Срок давности привлечения по ч. 11 ст. 13.11

Срок давности привлечения к административной ответственности — не технический вопрос, а инструмент защиты. Для CEO это означает: если с момента нарушения прошло больше установленного срока, протокол по ч. 11 ст. 13.11 КоАП составить нельзя, а возбуждённое производство подлежит прекращению. Разберём, как считается этот срок, когда начинает течь и что даёт компании в диалоге с РКН и судом.

Что такое ч. 11 ст. 13.11 КоАП и почему срок давности здесь принципиален?

Часть 11 ст. 13.11 КоАП введена ФЗ-420 от 30.11.2024 и действует с 30.05.2025. Состав — неуведомление или несвоевременное уведомление РКН об инциденте с персональными данными. Норма привязана к ч. 3.1 ст. 21 ФЗ-152: оператор обязан направить первичное уведомление в Роскомнадзор в течение 24 часов с момента обнаружения утечки, а отчёт о результатах внутреннего расследования — в течение 72 часов.

Срок давности здесь принципиален по двум причинам. Первая: нарушение по ч. 11 носит длящийся характер — момент его окончания и, следовательно, начало течения давностного срока могут оспариваться. Вторая: если компания не уведомила РКН и инцидент стал известен регулятору из внешних источников (СМИ, даркнет, жалобы), регулятор может попытаться квалифицировать действия как длящееся нарушение — что сдвигает точку отсчёта. Это выгодно РКН, но не всегда правомерно.

Какой срок давности применяется по ч. 11 ст. 13.11 КоАП?

По ст. 4.5 КоАП срок давности привлечения к административной ответственности за нарушение законодательства о персональных данных составляет 1 год с момента совершения (для не длящихся составов) или обнаружения (для длящихся) правонарушения. До внесения изменений ФЗ-420 в отношении большинства составов ст. 13.11 применялся общий срок — 2 месяца или 3 месяца (для дел, рассматриваемых судьями). После 30.05.2025 нарушения законодательства о персональных данных прямо отнесены к категории, по которой давностный срок — 1 год.

Ключевой вопрос: является ли нарушение по ч. 11 длящимся? Неуведомление РКН — это бездействие, которое началось в момент истечения 24-часового окна и продолжается до тех пор, пока компания не уведомит регулятора или пока нарушение не будет выявлено. Суды квалифицируют подобные составы как длящиеся, что означает: срок давности начинает течь с момента обнаружения нарушения уполномоченным органом, а не с 25-го часа после инцидента. Это критически важно для стратегии защиты.

Как считается момент начала течения срока давности по ч. 11?

Практика складывается вокруг трёх точек отсчёта, каждая из которых даёт разный результат для компании.

Точка 1: истечение 24-часового окна. Если считать нарушение не длящимся, срок давности начинает течь с момента, когда компания должна была, но не направила уведомление — то есть через 24 часа после обнаружения инцидента. При таком подходе 1-летний срок истекает раньше, что выгодно компании.

Точка 2: обнаружение нарушения РКН. Если суд квалифицирует бездействие как длящееся, отсчёт идёт с даты, когда регулятор зафиксировал факт неуведомления. Это может произойти через несколько месяцев после инцидента — при мониторинге даркнета, при жалобе субъекта или при проверке. Данный подход расширяет окно для регулятора.

Точка 3: направление запроса РКН в компанию. В ряде дел суды принимают за точку отсчёта дату, когда регулятор официально запросил у оператора информацию об инциденте. Это промежуточная позиция.

Для CEO вывод таков: чем раньше после инцидента проведена внутренняя фиксация событий с отметками времени — тем больше аргументов для первой точки отсчёта. Запоздалая фиксация оставляет поле для второй.

Как соотносятся ч. 11 и оборотный штраф по ч. 15?

Ч. 11 — за неуведомление об инциденте — применяется самостоятельно и не поглощается составами утечки (ч. 12–14). Регулятор вправе возбудить дело и по ч. 11, и по ч. 12–14 одновременно. Оборотный штраф по ч. 15 ст. 13.11 КоАП применяется при повторном совершении нарушения по составам ч. 12–14 лицом, ранее привлекавшимся по этим же или смежным частям.

Важно: срок давности по ч. 15 также составляет 1 год, но он исчисляется отдельно — от момента второго (повторного) нарушения или его обнаружения. Если первое дело по ч. 12–14 ещё не рассмотрено окончательно, квалификация по ч. 15 преждевременна. Это процессуальный аргумент против применения оборотного штрафа.

Для компании с выручкой 1 млрд ₽ в год оборотный штраф составит 10–30 млн ₽ при нижней границе в 20 млн. Для компании с выручкой 10 млрд — 100–300 млн ₽. Эти суммы несопоставимы со стоимостью юридического сопровождения (от 150 000 ₽), что делает раннее подключение юриста экономически обоснованным.

Как применяются ст. 4.1 и 4.1.1 КоАП при защите по ч. 11?

Ст. 4.1 КоАП позволяет суду назначить наказание ниже минимума при наличии исключительных обстоятельств. Для дел по ч. 11 это означает возможность выйти за нижнюю границу в 1 млн ₽. Суды учитывают: оперативность реагирования после обнаружения нарушения, самостоятельное уведомление РКН (пусть и с опозданием), принятие мер по устранению последствий, первичность нарушения.

Ст. 4.1.1 КоАП — замена штрафа предупреждением — применима к малому и микробизнесу при первичном нарушении и отсутствии вреда субъектам ПДн. Для ч. 11 это реалистичный сценарий: если утечка не привела к реальному ущербу субъектам, компания является субъектом МСП и нарушение первое — суд вправе заменить штраф предупреждением. Оборотные составы (ч. 15) под ст. 4.1.1 не подпадают.

Примечание 3.4-2 к ст. 4.1 КоАП (введено ФЗ-420): если юридическое лицо инвестировало в информационную безопасность не менее 0,1% совокупной выручки за 3 предшествующих года, штраф по оборотным составам (ч. 15 и ч. 18) снижается до 1/10 минимума — но не менее 15 млн ₽ и не более 50 млн ₽. Для среднего бизнеса с выручкой 500 млн ₽ это означает снижение с 20 млн до 15 млн ₽ при документально подтверждённых расходах на ИБ.

Типовые сценарии для CEO: ситуация, риск, стратегия

Сценарий 1. Инцидент обнаружен, 24-часовое окно истекло, уведомление не направлено. Ситуация: CISO зафиксировал инцидент, юридическая служба не была уведомлена, первичное сообщение в РКН не отправлено. Спустя 2 недели РКН сам обнаружил данные в открытом доступе. Риск: протокол по ч. 11 (1–3 млн ₽) + по ч. 12–14 в зависимости от числа субъектов. Стратегия: немедленно направить уведомление в РКН даже с опозданием — это смягчающее обстоятельство; оспаривать квалификацию нарушения как длящегося; настаивать на первой точке отсчёта давностного срока; собирать доказательства принятия мер защиты для ст. 4.1 КоАП.

Сценарий 2. Компания уведомила РКН, но с нарушением формы или неполно. Ситуация: уведомление направлено через 18 часов, однако не через pd.rkn.gov.ru, а по электронной почте, без обязательных реквизитов по Приказу РКН №187. РКН расценил это как ненадлежащее уведомление и составил протокол по ч. 11. Риск: штраф от 1 млн ₽. Стратегия: доказать факт уведомления в срок — пусть и в ненадлежащей форме; ходатайствовать о переквалификации как формального нарушения порядка, а не существа обязанности; задействовать смягчающие по ст. 4.1 КоАП.

Сценарий 3. Утечка произошла до 30.05.2025, РКН возбуждает дело в 2026 году. Ситуация: инцидент датирован мартом 2025 года, применимы нормы старой редакции ст. 13.11. РКН пытается квалифицировать неуведомление по новой ч. 11. Риск: попытка применить повышенные санкции (1–3 млн ₽) к событию, произошедшему до вступления нормы в силу. Стратегия: категорическое возражение против обратного применения закона, ухудшающего положение привлекаемого; ссылка на ст. 1.7 КоАП — применяется закон, действовавший в момент совершения нарушения; срок давности по старым нормам — 3 месяца для судьи, что, вероятно, уже истёк.

Кейс 1. Торговая компания (Центральный ФО, лето 2025) не направила первичное уведомление РКН в 24-часовой срок после инцидента с базой клиентов (около 8 000 субъектов). РКН обнаружил данные в даркнете через 3 недели. Юристы, подключившиеся после получения определения о возбуждении дела, оспорили квалификацию нарушения как длящегося: зафиксированная дата внутреннего обнаружения инцидента предшествовала запросу РКН более чем на 60 дней. Суд принял аргумент о начале течения давностного срока с даты окончания 24-часового окна, а не с даты обнаружения регулятором. В совокупности с первичностью нарушения штраф по ч. 11 был снижен до минимального значения по ст. 4.1 КоАП.

Кейс 2. Медицинская организация (Северо-Западный ФО, осень 2025) направила уведомление в РКН на 26-й час после обнаружения инцидента — с нарушением 24-часового срока на 2 часа. Протокол по ч. 11 составлен. Компания являлась субъектом малого предпринимательства, инцидент — первым. Суд применил ст. 4.1.1 КоАП и заменил штраф предупреждением, указав на отсутствие реального ущерба субъектам и незначительность просрочки. ⚠️ Конкретный номер дела — менеджер уточняет при публикации.

Услуги DATUM по теме

• Защита при штрафе в арбитраже — оспаривание протокола и постановления по ч. 11, 12–15 ст. 13.11
• Сопровождение проверок РКН — подготовка к проверке, представительство при составлении протокола
• Аудит соответствия 152-ФЗ — проверка процедуры реагирования на инциденты на соответствие ч. 3.1 ст. 21 ФЗ-152

Частые вопросы

1. Какие штрафы по ст. 13.11 КоАП действуют с 30.05.2025?

С 30.05.2025 действует редакция ФЗ-420 от 30.11.2024 — статья расширена до 18 частей. Ч. 11 (неуведомление об инциденте) — 1–3 млн ₽ для юрлица. Ч. 12–14 (утечка от 1 000 субъектов и выше) — от 3 до 15 млн ₽ в зависимости от масштаба. Ч. 15 (повторная утечка, оборотный) — 1–3% годовой выручки, не менее 20 млн ₽ и не более 500 млн ₽. Дела рассматривают мировые судьи (с 28.12.2025, ФЗ-508).

2. Что такое оборотный штраф 1–3% по ч. 15 ст. 13.11?

Оборотный штраф — санкция, рассчитываемая как процент от совокупной годовой выручки компании за предшествующий календарный год. Применяется при повторном совершении нарушений по ч. 12–14, 15–18 ст. 13.11 КоАП. Нижняя граница — 20 млн ₽ (независимо от выручки), верхняя — 500 млн ₽. Скидка 50% за быструю уплату по ст. 32.2 КоАП к оборотному штрафу не применяется.

3. Когда к оборотному штрафу применяется минимум 20 млн ₽?

Минимум 20 млн ₽ применяется, когда расчётная величина 1–3% от выручки оказывается ниже этого порога. Например, при выручке 500 млн ₽ расчётный штраф по нижней ставке (1%) составит 5 млн ₽ — менее минимума, поэтому назначается 20 млн ₽. Исключение: при подтверждённых инвестициях в ИБ не менее 0,1% выручки за 3 года минимум по оборотным составам снижается до 15 млн ₽ (примечание 3.4-2 к ст. 4.1 КоАП).

4. Можно ли заменить штраф по ч. 11 ст. 13.11 на предупреждение?

Да, при одновременном выполнении условий ст. 4.1.1 КоАП: компания является субъектом МСП или микропредприятием, нарушение первичное, реального ущерба субъектам ПДн не причинено. Суд вправе (но не обязан) заменить штраф предупреждением. Замена не применяется к оборотным составам (ч. 15 и ч. 18 ст. 13.11). Кейс медицинской организации из СЗ ФО (осень 2025) подтверждает применимость для незначительных просрочек уведомления.

5. Какая подсудность дел по ст. 13.11 после ФЗ-508 от 28.12.2025?

С 28.12.2025 дела по ст. 13.11 КоАП возвращены мировым судьям (ФЗ-508). В период с 30.05.2025 по 27.12.2025 их рассматривали арбитражные суды. Это влияет на процессуальный порядок обжалования: решения мировых судей обжалуются в районный суд, затем в суд субъекта РФ. Срок обжалования постановления мирового судьи по КоАП — 10 суток с момента вручения или получения копии.

Итог

Срок давности привлечения по ч. 11 ст. 13.11 КоАП составляет 1 год и исчисляется с момента совершения (для разовых составов) или обнаружения (для длящихся) правонарушения. Квалификация нарушения как длящегося или разового — ключевой процессуальный вопрос: именно от него зависит, с какого момента начинает течь срок, и, следовательно, осталась ли у регулятора возможность привлечь компанию к ответственности.

DATUM сопровождает дела по ч. 11 и смежным составам ст. 13.11 КоАП начиная с момента получения запроса РКН. Практика охватывает оспаривание квалификации, применение ст. 4.1 и 4.1.1 КоАП, подготовку к рассмотрению у мирового судьи и обжалование в районном суде.