Состав правонарушения по ч. 9 ст. 13.11: 3 признака

С 30 мая 2025 года ст. 13.11 КоАП действует в редакции ФЗ-420 от 30.11.2024. Часть 9 выделена как самостоятельный состав: повторное нарушение требования хранить и обрабатывать персональные данные граждан России в базах данных на территории Российской Федерации. Для генерального директора это означает: если компания уже получала постановление по ч. 8, каждый следующий факт нарушения локализации автоматически попадает в иную санкционную вилку — от 6 до 18 млн ₽. Ниже — детальный разбор трёх квалифицирующих признаков и стратегии защиты по каждому из них.

Что образует состав по ч. 9 ст. 13.11 и почему локализация — это больше не технический вопрос?

Требование локализации установлено ч. 5 ст. 18 ФЗ-152: запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации должны осуществляться с использованием баз данных, расположенных на территории России. Норма действует с 1 сентября 2015 года. За её нарушение ч. 8 ст. 13.11 КоАП предусматривает штраф 1 000 000 — 6 000 000 ₽. Часть 9 — это квалифицированный состав для тех, кто уже был наказан по ч. 8 и допустил нарушение повторно.

До 30 мая 2025 года нарушение локализации квалифицировалось по единственной норме — тогдашней ч. 8 ст. 13.11. Повторность учитывалась лишь как отягчающее обстоятельство при назначении наказания в рамках той же санкции. Теперь повторное нарушение — самостоятельный состав с утроенным минимумом санкции. Для компании с оборотом выше 500 млн ₽ в год это сигнал: второй протокол по локализации кратно дороже первого.

Практически это означает следующее. Роскомнадзор фиксирует нарушение, возбуждает дело по ч. 9 и направляет материалы мировому судье (подсудность возвращена ФЗ-508 от 28.12.2025). Мировой судья проверяет три обязательных признака состава. Отсутствие хотя бы одного из них влечёт прекращение дела или переквалификацию на ч. 8.

Три признака состава по ч. 9: как их устанавливает регулятор и где оспорить каждый?

Состав ч. 9 ст. 13.11 КоАП включает три обязательных признака. Доказывать их наличие обязан Роскомнадзор. Защита строится на опровержении хотя бы одного.

Признак 1. Объективная сторона — нарушение требования локализации. Роскомнадзор должен подтвердить, что оператор осуществляет запись, систематизацию, накопление, хранение, уточнение или извлечение персональных данных граждан РФ с использованием базы данных, расположенной за пределами России. Типичные основания: CRM-система на зарубежных серверах, облачное хранилище AWS или Azure без российского региона, передача данных в иностранную аналитическую платформу без первичной записи в российской БД. Ключевая линия защиты — оспаривание процедуры сбора доказательств РКН. Если инспектор не имел доступа к технической инфраструктуре, а протокол основан только на публичных данных WHOIS или регистрационных сведениях сервиса — это основание для возврата дела.

Признак 2. Специальный субъект — оператор, ранее привлечённый по ч. 8. Повторность по смыслу КоАП означает совершение однородного правонарушения в течение одного года с момента исполнения предыдущего постановления (ст. 4.6 КоАП). Роскомнадзор обязан приложить к материалам дела копию вступившего в силу постановления по ч. 8, доказательства его исполнения и расчёт срока. Линии защиты: постановление по ч. 8 обжаловано и не вступило в силу; срок годичного периода истёк; предыдущее нарушение квалифицировано иначе (не ч. 8); субъект административной ответственности в предыдущем деле — другое юридическое лицо (реорганизация, смена наименования).

Признак 3. Вина оператора. Юридическое лицо признаётся виновным, если у него имелась возможность соблюдать норму, но оно не приняло все зависящие меры (ч. 2 ст. 2.1 КоАП). Защита строится на доказательстве принятых мер: внутренние приказы о переносе баз данных в российский контур, договоры с российскими дата-центрами, технические акты о завершении миграции, переписка с поставщиками ПО. Если оператор предпринял реальные шаги, но нарушение сохранялось по объективным причинам (зависимость от иностранного вендора без российской альтернативы, технические ограничения платформы), это снижает степень вины и влияет на размер санкции по ст. 4.1 КоАП.

Как ч. 15 и оборотный штраф соотносятся с ч. 9 — и в чём риск цепочки нарушений?

Часть 9 ст. 13.11 — не предельная санкция за нарушения в сфере локализации. Если компания ранее была привлечена по ч. 12–14 ст. 13.11 (утечки ПДн) или по ч. 15, ч. 16–18, новое нарушение по ч. 8 или ч. 9 может стать частью совокупности, которая образует оборотный состав по ч. 15.

Для генерального директора важно понимать: нарушение локализации (ч. 8, ч. 9) и нарушение режима хранения данных, повлёкшее утечку (ч. 12–14), — разные составы. Ч. 15 запускается специфическим набором предикатных нарушений. Тем не менее сочетание ч. 9 с параллельным делом об утечке резко увеличивает риск: РКН квалифицирует каждое нарушение самостоятельно, назначаются отдельные штрафы, которые суммируются.

Снизить итоговую санкцию позволяют два механизма КоАП. Первый — ст. 4.1 КоАП: судья вправе назначить штраф ниже минимума при наличии исключительных обстоятельств (имущественное положение, незначительность последствий, активное содействие расследованию). Второй — ст. 4.1 примечание 3.4-2: если оператор инвестировал в информационную безопасность не менее 0,1% совокупной выручки за три предшествующих года, оборотный штраф по ч. 15 снижается до одной десятой минимального размера, но не менее 15 млн ₽ и не более 50 млн ₽. Для ч. 9 прямой аналог этой льготы не предусмотрен, однако инвестиции в ИБ учитываются судьёй как смягчающее обстоятельство при расчёте санкции в пределах вилки 6–18 млн ₽.

Матрица сценариев для CEO: три типовые ситуации и стратегия защиты

Сценарий 1. Первое нарушение локализации квалифицируется по ч. 8, компания уплатила штраф и частично перенесла данные. Через восемь месяцев РКН выявляет, что один из CRM-модулей по-прежнему работает на зарубежном сервере. Доказательства: технический акт проверки РКН, данные о сервере из публичных источников. Вероятный исход: протокол по ч. 9, передача мировому судье, штраф в диапазоне 6–18 млн ₽. Стратегия: до судебного заседания завершить миграцию оставшегося модуля, зафиксировать это актами, представить суду доказательства устранения нарушения — судья с высокой вероятностью назначит санкцию ближе к нижней границе вилки.

Сценарий 2. Компания реорганизована путём присоединения: поглощённое юридическое лицо имело постановление по ч. 8, правопреемник — нет. РКН возбуждает дело по ч. 9 в отношении правопреемника, ссылаясь на правопреемство в административной ответственности. Доказательства регулятора: выписка ЕГРЮЛ, копия постановления по ч. 8 в отношении присоединённого лица. Стратегия защиты: административная ответственность не переходит в порядке правопреемства при реорганизации — это устойчивая позиция судебной практики. Правонарушение, совершённое присоединённым лицом, не образует признак повторности для правопреемника. Протокол подлежит возврату или прекращению по ч. 2 ст. 24.5 КоАП.

Сценарий 3. Годичный срок повторности истёк, но РКН оформил протокол по ч. 9. Постановление по ч. 8 вступило в силу 15 марта 2025 года и исполнено в тот же день. Новый протокол составлен 20 марта 2026 года — через 370 дней. Формально компания вышла за пределы срока повторности по ст. 4.6 КоАП (один год). Стратегия: представить суду расчёт дат, копию исполнительного документа или платёжного поручения. При подтверждении истечения срока нарушение переквалифицируется на ч. 8 — санкция снижается до диапазона 1–6 млн ₽.

Как применяется замена штрафа предупреждением и когда она недоступна по ч. 9?

Статья 4.1.1 КоАП позволяет заменить административный штраф предупреждением для субъектов малого и среднего предпринимательства при первичном нарушении и отсутствии имущественного вреда. По ч. 9 ст. 13.11 замена невозможна по определению: повторность — обязательный признак состава, а ст. 4.1.1 применяется только к первичным нарушениям. Это принципиальное отличие ч. 9 от ч. 8, где замена на предупреждение теоретически допустима для МСП.

Тем не менее определённые механизмы смягчения остаются. По ст. 4.2 КоАП обстоятельствами, смягчающими ответственность, признаются: добровольное устранение нарушения, возмещение вреда, явка с признанием, содействие расследованию. Совокупность нескольких смягчающих обстоятельств даёт судье основание назначить штраф ниже середины вилки — то есть ближе к 6 млн ₽, а не к 18 млн ₽. При наличии исключительных обстоятельств по ч. 2.2 ст. 4.1 КоАП суд вправе назначить штраф ниже минимума санкции — не менее половины минимального размера.

Отдельно следует учитывать подсудность. С 28 декабря 2025 года (ФЗ-508) дела по ст. 13.11 КоАП рассматривают мировые судьи. До этой даты — с 30 мая по 27 декабря 2025 года — дела рассматривались арбитражными судами. Если дело возбуждено до 28 декабря 2025 года и передано в арбитраж, а слушание назначено после смены подсудности, возможны процессуальные коллизии. Практика по этому вопросу продолжает формироваться.

Как это выглядит на практике

Кейс 1. IT-компания Северо-Западного ФО (осень 2025) получила постановление по ч. 8 ст. 13.11 за хранение пользовательских профилей на серверах финского дата-центра. Штраф уплачен. Спустя десять месяцев РКН в ходе плановой проверки выявил, что аналитическая база данных по-прежнему расположена за рубежом. Возбуждено дело по ч. 9. Технический директор компании представил суду договор с российским облачным провайдером, датированный за два месяца до проверки, и акт переноса базы, завершённого за три недели до составления протокола. Мировой судья принял во внимание факт устранения нарушения до вынесения постановления и назначил штраф в нижней части вилки — в сотнях тысяч рублей ниже максимума по ч. 9.

Кейс 2. Торговая сеть Приволжского ФО (начало 2026) оспорила квалификацию по ч. 9 ст. 13.11 на основании истечения срока повторности. Предыдущее постановление по ч. 8 вступило в силу и было исполнено более года назад. Мировой судья переквалифицировал нарушение на ч. 8, что снизило максимальный штраф с 18 до 6 млн ₽. При этом суд применил ст. 4.1 КоАП и с учётом смягчающих обстоятельств назначил штраф в размере, существенно ниже верхней границы санкции ч. 8. Ключевым доказательством стало платёжное поручение об уплате предыдущего штрафа с датой исполнения.

Услуги DATUM по теме

• Защита при штрафе в арбитраже — оспаривание протоколов и постановлений по ч. 8 и ч. 9 ст. 13.11 КоАП
• Аудит соответствия 152-ФЗ — проверка инфраструктуры хранения ПДн на предмет локализации
• Сопровождение проверок РКН — представление интересов при проверке, подготовка доказательной базы

Частые вопросы

1. Какие штрафы по ст. 13.11 КоАП действуют с 30 мая 2025 года?

С 30 мая 2025 года ст. 13.11 КоАП действует в редакции ФЗ-420 от 30.11.2024 и содержит 18 частей. За нарушение локализации (ч. 8) — 1–6 млн ₽ для юридических лиц. За повторное нарушение локализации (ч. 9) — 6–18 млн ₽. За утечку от 1 000 до 10 000 субъектов (ч. 12) — 3–5 млн ₽, от 10 000 до 100 000 (ч. 13) — 5–10 млн ₽, свыше 100 000 (ч. 14) — 10–15 млн ₽. Оборотный штраф за повторную утечку (ч. 15) — 1–3% годовой выручки, не менее 20 млн ₽ и не более 500 млн ₽.

2. Что такое оборотный штраф 1–3%?

Оборотный штраф по ч. 15 ст. 13.11 КоАП применяется при повторном совершении нарушения по ч. 12–14, 16–18 или ч. 15 самой статьи. Размер — 1–3% совокупной выручки компании за предшествующий календарный год. Нижний порог — 20 млн ₽, верхний — 500 млн ₽. Для компаний с выручкой свыше 2 млрд ₽ в год 1% уже превышает минимальный порог. Ч. 9 (нарушение локализации) в перечень предикатных составов для ч. 15 не входит, однако параллельное наличие дел по ч. 9 и по ч. 12–14 существенно увеличивает совокупную финансовую нагрузку на оператора.

3. Когда применяется минимум 20 млн ₽ по оборотному штрафу?

Минимум 20 млн ₽ по ч. 15 ст. 13.11 применяется в любом случае — даже если 1% годовой выручки оказывается ниже этой суммы. Иными словами, компания с выручкой 500 млн ₽ в год при исчислении 1% получит 5 млн ₽, но штраф всё равно составит не менее 20 млн ₽. Льгота по ст. 4.1 примечанию 3.4-2 КоАП снижает оборотный штраф до одной десятой минимума (не менее 15 млн ₽, не более 50 млн ₽), если оператор документально подтвердил инвестиции в информационную безопасность в размере не менее 0,1% выручки за три предшествующих года.

4. Можно ли заменить штраф по ч. 9 ст. 13.11 на предупреждение?

Нет. Статья 4.1.1 КоАП допускает замену штрафа предупреждением для субъектов МСП при первичном нарушении и отсутствии имущественного вреда. Часть 9 ст. 13.11 по определению предполагает повторность, поэтому критерий первичности не выполняется. Смягчение санкции возможно по ст. 4.1 КоАП (ниже минимума при исключительных обстоятельствах — не менее половины минимального размера) и через документальное подтверждение устранения нарушения до вынесения постановления.

5. Какая подсудность дел по ст. 13.11 после ФЗ-508?

С 28 декабря 2025 года (ФЗ-508) дела по ст. 13.11 КоАП рассматривают мировые судьи. В период с 30 мая по 27 декабря 2025 года компетентным судом был арбитражный суд. Если протокол составлен до 28 декабря 2025 года и дело передано в арбитраж, возможна ситуация, когда рассмотрение продолжается уже после передачи подсудности мировым судьям — процессуальный вопрос решается с учётом даты возбуждения производства. Апелляция на постановление мирового судьи подаётся в районный суд.

Итог

Состав по ч. 9 ст. 13.11 КоАП предполагает три обязательных признака: нарушение требования локализации, повторность в пределах одного года с момента исполнения предыдущего постановления по ч. 8, вина оператора. Защита строится на оспаривании любого из этих признаков: доказательной базы РКН по факту нарушения, истечения срока повторности, отсутствия вины при принятии всех возможных мер. Санкция — 6–18 млн ₽ — существенно выше ч. 8, замена предупреждением недоступна.

Практика DATUM по защите операторов в делах о нарушении локализации и обжалованию протоколов по ст. 13.11 КоАП охватывает составы как в редакции до ФЗ-420, так и в действующей редакции с 30 мая 2025 года. Работаем на стадии административного расследования, при рассмотрении дела у мирового судьи и в апелляции.