Состав правонарушения по ч. 6 ст. 13.11: 3 признака

С 30 мая 2025 года ст. 13.11 КоАП действует в редакции ФЗ-420 от 30.11.2024: 18 частей вместо прежних 7, новые составы за утечки, оборотный штраф до 500 млн ₽ по ч. 15. На этом фоне ч. 6 выглядит скромно — 50–100 тыс. ₽ для юридического лица. Однако именно этот состав часто становится «попутным» при возбуждении дела об утечке: РКН фиксирует факт неправомерного доступа к бумажным носителям и квалифицирует его отдельно от основного нарушения. Для CEO важно понимать: доказать или опровергнуть состав по ч. 6 технически проще, чем по ч. 12–14, — если знать, из каких признаков он складывается.

Что такое состав правонарушения по ч. 6 ст. 13.11 и чем он отличается от смежных составов?

Статья 13.11 КоАП в редакции с 30.05.2025 содержит 18 самостоятельных составов. Каждый описывает конкретное противоправное действие (или бездействие) в сфере обработки персональных данных. Часть 6 сформулирована принципиально иначе, чем большинство остальных: она не просто фиксирует нарушение требования закона, а требует наступления последствия — неправомерного доступа к ПДн.

Смежные составы, с которыми ч. 6 пересекается на практике:

• Ч. 1 ст. 13.11 — обработка ПДн без законного основания или в противоречии с целями. Не требует наступления доступа; штраф 150–300 тыс. ₽.
• Ч. 12–14 ст. 13.11 — утечки по числу субъектов (от 1 000 до 100 000+). Применяются при любом виде обработки — в том числе автоматизированной; штрафы 3–15 млн ₽.
• Ч. 5 ст. 13.11 — невыполнение требования об уничтожении ПДн. Не связана с хранением носителей — только с игнорированием запроса субъекта или РКН.

Ключевое разграничение: ч. 6 применяется исключительно при неавтоматизированной обработке. Если утечка произошла через информационную систему (база данных, CRM, ERP) — квалификация идёт по ч. 12–14 или ч. 2, но не по ч. 6.

Каковы три обязательных признака состава по ч. 6 ст. 13.11?

Состав по ч. 6 материальный: правонарушение считается оконченным только при наступлении последствия. Это значит, что для привлечения к ответственности регулятор должен доказать одновременно три признака.

Признак 1. Нарушение условий хранения материальных носителей. Под материальными носителями понимаются бумажные документы, папки, анкеты, карточки, флэш-накопители и иные физические объекты, содержащие ПДн. Статья 14 Постановления Правительства РФ № 687 от 15.09.2008 (регулирует неавтоматизированную обработку) обязывает оператора обеспечить хранение в условиях, исключающих несанкционированный доступ. Типичные нарушения: открытые стеллажи с личными делами в общем офисе, анкеты на столах сотрудников без блокировки, папки в незапираемых шкафах.

Признак 2. Неавтоматизированная обработка. Ст. 3 ФЗ-152 определяет неавтоматизированную обработку как действия с ПДн без использования средств вычислительной техники. Если ПДн одновременно хранятся на бумаге и в системе — нарушение фиксируется раздельно по каждому виду обработки. Принципиально: правонарушение по ч. 6 не охватывает скан-копии в электронном архиве, даже если они получены с бумажных оригиналов.

Признак 3. Неправомерный доступ как наступившее последствие. Это центральный признак, отсутствие которого исключает состав. Неправомерный доступ — ознакомление с ПДн лицом, не имеющим на это права и законного основания (ст. 3 ФЗ-152: обработка без согласия субъекта при отсутствии иного правового основания). Доступ должен быть зафиксирован: актом проверки РКН, жалобой субъекта, объяснительной сотрудника, внутренним расследованием.

Как доказывается каждый из признаков на практике?

Роскомнадзор устанавливает состав по ч. 6 в рамках плановых и внеплановых проверок, а также при рассмотрении жалоб субъектов. Доказательственная база формируется следующим образом.

По признаку 1 (условия хранения): инспектор РКН фотографирует места хранения носителей, составляет акт осмотра помещения, запрашивает регламент хранения ПДн и приказ о назначении ответственного по ст. 22.1 ФЗ-152. Отсутствие запираемых шкафов, отсутствие разграничения доступа к архиву, смешение личных дел работников с иными документами — всё это фиксируется актом.

По признаку 2 (неавтоматизированная форма): инспектор устанавливает, что конкретные документы с ПДн существуют в физической форме и не являются выводом из информационной системы на момент инцидента. Если оператор обрабатывает ПДн параллельно в бумажном и электронном виде — оба вида проверяются независимо.

По признаку 3 (неправомерный доступ): это наиболее уязвимый для оператора элемент. РКН должен доказать, что конкретное лицо получило доступ к ПДн без правового основания. Если доступ получил другой сотрудник той же организации, действовавший в рамках должностных обязанностей — состав не образуется. Если доступ получило стороннее лицо (курьер, клиент в офисе, уборщик) — состав налицо при условии, что оператор не принял мер, исключающих такой доступ.

Когда состав по ч. 6 применяется совместно с ч. 12–15 ст. 13.11?

На практике РКН нередко квалифицирует одно событие (физическую утечку ПДн) сразу по нескольким частям ст. 13.11. Совокупность составов возможна, если одновременно выполнены условия разных частей.

Ситуация А. Из офиса похищены бумажные анкеты клиентов (5 000 субъектов). РКН возбуждает дело по ч. 6 (нарушение условий хранения → неправомерный доступ) и одновременно по ч. 13 (утечка ПДн от 10 000 до 100 000 субъектов — если объём достигает порога). Итоговый штраф по ч. 13 — 5–10 млн ₽, по ч. 6 — 50–100 тыс. ₽. Составы не поглощают друг друга.

Ситуация Б. Сотрудник вынес личные дела работников (300 субъектов) и передал их конкуренту. Объём не достигает порога ч. 12 (1 000 субъектов). РКН применяет ч. 6: штраф 50–100 тыс. ₽. Дополнительно возможна ч. 1 ст. 13.11 (обработка ПДн в целях, не предусмотренных при сборе) — штраф 150–300 тыс. ₽.

Ситуация В. Клиент в торговом зале случайно увидел анкету другого клиента, оставленную менеджером на стойке. Жалоба субъекта → проверка РКН. Состав по ч. 6 налицо. Ч. 12–14 не применяются: отсутствует «утечка» как таковая (нет передачи массива данных). Штраф — 50–100 тыс. ₽.

Как применяются ст. 4.1, 4.1.1 КоАП и оборотные составы в контексте ч. 6?

Часть 6 ст. 13.11 не является оборотным составом — это фиксированный штраф 50–100 тыс. ₽. Однако при рассмотрении дела суд применяет общие правила КоАП о смягчении и замене наказания.

Ст. 4.1 КоАП — учёт смягчающих обстоятельств. К числу смягчающих относятся: устранение нарушения до вынесения постановления, добровольное уведомление РКН, возмещение ущерба субъектам, содействие регулятору при проверке. Суд вправе снизить штраф до минимума санкции — 50 тыс. ₽.

Ст. 4.1.1 КоАП — замена штрафа предупреждением. Применяется для субъектов малого и среднего предпринимательства (МСП) при одновременном соблюдении условий: первичность нарушения, отсутствие угрозы жизни и здоровью, отсутствие имущественного ущерба. По ч. 6 замена технически возможна — в отличие от ч. 15 и ч. 18, где ст. 4.1.1 прямо исключена законом.

Оборотный штраф по ч. 15 ст. 13.11 — 1–3% совокупной годовой выручки, не менее 20 млн ₽ и не более 500 млн ₽ — возникает при повторной утечке по ч. 12–14. К ч. 6 напрямую не применяется. Но если утечка бумажных носителей квалифицирована одновременно по ч. 12–14 и ч. 6, и ранее компания уже привлекалась по ч. 12–14 — ч. 15 применяется к составу по ч. 12–14, тогда как ч. 6 рассматривается самостоятельно.

Примечание 3.4-2 к ст. 4.1 КоАП (введено ФЗ-420): при подтверждённых инвестициях в информационную безопасность не менее 0,1% совокупной выручки за три предшествующих года штраф по оборотным составам снижается до 1/10 минимального, но не менее 15 млн ₽ и не более 50 млн ₽. Это правило применяется только к ч. 15 и ч. 18 — не к ч. 6.

Практические сценарии для CEO: ч. 6 в реальных делах

Кейс 1. Торговая компания (Центральный ФО, лето 2025). В ходе плановой проверки РКН инспектор обнаружил незапертый шкаф с бумажными анкетами покупателей программы лояльности. Акт зафиксировал, что к шкафу имели доступ курьеры сторонней службы доставки. Составлен протокол по ч. 6 ст. 13.11. Генеральный директор оспорил постановление, представив доказательства того, что курьеры никогда не находились в помещении архива без сопровождения ответственного сотрудника. Признак неправомерного доступа не был доказан — постановление отменено.

Кейс 2 (case_S5 из практики). Микропредприятие в сфере кадрового подбора. Бумажные резюме соискателей хранились в открытой папке на ресепшене. Посетитель офиса сфотографировал несколько листов. Жалоба субъекта — проверка РКН — протокол по ч. 6 ст. 13.11. Компания является микропредприятием, нарушение первичное. Суд применил ст. 4.1.1 КоАП и заменил штраф предупреждением. Параллельно DATUM подготовил регламент хранения носителей и закрыл нарушение до рассмотрения дела.

Частые вопросы

1. Какие штрафы по ст. 13.11 КоАП действуют с 30.05.2025?

С 30 мая 2025 года ст. 13.11 КоАП действует в редакции ФЗ-420 от 30.11.2024 и содержит 18 частей. Диапазон для юридических лиц: от 30 000 ₽ (ч. 3 — отсутствие политики обработки ПДн) до 15 000 000 ₽ (ч. 14 — утечка более 100 000 субъектов) плюс оборотный штраф по ч. 15 при повторной утечке — 1–3% выручки, не менее 20 млн ₽, не более 500 млн ₽. Часть 6 (нарушение условий хранения материальных носителей) — 50 000–100 000 ₽.

2. Что такое оборотный штраф 1–3% по ч. 15 ст. 13.11?

Оборотный штраф по ч. 15 ст. 13.11 КоАП применяется при повторном совершении нарушений по ч. 12–14 (утечки по числу субъектов) или ч. 15–18 лицом, уже привлекавшимся к ответственности за аналогичные нарушения. Размер — 1–3% совокупной выручки за предшествующий календарный год, но не менее 20 млн ₽ и не более 500 млн ₽. Скидка за быструю уплату по ст. 32.2 КоАП к оборотному штрафу не применяется. Инвестиции в ИБ свыше 0,1% выручки за три года дают право на снижение до 1/10 минимума (не менее 15 млн ₽, не более 50 млн ₽) согласно примечанию 3.4-2 ст. 4.1 КоАП.

3. Когда применяется минимум 20 млн ₽ по оборотному составу?

Минимум 20 млн ₽ по ч. 15 ст. 13.11 применяется, когда 1–3% годовой выручки арифметически составляют менее 20 млн ₽. Это актуально для компаний с выручкой до 2 млрд ₽ в год: при выручке 500 млн ₽ и ставке 1% расчётный штраф — 5 млн ₽, но применяется минимум 20 млн ₽. При выручке свыше 2 млрд ₽ и ставке 1% расчётный штраф превышает минимум и применяется фактический процент.

4. Можно ли заменить штраф по ч. 6 ст. 13.11 на предупреждение?

Да, для субъектов МСП при первичном нарушении и отсутствии вреда — суд вправе применить ст. 4.1.1 КоАП и заменить штраф предупреждением. Обязательные условия: компания включена в реестр МСП, нарушение совершено впервые, угроза жизни и здоровью граждан отсутствует, имущественного ущерба нет. В отличие от оборотных составов (ч. 15, ч. 18), для ч. 6 прямого законодательного запрета на замену нет.

5. Какая подсудность дел по ст. 13.11 после ФЗ-508?

С 28 декабря 2025 года (ФЗ-508 от 28.12.2025) дела по ст. 13.11 КоАП возвращены мировым судьям. В период с 30 мая по 27 декабря 2025 года их рассматривали арбитражные суды. Это существенно для стратегии обжалования: порядок обжалования постановления мирового суда — в районный суд в течение 10 суток. Применение ст. 4.1.1 КоАП у мировых судей исторически более вероятно, чем в арбитражном процессе.

Итог

Состав по ч. 6 ст. 13.11 КоАП — единственный в ст. 13.11, где закон прямо требует наступления последствия. Без доказанного неправомерного доступа к бумажным носителям ПДн состав не образуется, и протокол уязвим для оспаривания. При этом ч. 6 нередко применяется параллельно с ч. 12–14 при физических утечках — что увеличивает итоговую нагрузку на оператора.

Практика DATUM по защите операторов от штрафов по ст. 13.11 КоАП охватывает все 18 частей статьи в редакции ФЗ-420. Команда работает с делами от стадии протокола до апелляции — включая применение ст. 4.1, 4.1.1 КоАП и оспаривание доказательственной базы РКН.

Услуги DATUM по теме

• Защита при штрафе в арбитраже — оспаривание протоколов и постановлений по ст. 13.11, применение смягчающих обстоятельств
• Аудит соответствия 152-ФЗ — проверка режима хранения материальных носителей и полного пакета ОРД
• Сопровождение проверок РКН — подготовка к проверке, представление интересов на всех стадиях

8 января 2028 года