в информационную безопасность в размере не менее 0,1% совокупной выручки за три предшествующих года штраф составляет 1/10 минимального, но не менее 15 000 000 рублей и не более 50 000 000 рублей. Это правило не распространяется на ч. 1.1 — санкция ч. 1.1 применяется в полном диапазоне 300 000–500 000 рублей.

Ст. 4.1.1 КоАП допускает замену штрафа предупреждением для субъектов малого предпринимательства и микропредприятий при первичном нарушении и отсутствии вреда. Однако ч. 1.1 по своей природе предполагает повторность — то есть первичности нет. Следовательно, замена штрафа предупреждением по ст. 4.1.1 при квалификации по ч. 1.1 невозможна. Это принципиальное отличие от ч. 1, где для микропредприятия при первичном нарушении предупреждение реально.

Как это применяется на практике

Кейс 1. Торговая компания (Центральный ФО, начало 2026 года) получила постановление по ч. 1 ст. 13.11 за обработку ПДн покупателей в программе лояльности без надлежащего правового основания — согласие было включено в текст публичной оферты. Штраф уплачен в марте 2026 года. В октябре 2026 года внеплановая проверка РКН выявила, что новая форма регистрации на сайте по-прежнему объединяла согласие с условиями использования. Составлен протокол по ч. 1.1. Юристы доказали частичное устранение нарушения и различие в категориях субъектов (покупатели в первом случае, зарегистрированные пользователи во втором) — суд переквалифицировал деяние на ч. 1 со штрафом в нижней части диапазона.

Кейс 2. В деле арбитражного суда региона (Северо-Западный ФО, осень 2026 года) IT-компания оспорила протокол по ч. 1.1 ст. 13.11, представив квитанцию об уплате предыдущего штрафа, датированную 13 месяцами ранее даты выявления нового нарушения. Суд констатировал истечение срока повторности по ст. 4.6 КоАП и прекратил дело в части ч. 1.1. РКН возбудил новое дело по ч. 1 — штраф составил сотни тысяч рублей вместо потенциального максимума по ч. 1.1. Ключевым доказательством стала банковская выписка с датой платежа.

Услуги DATUM по теме

• Защита при штрафе в арбитраже — оспаривание протоколов и постановлений по ст. 13.11, переквалификация составов
• Аудит соответствия 152-ФЗ — проверка оснований обработки ПДн, устранение рисков до проверки РКН
• Сопровождение проверок РКН — подготовка, представительство, обжалование предписаний

Частые вопросы

1. Какие штрафы по ст. 13.11 КоАП действуют с 30 мая 2025 года?

С 30 мая 2025 года ст. 13.11 КоАП действует в редакции ФЗ-420 от 30 ноября 2024 года и содержит 18 частей. Базовые составы: ч. 1 — обработка ПДн без законного основания или с нарушением целей (150 000–300 000 рублей для юрлица), ч. 2 — обработка без письменного согласия (300 000–700 000 рублей), ч. 8 — нарушение локализации (1 000 000–6 000 000 рублей), ч. 12–14 — утечка ПДн в зависимости от числа субъектов (3 000 000–15 000 000 рублей). Повторные составы: ч. 1.1 — 300 000–500 000 рублей, ч. 2.1 — 1 000 000–1 500 000 рублей, ч. 9 — 6 000 000–18 000 000 рублей. Оборотный штраф за повторную утечку — ч. 15: 1–3% годовой выручки, не менее 20 000 000 рублей, не более 500 000 000 рублей.

2. Что такое оборотный штраф 1–3% по ч. 15 ст. 13.11 КоАП?

Оборотный штраф по ч. 15 ст. 13.11 КоАП применяется при повторном совершении нарушений, квалифицированных по ч. 12, 13 или 14 (утечка ПДн), если ранее лицо уже привлекалось по этим же частям либо по ч. 16–18 или самой ч. 15. Размер — 1–3% совокупной годовой выручки оператора за предшествующий календарный год. Нижний порог — 20 000 000 рублей, верхний — 500 000 000 рублей. Специальный механизм снижения при инвестициях в ИБ (примечание 3.4-2 к ст. 4.1 КоАП): при вложениях не менее 0,1% выручки за три года штраф снижается до 1/10 минимума, но не менее 15 000 000 рублей. Скидка за досрочную уплату по ст. 32.2 КоАП к оборотному штрафу не применяется.

3. Когда применяется минимум 20 млн рублей по ч. 15 ст. 13.11?

Минимум 20 000 000 рублей по ч. 15 ст. 13.11 КоАП применяется в двух случаях. Первый: расчётная сумма в 1–3% годовой выручки оказывается ниже 20 000 000 рублей — тогда назначается именно 20 000 000 рублей. Второй: суд или регулятор устанавливают повторность по нарушениям утечки, но у оператора нет документально подтверждённых инвестиций в ИБ, позволяющих применить льготный механизм снижения. При выручке менее 2 000 000 000 рублей в год порог 20 000 000 рублей делает оборотный штраф особенно критичным для среднего бизнеса.

4. Можно ли заменить штраф по ч. 1.1 ст. 13.11 на предупреждение?

Нет. Ст. 4.1.1 КоАП допускает замену штрафа предупреждением только при первичном нарушении для субъектов малого и среднего предпринимательства при отсутствии вреда. Ч. 1.1 ст. 13.11 КоАП по определению предполагает повторность — признак первичности нарушения отсутствует. Замена на предупреждение по ст. 4.1.1 при квалификации по ч. 1.1 юридически невозможна. Единственный способ избежать штрафа по ч. 1.1 — доказать в арбитраже истечение срока повторности (ст. 4.6 КоАП) или неоднородность составов, добившись переквалификации на ч. 1, к которой ст. 4.1.1 при первичности применима.

5. Какая подсудность дел по ст. 13.11 КоАП после ФЗ-508 от 28 декабря 2025 года?

ФЗ-508 от 28 декабря 2025 года вернул подсудность дел по ст. 13.11 КоАП мировым судьям. В период с 30 мая 2025 года по 27 декабря 2025 года дела рассматривали арбитражные суды. С 28 декабря 2025 года — снова мировые судьи, как до реформы ФЗ-420. Это влияет на процессуальную стратегию: мировые судьи применяют ГПК-стандарты, а не АПК, что меняет порядок обжалования, сроки и требования к доказательной базе. Жалобы на постановления мировых судей подаются в районный суд, затем в суд субъекта РФ.

Итог

Состав ч. 1.1 ст. 13.11 КоАП образуют три признака: вступившее в силу и исполненное постановление по ч. 1, совершение нового нарушения в течение одного года с момента исполнения и однородность нарушений по объективной стороне. Отсутствие любого из трёх признаков — основание для переквалификации на ч. 1 или прекращения дела. В отличие от оборотных составов (ч. 15, 18) штраф по ч. 1.1 фиксированный (300 000–500 000 рублей), однако само привлечение по нему фиксирует систематичность и повышает риски при следующих проверках РКН.

Юристы DATUM сопровождают дела по ст. 13.11 КоАП во всех инстанциях — от первичного протокола до апелляции. Практика «Ветров и партнёры» по 152-ФЗ с 2014 года охватывает защиту операторов ПДн при проверках РКН, переквалификацию составов и применение механизмов снижения санкций по ст. 4.1 и ст. 4.1.1 КоАП.

22 сентября 2027 года