Состав правонарушения по ч. 2 ст. 13.11: 3 признака

Генеральный директор узнаёт о штрафе по ч. 2 ст. 13.11 КоАП, как правило, из постановления о возбуждении дела или уведомления о проверке. К этому моменту три признака состава — объект, объективная сторона и вина — уже зафиксированы инспектором. Понимание того, что именно РКН должен доказать, а что обязана опровергнуть компания, определяет исход дела: штраф до 700 000 рублей, снижение через ст. 4.1 КоАП или замена на предупреждение по ст. 4.1.1 КоАП.

Что такое состав правонарушения по ч. 2 ст. 13.11 КоАП?

Часть 2 ст. 13.11 КоАП охватывает два самостоятельных состава, объединённых в одной норме. Первый — обработка персональных данных без письменного согласия субъекта в случаях, когда закон такое согласие требует. Второй — обработка с согласием, которое не отвечает требованиям ст. 9 ФЗ-152 по составу реквизитов.

Статья 9 ФЗ-152 в редакции ФЗ-156 от 24.06.2025 устанавливает: согласие должно быть оформлено отдельным документом, не включённым в текст договора, оферты или политики конфиденциальности. Документ обязан содержать ФИО субъекта, контактные данные, наименование оператора, цель, перечень обрабатываемых данных, перечень действий с ними, срок согласия и способ его отзыва. Отсутствие хотя бы одного реквизита превращает формально полученное согласие в юридически дефектное — и создаёт состав по ч. 2.

Три признака состава, которые инспектор фиксирует в протоколе и которые необходимо анализировать при подготовке защиты, — это объект нарушения, объективная сторона (само противоправное действие) и вина оператора. Субъект административного правонарушения — юридическое лицо-оператор ПДн.

Какие три признака должен доказать Роскомнадзор?

Первый признак — объект нарушения. РКН должен установить, что компания является оператором персональных данных по ст. 3 ФЗ-152: собирает, хранит, систематизирует или иным образом обрабатывает данные физических лиц. Если компания не включена в реестр операторов или передала обработку по поручению без надлежащего договора — возникает вопрос о надлежащем субъекте ответственности.

Второй признак — объективная сторона. Инспектор фиксирует конкретное действие: обработку без согласия (например, включение данных клиента в рассылку без отдельного документа) или обработку с дефектным согласием (например, бланк в трудовом договоре, форма без указания срока или цели). Это наиболее уязвимый элемент для защиты: если компания документально подтверждает наличие корректного согласия — объективная сторона не доказана.

Третий признак — вина. Для юридического лица она определяется через ст. 2.1 КоАП: организация признаётся виновной, если у неё имелась возможность соблюдать требования закона, но она не приняла всех зависящих от неё мер. Если компания внедрила СМК по работе с согласиями, проводила обучение сотрудников и фиксировала процедуры — это снижает вину или переносит ответственность на конкретное должностное лицо.

Как ФЗ-420 изменил санкцию и когда применяется повторность?

До 30.05.2025 часть 2 ст. 13.11 КоАП предусматривала штраф для юрлиц в диапазоне 15 000 — 75 000 рублей. ФЗ-420 от 30.11.2024 поднял нижнюю планку до 300 000 рублей, верхнюю — до 700 000 рублей. Это не точечное ужесточение: новая норма применяется к нарушениям, совершённым после 30.05.2025. Нарушения, допущенные до этой даты, квалифицируются по старой редакции — что важно учитывать при оценке периода обработки данных.

Часть 2.1 ст. 13.11 КоАП устанавливает ответственность за повторное совершение нарушения по ч. 2. Повторность в КоАП означает совершение аналогичного нарушения в течение одного года с даты вступления в силу предыдущего постановления. Штраф по ч. 2.1 — от 1 000 000 до 1 500 000 рублей. Для компании с несколькими подразделениями, каждое из которых собирает согласия по-своему, риск повторности реален.

Отдельный вопрос — соотношение ч. 2 с оборотным штрафом по ч. 15. Часть 15 применяется при повторных нарушениях по ч. 12–14 (утечки), а не по ч. 2. Оборотный штраф по ч. 15 составляет 1–3% совокупной годовой выручки за предшествующий год, но не менее 20 млн рублей и не более 500 млн рублей. Нарушение согласия само по себе не ведёт к оборотному штрафу, но если дефектное согласие стало причиной утечки — квалификация может быть совокупной по ч. 2 и ч. 12–14.

Когда возможно смягчение или замена штрафа по ст. 4.1 и 4.1.1 КоАП?

Статья 4.1 КоАП позволяет суду назначить штраф ниже минимума при наличии исключительных обстоятельств. Для нарушений по ч. 2 ст. 13.11 такими обстоятельствами суды признавали: первичность нарушения, незначительное число субъектов, чьи данные обработаны без корректного согласия, немедленное устранение нарушения после выявления и документально подтверждённые расходы на приведение процессов в соответствие.

Статья 4.1.1 КоАП предусматривает замену административного штрафа предупреждением для субъектов малого и среднего предпринимательства при соблюдении условий: первичность, отсутствие вреда жизни и здоровью, отсутствие имущественного ущерба. Замена по ст. 4.1.1 применима к ч. 2 ст. 13.11, в отличие от оборотных составов ч. 15 и ч. 18, где такая замена прямо исключена. Практика 2025–2026 годов показывает: суды охотно применяют ст. 4.1.1 при первичном нарушении по ч. 2 у микропредприятий.

Дополнительный инструмент снижения — примечание 3.4-2 к ст. 4.1 КоАП, введённое ФЗ-420. Если оператор инвестировал в информационную безопасность не менее 0,1% совокупной выручки за три предшествующих года — штраф по оборотным составам снижается до одной десятой минимального размера. Для ч. 2 этот механизм напрямую не применяется, однако суды рассматривают инвестиции в ИБ как смягчающее обстоятельство.

Практика: три сценария, с которыми сталкиваются операторы

Первый сценарий — согласие включено в текст договора или оферты. До 01.09.2025 это была допустимая практика у части операторов. После вступления в силу ФЗ-156 от 24.06.2025 такая форма прямо противоречит требованию об отдельном документе по ч. 1 ст. 9 ФЗ-152. РКН при плановой проверке фиксирует нарушение по объективной стороне. Ситуация: оператор считает, что согласие есть. Доказательства: договор с «галочкой» или пункт в оферте. Вероятный исход: протокол по ч. 2, штраф 300 000 — 700 000 рублей. Стратегия: доказать, что согласие получено до 01.09.2025 и на него не распространяется новая редакция ст. 9, либо немедленно переоформить согласия и заявить о добровольном устранении.

Второй сценарий — согласие оформлено отдельным документом, но в нём отсутствует цель обработки или перечень действий. Ситуация: форма существует, но заполнена частично — типовой бланк кадровой службы, разработанный до поправок. Доказательства: инспектор сравнивает реквизиты бланка с исчерпывающим перечнем ст. 9 ФЗ-152 и фиксирует отсутствие нескольких обязательных элементов. Вероятный исход: протокол по ч. 2 даже при наличии подписи субъекта. Стратегия: на стадии проверки представить исправленные формы и документы об обучении сотрудников — это снижает вину и создаёт основание для применения ст. 4.1 КоАП.

Третий сценарий — согласие получено, реквизиты есть, но цель фактической обработки шире заявленной. Например, согласие получено для рассылки об акциях, а данные используются для профилирования и передачи партнёрам. Ситуация: объективная сторона двойная — нарушение ч. 2 (дефект цели) и возможна квалификация по ч. 1 (обработка сверх заявленных целей). Вероятный исход: совокупность составов, штраф по каждому. Стратегия: аудит соответствия обработки заявленным целям до проверки; при выявлении расхождения — уточнение уведомления в РКН и переработка согласий.

Что подготовить до проверки РКН

Кейс 1. Торговая сеть (Центральный ФО, осень 2025) использовала согласие на обработку данных, встроенное в раздел «Согласие с условиями» на сайте — без отдельного документа. РКН при плановой проверке составил протокол по ч. 2 ст. 13.11. Компания представила в арбитраже обновлённые формы согласий, приказ об ответственном и журнал обучения. Суд снизил штраф ниже минимального предела по ст. 4.1 КоАП с учётом первичности и принятых мер устранения. Итоговая санкция составила значительно меньше 300 000 рублей.

Кейс 2. Региональная клиника (Приволжский ФО, начало 2026) применяла типовые согласия пациентов, в которых отсутствовал перечень конкретных действий с данными. Согласие подписывалось при первичном приёме и хранилось в бумажной карте. Инспектор РКН зафиксировал дефект по ч. 2 ст. 13.11. Организация представила доказательства немедленного переоформления форм и отсутствия утечки — мировой судья заменил штраф предупреждением по ст. 4.1.1 КоАП как для субъекта МСП при первичном нарушении.

Услуги DATUM по теме

• Защита при штрафе в арбитраже — оспаривание протоколов и постановлений по ст. 13.11 КоАП, применение ст. 4.1 и 4.1.1.
• Аудит соответствия 152-ФЗ — проверка согласий, ОРД и фактических операций с ПДн по 38-пунктному чек-листу.
• Сопровождение проверок РКН — подготовка, представительство на проверке, обжалование предписаний.

Частые вопросы

1. Какие штрафы по ст. 13.11 КоАП действуют с 30.05.2025?

С 30.05.2025 ст. 13.11 КоАП действует в редакции ФЗ-420 от 30.11.2024 и содержит 18 частей вместо прежних 7. По ч. 2 (отсутствие или дефект письменного согласия) штраф для юрлица — 300 000 — 700 000 рублей. По ч. 2.1 (повторность) — 1 000 000 — 1 500 000 рублей. По ч. 12–14 (утечки от 1 000 субъектов) — от 3 000 000 до 15 000 000 рублей. По ч. 15 (оборотный при повторной утечке) — 1–3% совокупной годовой выручки, не менее 20 000 000 рублей и не более 500 000 000 рублей.

2. Что такое оборотный штраф 1–3%?

Оборотный штраф установлен ч. 15 ст. 13.11 КоАП и применяется при повторном нарушении, связанном с утечкой ПДн (ч. 12–14). Он рассчитывается от совокупной выручки юридического лица за предшествующий календарный год — от 1 до 3 процентов. Нижний порог — 20 000 000 рублей, верхний — 500 000 000 рублей. К нарушениям по ч. 2 (отсутствие или дефект согласия) оборотный штраф не применяется напрямую, однако совокупная квалификация возможна, если дефектное согласие повлекло утечку.

3. Когда применяется минимум 20 млн рублей?

Минимум 20 000 000 рублей по ч. 15 ст. 13.11 применяется при расчёте оборотного штрафа, если 1% выручки оказывается ниже этой суммы. Иными словами, оборотный штраф не может быть меньше 20 млн рублей вне зависимости от размера компании. Исключение: если оператор документально подтвердил инвестиции в информационную безопасность не менее 0,1% выручки за три года, примечание 3.4-2 к ст. 4.1 КоАП позволяет снизить штраф до одной десятой минимального размера, но не менее 15 000 000 рублей и не более 50 000 000 рублей.

4. Можно ли заменить штраф по ч. 2 на предупреждение?

Да, для субъектов малого и среднего предпринимательства при первичном нарушении, отсутствии вреда жизни и здоровью и отсутствии имущественного ущерба ст. 4.1.1 КоАП допускает замену штрафа предупреждением. Замена применима к ч. 2 ст. 13.11 — в отличие от оборотных составов ч. 15 и ч. 18, где такая замена прямо запрещена. Практика 2025–2026 годов фиксирует несколько случаев такой замены по делам микропредприятий при первичном нарушении и немедленном устранении.

5. Какая подсудность дел по ст. 13.11 КоАП после ФЗ-508?

С 28.12.2025 дела по ст. 13.11 КоАП рассматривают мировые судьи — ФЗ-508 от 28.12.2025 вернул им эту подсудность. С 30.05.2025 по 27.12.2025 дела рассматривали арбитражные суды. Обжалование постановления мирового судьи подаётся в районный суд в течение 10 суток с даты вручения постановления. Если дело рассмотрено арбитражным судом за период с 30.05.2025 по 27.12.2025 — апелляция подаётся в арбитражный апелляционный суд.

Итог

Состав правонарушения по ч. 2 ст. 13.11 КоАП образуют три элемента: статус оператора ПДн как объект, конкретное действие по обработке без корректного согласия как объективная сторона, и доказанная вина юридического лица. Знание того, что именно доказывает РКН и что компания вправе опровергнуть, определяет разницу между штрафом в 700 000 рублей и предупреждением по ст. 4.1.1 КоАП. С 30.05.2025 санкция выросла втрое — промедление с анализом позиции после получения протокола сужает возможности защиты.

Практика DATUM по защите операторов персональных данных в делах по ст. 13.11 КоАП включает сопровождение на стадии проверки РКН, подготовку позиции для мирового судьи и арбитража, применение инструментов снижения санкции по ст. 4.1 и ст. 4.1.1 КоАП.

9 февраля 2027 года