Состав правонарушения по ч. 5 ст. 13.11: 3 признака

С 30.05.2025 вступил в силу обновлённый текст ст. 13.11 КоАП в редакции ФЗ-420 от 30.11.2024. Санкция по ч. 5 осталась умеренной — 50 000–90 000 ₽ для юридических лиц, — однако повторное нарушение (ч. 5.1) уже квалифицируется как 300 000–500 000 ₽. Параллельно действуют ч. 12–15: если субъект требует уничтожения данных, а оператор не исполняет и при этом происходит утечка, совокупность составов формирует оборотный риск до 500 млн ₽. Для CEO важно понять: состав ч. 5 складывается из трёх самостоятельных признаков, отсутствие любого из которых исключает ответственность. Этот материал разбирает каждый признак и показывает, как они проверяются на практике.

Что такое состав правонарушения по ч. 5 ст. 13.11 КоАП?

Часть 5 ст. 13.11 КоАП охватывает два самостоятельных, но родственных нарушения. Первое — оператор не выполнил требование субъекта персональных данных или его законного представителя об уточнении, блокировании либо уничтожении данных в срок, установленный ФЗ-152. Второе — оператор не выполнил аналогичное требование Роскомнадзора. Разница в источнике требования не влияет на квалификацию: санкция единая.

Основание для требования субъекта закреплено в ст. 21 ФЗ-152: при выявлении неправомерной обработки, при достижении цели обработки, при отзыве согласия оператор обязан прекратить обработку, уточнить или уничтожить данные. Срок на уничтожение при отзыве согласия — 30 дней с момента получения отзыва; срок на устранение неправомерной обработки — 7 рабочих дней. Пропуск этих сроков и образует объективную сторону состава.

Состав является формальным: наступление вредных последствий не требуется. Достаточно самого факта пропуска срока. Это ключевое отличие от ч. 6 ст. 13.11, где нарушение условий хранения на бумажных носителях наказывается только при наступлении неправомерного доступа.

Признак первый: законное требование — как его проверить?

Требование субъекта должно быть законным — это не просто слово в жалобе. Инспектор РКН проверяет четыре элемента: наличие у субъекта права на обращение, корректность указанных оснований, идентифицируемость субъекта и форму обращения.

Право на требование уничтожения возникает при нескольких условиях: субъект отзывает ранее данное согласие (ст. 9 ФЗ-152); цель обработки достигнута или утрачена; обработка изначально велась без законного основания. Если оператор обрабатывает данные на основании договора или закона — отзыв согласия не прекращает обработку автоматически. Смешение оснований обработки — типичная ошибка, которая либо создаёт ответственность, либо, напротив, снимает её.

Идентифицируемость субъекта означает, что обращение содержит достаточно сведений для установления личности обратившегося и конкретных данных, которые он просит уточнить или уничтожить. Анонимное требование без возможности идентификации не порождает обязанности исполнения — и, соответственно, не образует состав при неисполнении.

Признак второй: факт получения требования оператором

Второй признак состава — оператор получил требование. Именно с момента получения начинает течь установленный срок. Если оператор докажет, что требование не было доставлено, — объективная сторона не возникает. Это процессуальный вопрос, но на практике он решает исход дела.

РКН использует несколько каналов: письмо на адрес из реестра операторов (ст. 22 ФЗ-152), электронное уведомление через портал pd.rkn.gov.ru, уведомление в ходе плановой или внеплановой проверки. Субъект вправе направить требование любым способом, позволяющим подтвердить отправку, — заказным письмом, через форму обратной связи на сайте оператора, по официальному email.

Оператор обязан организовать канал приёма обращений субъектов и фиксировать дату их поступления. Журнал учёта обращений — не просто элемент ОРД, а доказательство в производстве по ч. 5. Если такого журнала нет, инспектор вправе считать дату обращения по штемпелю почты, метаданным email или скриншоту формы. В спорах о дате получения суд, как правило, исходит из наименее выгодной для оператора даты.

Отдельный сюжет — требование через представителя. Ст. 9 ФЗ-152 допускает представительство; в этом случае оператор вправе запросить подтверждение полномочий. Время на проверку полномочий не приостанавливает основной срок — оператор должен исходить из того, что срок течёт с момента получения, и параллельно запрашивать доверенность.

Признак третий: пропуск установленного срока исполнения

Третий и наиболее очевидный признак — оператор не исполнил требование в срок. Срок зависит от основания требования и вида действия.

Для уничтожения данных при отзыве согласия по ст. 9 ФЗ-152 — 30 дней с даты получения отзыва. Для блокирования или уточнения при выявлении неточности — 7 рабочих дней (ст. 21 ФЗ-152). Для уничтожения при прекращении законного основания обработки, помимо согласия, — также 7 рабочих дней. Требование РКН может содержать отдельный срок, установленный предписанием; при его несоблюдении состав по ч. 5 конкурирует с невыполнением предписания регулятора.

Частая ошибка: оператор считает срок в календарных днях, тогда как ФЗ-152 в ряде случаев устанавливает рабочие дни. При праздниках разница может составлять 3–5 дней, которые и превращают своевременное исполнение в просрочку. Ещё одна ошибка — оператор направляет субъекту мотивированный отказ (например, ссылаясь на договорное основание обработки), но не фиксирует дату отправки. Мотивированный отказ от уничтожения — законное действие; однако если он направлен за пределами срока или не направлен вовсе, это уже пропуск.

Как применяется ч. 5.1 и оборотный штраф при повторности?

Ч. 5.1 ст. 13.11 КоАП введена ФЗ-420 и применяется при повторном совершении нарушения по ч. 5 — то есть когда постановление по предыдущему делу вступило в силу, и в течение срока, когда лицо считается подвергнутым административному наказанию, допущено аналогичное нарушение. Штраф для юридических лиц — 300 000–500 000 ₽.

Повторность по ч. 5 не образует оборотного состава по ч. 15 — последний связан только с утечками (ч. 12–14). Однако для CEO важно понимать совокупность: если в компании происходит утечка, субъекты направляют требования об уничтожении, а оператор их игнорирует — одновременно формируются составы по ч. 12–14 (утечка) и ч. 5 (неисполнение требований). При повторной утечке после первого постановления возникает ч. 15 с оборотным штрафом 1–3% совокупной годовой выручки, не менее 20 млн ₽ и не более 500 млн ₽.

Смягчение и замена штрафа: когда работает ст. 4.1 и ст. 4.1.1 КоАП?

Для юридических лиц — субъектов малого и среднего предпринимательства — при первичном нарушении по ч. 5 возможна замена штрафа на предупреждение по ст. 4.1.1 КоАП. Условия: отсутствие вреда, нет угрозы жизни и здоровью, нарушение совершено впервые. К ч. 15 ст. 4.1.1 не применяется, однако ч. 5 под запрет замены не попадает.

По ст. 4.1 КоАП суд или должностное лицо вправе снизить штраф ниже минимума при наличии исключительных обстоятельств — до половины минимального размера. На практике суды принимают во внимание: оперативное добровольное исполнение требования после получения протокола, отсутствие вреда субъекту, устранение нарушения до вынесения постановления, незначительность нарушения.

Ст. 4.1 КоАП также содержит механизм снижения оборотного штрафа по ч. 15 для операторов, вложивших в информационную безопасность не менее 0,1% совокупной выручки за три предшествующих года: в этом случае штраф составит 1/10 от минимального размера, но не менее 15 млн ₽ и не более 50 млн ₽. К ч. 5 этот механизм формально не применяется — санкция не оборотная, — однако инвестиции в ИБ могут использоваться как смягчающее обстоятельство в рамках общей логики ст. 4.1.

Практика применения: три типовых сценария

Сценарий 1. Субъект требует удаления, оператор ссылается на договор. Субъект направляет требование об уничтожении данных. Оператор отказывает, ссылаясь на то, что обработка ведётся на основании договора, а не согласия. Отказ законен, если договорное основание действительно существует и данные необходимы для его исполнения. Однако оператор не зафиксировал дату направления мотивированного отказа и отправил его на 12-й календарный день вместо 7-го рабочего. Состав по ч. 5 — налицо: требование получено, срок пропущен, пусть и по формальным причинам. Стратегия защиты: доказывать правомерность отказа по существу и ходатайствовать о снижении штрафа до минимума с учётом отсутствия вреда.

Сценарий 2. РКН выносит предписание об уничтожении, оператор затягивает. В ходе внеплановой проверки инспектор выявил обработку данных без актуального согласия. Предписание установило срок уничтожения 10 рабочих дней. Оператор начал техническую процедуру уничтожения, но акт об уничтожении подписал на 14-й рабочий день. РКН составил протокол по ч. 5. На момент составления протокола данные уже уничтожены — это смягчающее обстоятельство, но не основание для прекращения дела. Вероятный исход: штраф 50 000–60 000 ₽ при первичности и добровольном устранении. Стратегия: акцентировать добровольность и оперативность, ходатайствовать о минимальном размере.

Сценарий 3. Повторное нарушение после постановления по ч. 5. Компания (Приволжский ФО, начало 2026 года) получила постановление по ч. 5 на 60 000 ₽ за пропуск срока исполнения требования об уничтожении. Через 4 месяца аналогичная ситуация повторилась с другим субъектом: журнал обращений не велся, требование потеряно в почте. РКН квалифицировал нарушение по ч. 5.1 — штраф 350 000 ₽. Стратегия защиты: оспорить факт получения первого требования либо доказать отсутствие повторности (разные объективные стороны). Без журнала обращений и системы фиксации поступающих требований защита существенно осложнена.

Связанные услуги DATUM

• Защита при штрафе в арбитраже — оспаривание протокола и постановления по ч. 5 и ч. 5.1 ст. 13.11, применение ст. 4.1 и ст. 4.1.1 КоАП
• Аудит соответствия 152-ФЗ — проверка процедуры обработки обращений субъектов, наличия журнала и сроков исполнения
• Сопровождение проверок РКН — представление интересов при внеплановой проверке и оспаривании предписания

Частые вопросы

1. Какие штрафы по ст. 13.11 КоАП с 30.05.2025?

С 30.05.2025 действует редакция ФЗ-420: ст. 13.11 содержит 18 частей. По ч. 5 — 50 000–90 000 ₽ для юридических лиц за первичное нарушение. По ч. 5.1 — 300 000–500 000 ₽ при повторности. За утечки введены ч. 12–14 (3–15 млн ₽ в зависимости от числа субъектов) и ч. 15 — оборотный штраф 1–3% выручки, не менее 20 млн ₽ и не более 500 млн ₽ при повторной утечке.

2. Что такое оборотный штраф 1–3%?

Оборотный штраф по ч. 15 ст. 13.11 КоАП применяется при повторном нарушении, квалифицируемом по ч. 12–14 (утечка данных), если ранее оператор уже привлекался по ч. 12–15 или ч. 16–18. Размер — 1–3% совокупной выручки за предшествующий календарный год, но не менее 20 млн ₽ и не более 500 млн ₽. Скидка 50% за досрочную уплату по ст. 32.2 КоАП к оборотным составам не применяется. Ч. 5 самостоятельно не формирует оборотный состав, но в совокупности с утечкой повышает общий профиль риска компании.

3. Когда применяется минимум 20 млн ₽?

Минимум 20 млн ₽ по ч. 15 ст. 13.11 применяется всегда, когда расчётная база (1–3% выручки) даёт меньшую сумму. Например, компания с выручкой 400 млн ₽ при ставке 1% получает 4 млн ₽, но фактический штраф будет 20 млн ₽. Снижение до 1/10 минимума возможно только при документально подтверждённых инвестициях в ИБ не менее 0,1% выручки за три года — тогда минимальный порог составит 15 млн ₽, а максимальный — 50 млн ₽ (примечание к ст. 4.1 КоАП).

4. Можно ли заменить штраф на предупреждение?

Для субъектов малого и среднего предпринимательства при первичном нарушении по ч. 5 замена штрафа на предупреждение допустима по ст. 4.1.1 КоАП при условии отсутствия вреда субъекту и угрозы жизни и здоровью. К ч. 15 и ч. 18 ст. 4.1.1 не применяется. Для крупных компаний аналогичный механизм — снижение штрафа по ст. 4.1 КоАП при наличии исключительных обстоятельств (устранение нарушения, отсутствие вреда, первичность).

5. Какая подсудность дел после ФЗ-508?

С 28.12.2025 дела по ст. 13.11 КоАП рассматривают мировые судьи — ФЗ-508 от 28.12.2025 вернул подсудность к мировым после того, как с 30.05.2025 по 27.12.2025 их рассматривали арбитражные суды. На практике это означает: обжалование постановления мирового судьи — в районный суд, а не в арбитраж. Срок обжалования — 10 суток с даты вручения постановления.

Итог

Состав по ч. 5 ст. 13.11 КоАП строится на трёх признаках: законное требование субъекта или РКН, подтверждённый факт его получения оператором и пропуск установленного срока исполнения. Формальный характер состава означает, что достаточно пропустить один элемент документирования — и протокол становится обоснованным даже при фактическом отсутствии вреда. При повторности ч. 5.1 увеличивает санкцию в 5–6 раз; системное игнорирование обращений субъектов в сочетании с утечкой формирует оборотный риск по ч. 15.

Практика DATUM по защите операторов при производстве по ст. 13.11 КоАП включает оспаривание протоколов на стадии составления, применение ст. 4.1 и ст. 4.1.1 КоАП и сопровождение в мировом суде после ФЗ-508.