Срок давности привлечения по 13.11: 1 год

Срок давности по ст. 13.11 КоАП — ключевой процессуальный инструмент защиты. Генеральный директор, получив постановление о штрафе, нередко не проверяет, не пропущен ли срок: между инцидентом и вынесением постановления может пройти больше года. С 30.05.2025 составы ст. 13.11 расширились с 7 до 18 частей (ФЗ-420 от 30.11.2024), а максимальный штраф для юрлица вырос до 500 млн ₽. В этой статье — как работает 1-летний срок давности, когда он начинает течь, как взаимодействует с новыми составами и что означает для стратегии защиты.

Как исчисляется 1-летний срок давности по ст. 13.11 КоАП?

Статья 4.5 КоАП устанавливает срок давности привлечения к административной ответственности за нарушения законодательства о персональных данных — 1 год. Это специальный срок: он применяется вместо общего 2-месячного срока, установленного для большинства иных административных составов.

Срок начинает течь с момента совершения правонарушения. Для длящихся нарушений (оператор месяцами не публикует политику обработки ПДн, не уведомил РКН о намерении обрабатывать) момент совершения — день обнаружения нарушения должностным лицом Роскомнадзора или иного уполномоченного органа. Для разовых нарушений (утечка ПДн, неуведомление РКН о конкретном инциденте в 24 часа) — день самого события.

Разграничение разовых и длящихся нарушений критично. Обработка ПДн без уведомления РКН (ч. 10 ст. 13.11) — длящееся: оператор нарушает закон каждый день, пока не подаст уведомление. Утечка ПДн (ч. 12–14) — разовое: произошла в конкретную дату. Если протокол составлен через 13 месяцев после утечки, срок истёк — основание для прекращения производства по п. 6 ч. 1 ст. 24.5 КоАП.

Как соотносится срок давности с новыми составами ФЗ-420 от 30.11.2024?

ФЗ-420 вступил в силу 30.05.2025 и кардинально пересобрал ст. 13.11 КоАП. Ст. 1.7 КоАП закрепляет: лицо привлекается к ответственности по закону, действовавшему на момент совершения правонарушения. Это означает следующее.

Нарушение совершено до 30.05.2025 — применяется старая редакция ст. 13.11 (максимум 500 тыс. ₽ по ч. 6 за повторное). Нарушение совершено после 30.05.2025 — новая редакция: утечка от 1 000 до 10 000 субъектов (ч. 12) — 3–5 млн ₽, от 10 000 до 100 000 (ч. 13) — 5–10 млн ₽, свыше 100 000 (ч. 14) — 10–15 млн ₽. Оборотный штраф (ч. 15) за повторную утечку — 1–3% годовой выручки, не менее 20 млн ₽, не более 500 млн ₽.

Практический вопрос для CEO: если утечка произошла в марте 2025, а протокол составлен в апреле 2026 — применяется старая редакция (событие до 30.05.2025), но срок давности уже истёк (прошло более 1 года). Это два самостоятельных основания для прекращения или смягчения: нарушение срока и применение более мягкого закона.

Когда штраф может быть заменён на предупреждение или снижен?

Ст. 4.1.1 КоАП позволяет заменить штраф предупреждением для микропредприятий и субъектов МСП при первичном нарушении, если отсутствует имущественный ущерб и нет угрозы жизни и здоровью. Это правило не применяется к составам ч. 15 и ч. 18 ст. 13.11 (оборотные).

Ст. 4.1 КоАП содержит специальное примечание 3.4-2, введённое ФЗ-420: если оператор инвестировал в средства защиты информации не менее 0,1% совокупной выручки за три предшествующих года, штраф по оборотным составам (ч. 15, ч. 18) снижается до 1/10 минимального размера — но не менее 15 млн ₽ и не более 50 млн ₽. Это единственный легальный механизм снижения оборотного штрафа ниже установленного минимума в 20 млн ₽.

Ст. 272.1 УК РФ (введена ФЗ-421 от 30.11.2024, действует с 11.12.2024) вводит уголовную ответственность за незаконные сбор, хранение и передачу компьютерной информации, содержащей ПДн. Максимальное наказание по ч. 5 — лишение свободы до 10 лет. Уголовный риск и административный могут возникать одновременно при одной утечке — важно разграничить ответственность должностных лиц и юрлица.

Какова подсудность дел по ст. 13.11 после ФЗ-508 от 28.12.2025?

С 30.05.2025 по 27.12.2025 дела по ст. 13.11 КоАП рассматривали арбитражные суды. ФЗ-508 от 28.12.2025 вернул подсудность мировым судьям — с 28.12.2025 протоколы по ст. 13.11 направляются мировым судьям по месту совершения правонарушения. Для CEO это означает иной порядок обжалования: апелляция — районный суд, кассация — суд субъекта.

Переходные дела, поданные в арбитраж до 28.12.2025, завершаются там же. Новые с 28.12.2025 — у мировых. Если протокол составлен в январе 2026 и направлен не туда — это процессуальное нарушение, которое служит самостоятельным основанием для отмены постановления.

Как это работает на практике: два сценария для CEO

Сценарий 1. Утечка до 30.05.2025, протокол — спустя 14 месяцев. Торговая компания (Центральный ФО, осень 2025): утечка базы клиентов произошла в марте 2024. РКН составил протокол по ч. 6 ст. 13.11 (старая редакция) в мае 2025 — через 14 месяцев после инцидента. Генеральный директор обратился за защитой. Юристы установили: 1-летний срок давности по ст. 4.5 КоАП истёк в марте 2025. Мировой суд прекратил производство по п. 6 ч. 1 ст. 24.5 КоАП. Штраф — ноль. ⚠️ Конкретный номер дела и точная дата — менеджер уточняет при публикации.

Сценарий 2. Утечка после 30.05.2025, первичная — замена на предупреждение. Производственное предприятие (Приволжский ФО, зима 2026): атака на сервер, утечка 2 400 записей клиентов. Квалификация — ч. 12 ст. 13.11 (3–5 млн ₽). Компания — субъект МСП, нарушение первичное. Юристы применили ст. 4.1.1 КоАП: штраф заменён предупреждением. Параллельно проведён аудит ОРД — выявлено отсутствие уведомления в реестре РКН, подано уведомление по ст. 22 ФЗ-152 до составления протокола по ч. 10. Это снизило риск дополнительного штрафа в 100–300 тыс. ₽. ⚠️ Точные параметры дела — менеджер уточняет при публикации.

Услуги DATUM по теме

• Защита при штрафе в арбитраже — оспаривание протоколов и постановлений по ст. 13.11, применение ст. 4.1 и 4.1.1 КоАП
• Сопровождение проверок РКН — подготовка, представление интересов, обжалование предписаний
• Аудит соответствия 152-ФЗ — проверка уведомления в реестре, ОРД, согласий, политики обработки ПДн

Частые вопросы

1. Какие штрафы по ст. 13.11 КоАП действуют с 30.05.2025?

С 30.05.2025 ст. 13.11 КоАП насчитывает 18 частей (ФЗ-420 от 30.11.2024). Ключевые для юрлиц: ч. 1 — обработка ПДн в незаконных случаях (150–300 тыс. ₽), ч. 2 — отсутствие письменного согласия (300–700 тыс. ₽), ч. 8 — нарушение локализации (1–6 млн ₽), ч. 12 — утечка 1 000–10 000 субъектов (3–5 млн ₽), ч. 13 — 10 000–100 000 субъектов (5–10 млн ₽), ч. 14 — свыше 100 000 субъектов (10–15 млн ₽), ч. 15 — повторная утечка, оборотный штраф (1–3% выручки, от 20 млн до 500 млн ₽), ч. 17 — утечка биометрии (15–20 млн ₽).

2. Что такое оборотный штраф 1–3% и в каком случае он применяется?

Оборотный штраф по ч. 15 ст. 13.11 КоАП применяется при повторной утечке ПДн: если компания уже привлекалась по ч. 12–14, 15–18 ст. 13.11. База расчёта — совокупная выручка за предшествующий календарный год. Минимум — 20 млн ₽ (даже если 1–3% выручки дают меньшую сумму). Максимум — 500 млн ₽. Скидка 50% за уплату в течение 20 дней (ст. 32.2 КоАП) к оборотным штрафам не применяется.

3. Когда применяется минимум 20 млн ₽ по ч. 15 ст. 13.11?

Минимум 20 млн ₽ применяется всегда при назначении оборотного штрафа по ч. 15 ст. 13.11, если расчётная сумма (1–3% выручки) оказывается ниже этой отметки. Исключение: ст. 4.1 КоАП, примечание 3.4-2 — при инвестициях в ИБ не менее 0,1% выручки за три предшествующих года штраф снижается до 1/10 минимума, но не менее 15 млн ₽ и не более 50 млн ₽. Это единственный легальный способ опуститься ниже 20 млн ₽.

4. Можно ли заменить штраф по ст. 13.11 на предупреждение?

Замена штрафа предупреждением возможна по ст. 4.1.1 КоАП для микропредприятий и СМП при первичном нарушении без имущественного ущерба. Не применяется к оборотным составам ч. 15 и ч. 18 ст. 13.11. На практике мировые судьи применяют замену при нарушениях по ч. 1, 2, 3, 10 ст. 13.11. Первым шагом нужно установить статус компании в реестре МСП и проверить отсутствие предшествующих постановлений по ст. 13.11.

5. Какова подсудность дел по ст. 13.11 после ФЗ-508 от 28.12.2025?

С 28.12.2025 дела по ст. 13.11 КоАП рассматривают мировые судьи (ФЗ-508 от 28.12.2025 вернул им подсудность, утраченную с 30.05.2025). Апелляция — районный суд, кассация — суд субъекта РФ. Дела, поданные в арбитраж до 28.12.2025, завершаются там. Ошибка в адресате направления протокола — самостоятельное процессуальное нарушение, влекущее отмену постановления.

Итог

Срок давности 1 год по ст. 4.5 КоАП — процессуальная защита, которая работает независимо от размера штрафа. Для разовых нарушений (утечка) он начинает течь с даты события; для длящихся (отсутствие уведомления в реестре) — с даты обнаружения. Дополнительные инструменты снижения: ст. 4.1.1 КоАП (замена на предупреждение для МСП), ст. 4.1 КоАП (льгота при инвестициях в ИБ), ст. 1.7 КоАП (применение более мягкого закона при нарушении до 30.05.2025).

Юристы DATUM сопровождают споры по ст. 13.11 КоАП с момента получения протокола до вступления постановления в силу, включая обжалование в суде и применение смягчающих норм КоАП.