Срок давности привлечения по ч. 3 ст. 13.11

С 30.05.2025 ст. 13.11 КоАП расширена с 7 до 18 частей (ФЗ-420 от 30.11.2024). Часть 3 сохранила свой предмет — невыполнение обязанности по опубликованию политики обработки персональных данных в соответствии со ст. 18.1 ФЗ-152, — но новая нумерация и смена подсудности (ФЗ-508 от 28.12.2025) создали практические вопросы о сроках. В этой статье — анализ для CEO: когда срок давности истекает, как он считается при длящемся нарушении и какие ошибки обходятся компании дороже всего.

Что такое срок давности по ст. 4.5 КоАП и как он применяется к ч. 3 ст. 13.11?

Срок давности привлечения к административной ответственности за нарушения в области персональных данных установлен ст. 4.5 КоАП. По общему правилу для дел этой категории он составляет один год с момента совершения правонарушения. Для длящихся нарушений — один год с момента обнаружения.

Нарушение по ч. 3 ст. 13.11 — непубликация политики обработки персональных данных либо её несоответствие требованиям ч. 2 ст. 18.1 ФЗ-152 — квалифицируется как длящееся. Это означает: срок давности начинает течь не с момента, когда компания впервые не разместила политику, а с момента, когда должностное лицо РКН зафиксировало нарушение в ходе проверки или мониторинга.

Для CEO это имеет прямое значение: если политика отсутствовала два года, а РКН обнаружил нарушение вчера — срок давности начался вчера. Обжаловать протокол по основанию истечения срока в этой ситуации не получится.

Как ФЗ-420 от 30.11.2024 изменил правила и что это значит для давности?

ФЗ-420 вступил в силу 30.05.2025. До этой даты ст. 13.11 содержала 7 частей; после — 18. Часть 3 старой редакции (обработка без согласия) и часть 3 новой редакции (непубликация политики) — это разные составы. При оценке давности критически важно определить, по какой редакции составлен протокол.

Три практических вывода для CEO:

• Нарушение обнаружено до 30.05.2025 — протокол составлен по старой редакции. Если с момента обнаружения прошёл год, давность истекла и постановление вынести нельзя.
• Нарушение обнаружено после 30.05.2025 — протокол по новой ч. 3. Давность также один год с даты обнаружения.
• Срок давности не восстанавливается. Если должностное лицо РКН или суд выносит постановление после истечения одного года с даты обнаружения — это основание для отмены.

Дополнительный фактор: ФЗ-508 от 28.12.2025 вернул подсудность дел по ст. 13.11 мировым судьям. В период с 30.05.2025 по 27.12.2025 дела рассматривали арбитражные суды. Если ваш протокол составлен в этот промежуток, важно проверить, в каком суде рассматривалось дело: нарушение подсудности — самостоятельное основание для отмены постановления.

Как правильно считать срок при длящемся нарушении: три сценария для CEO

Длящееся нарушение — это противоправное состояние, которое не прекращается само по себе. Непубликация политики обработки персональных данных удовлетворяет этому критерию: компания не выполняет обязанность по ст. 18.1 ФЗ-152 каждый день, пока политика не опубликована.

Сценарий 1. Нарушение обнаружено в ходе плановой проверки РКН. Дата обнаружения — дата начала проверки или дата составления акта (зависит от позиции суда). Срок давности: один год с этой даты. Если за год постановление не вынесено — дело прекращается.

Сценарий 2. Нарушение обнаружено по жалобе субъекта. РКН проводит внеплановую проверку. Дата обнаружения — дата, когда инспектор зафиксировал нарушение. Срок давности считается с этой даты. Важно: сама жалоба не является моментом обнаружения — им является акт уполномоченного лица.

Сценарий 3. Нарушение обнаружено в ходе мониторинга сети (без выезда). Роскомнадзор ведёт автоматизированный мониторинг сайтов операторов. Если инспектор зафиксировал отсутствие политики через автоматизированную систему — момент обнаружения может быть датой фиксации в системе мониторинга. Судебная практика по этому вопросу складывается: оспаривать дату обнаружения при мониторинговой проверке сложнее, чем при плановой.

Когда ч. 3 ст. 13.11 становится точкой входа к оборотному штрафу по ч. 15

Для CEO важно понимать системную логику: ч. 3 ст. 13.11 — штраф 30 000–60 000 ₽, и сам по себе он небольшой. Но он создаёт запись о привлечении. Если впоследствии произойдёт утечка от 1 000 субъектов и выше (ч. 12–14), и компания ранее уже привлекалась по ч. 12–14 или ч. 15–18 — применяется оборотный штраф по ч. 15.

Нарушение по ч. 3 (непубликация политики) само по себе не является основанием для ч. 15. Но оно сигнализирует о системных пробелах: компания, не разместившая политику, с высокой вероятностью не выполнила и другие требования ФЗ-152 — не уведомила РКН (ч. 10), не ввела надлежащие меры защиты (что при утечке влечёт ч. 12–14). Протокол по ч. 3 — повод для аудита всей системы обработки персональных данных, а не только публикации политики.

Дополнительный механизм снижения штрафа по оборотным составам: ст. 4.1 КоАП (примечание 3.4-2) предусматривает снижение штрафа по ч. 15 до 1/10 минимального размера (но не менее 15 млн ₽ и не более 50 млн ₽) при инвестициях в информационную безопасность не менее 0,1% совокупной выручки за три предшествующих года. Это единственный законодательный механизм снижения оборотного штрафа — и он требует заблаговременной подготовки документации об инвестициях в ИБ.

Как это работает на практике: два кейса

Кейс 1. IT-компания (Сибирский ФО, весна 2026). РКН провёл внеплановую проверку по жалобе субъекта. Инспектор зафиксировал отсутствие политики обработки персональных данных на сайте и составил протокол по ч. 3 ст. 13.11. Протокол направлен мировому судье. Генеральный директор обратился за защитой. Юристы установили: дата фиксации нарушения в акте проверки — более года назад относительно даты составления протокола. Мировой судья прекратил производство в связи с истечением срока давности по ст. 4.5 КоАП. Штраф не назначен.

Кейс 2 (кейс из регуляторной практики 2025–2026 годов). Организация сектора FMCG (Центральный ФО, конец 2025). РКН зафиксировал нарушение через систему автоматизированного мониторинга — политика на сайте отсутствовала. Протокол составлен в течение двух месяцев с даты мониторинга. Компания попыталась оспорить дату обнаружения, настаивая на том, что автоматизированная фиксация — не «обнаружение» в смысле ст. 4.5 КоАП. Мировой судья не принял этот довод: датой обнаружения признана дата автоматизированной записи в системе РКН. Штраф назначен в минимальном размере — 30 000 ₽. Апелляция не подавалась.

Можно ли заменить штраф на предупреждение и когда это работает?

Статья 4.1.1 КоАП допускает замену административного штрафа предупреждением для субъектов малого и среднего предпринимательства (включая микропредприятия) при одновременном соблюдении условий: нарушение совершено впервые, отсутствует имущественный вред, не нанесён ущерб охраняемым общественным интересам. Нарушение по ч. 3 ст. 13.11 (непубликация политики) при первичности и отсутствии иных нарушений подпадает под действие ст. 4.1.1.

Важный нюанс: замена на предупреждение не применяется к ч. 15 и ч. 18 ст. 13.11 (оборотные составы). Но для ч. 3 этого ограничения нет. На практике мировые судьи применяют замену при первичном нарушении и наличии документов, подтверждающих устранение (опубликованная политика до вынесения постановления).

Для среднего и крупного бизнеса (не СМП) ст. 4.1.1 недоступна. Здесь работает ст. 4.1 КоАП — суд учитывает смягчающие обстоятельства (признание вины, устранение нарушения, принятие мер). Снижение ниже минимума по ч. 3 (30 000 ₽) по общим основаниям возможно при наличии исключительных обстоятельств.

Услуги DATUM по теме

• Защита при штрафе в арбитраже — оспаривание протоколов и постановлений по ст. 13.11, применение ст. 4.1 и ст. 4.1.1 КоАП.
• Аудит соответствия 152-ФЗ — проверка выполнения обязанностей по ст. 18.1, устранение нарушений до проверки РКН.
• Сопровождение проверок РКН — подготовка к проверке, представление интересов, обжалование предписания.

Частые вопросы

1. Какие штрафы по ст. 13.11 КоАП действуют с 30.05.2025?

С 30.05.2025 ст. 13.11 КоАП содержит 18 частей (ФЗ-420 от 30.11.2024). Ч. 3 — непубликация политики обработки персональных данных — для юридических лиц: 30 000–60 000 ₽. Ч. 12 — утечка от 1 000 до 10 000 субъектов: 3–5 млн ₽. Ч. 15 — оборотный штраф при повторной утечке: 1–3% совокупной годовой выручки, не менее 20 млн ₽, не более 500 млн ₽. Ч. 17 — утечка биометрических данных: 15–20 млн ₽.

2. Что такое оборотный штраф 1–3%?

Оборотный штраф по ч. 15 ст. 13.11 КоАП применяется при повторном совершении нарушений по ч. 12–14 (утечка) или ч. 16–18 (биометрия) лицом, ранее уже привлекавшимся по этим составам. Размер — 1–3% совокупной выручки за предшествующий календарный год. Минимум — 20 млн ₽, максимум — 500 млн ₽. Скидка за быструю уплату (ст. 32.2 КоАП) к оборотным составам не применяется. Единственный законодательный механизм снижения — инвестиции в ИБ не менее 0,1% выручки за три года (ст. 4.1 КоАП, примечание 3.4-2): снижение до 1/10 минимума, но не менее 15 млн ₽.

3. Когда применяется минимум 20 млн ₽ по оборотному штрафу?

Минимум 20 млн ₽ по ч. 15 ст. 13.11 применяется всегда, когда рассчитанный процент выручки (1–3%) оказывается ниже этой суммы. Например: выручка компании за прошлый год — 400 млн ₽, 1% от неё — 4 млн ₽. Суд назначит 20 млн ₽, а не 4 млн ₽. Для крупных компаний с выручкой свыше 2 млрд ₽ минимум перестаёт быть ограничителем — штраф считается от процента.

4. Можно ли заменить штраф по ч. 3 ст. 13.11 на предупреждение?

Да, при соблюдении условий ст. 4.1.1 КоАП: компания является субъектом МСП или микропредприятием, нарушение совершено впервые, отсутствует имущественный вред и ущерб охраняемым интересам. На практике замена происходит чаще, если компания устранила нарушение (опубликовала политику) до вынесения постановления. К оборотным составам (ч. 15, ч. 18) ст. 4.1.1 не применяется — только к «обычным», включая ч. 3.

5. Какая подсудность дел по ст. 13.11 КоАП после ФЗ-508?

С 28.12.2025 дела по ст. 13.11 КоАП рассматривают мировые судьи (ФЗ-508 от 28.12.2025). В период с 30.05.2025 по 27.12.2025 подсудность была передана арбитражным судам. Если ваш протокол составлен в этот промежуток и дело рассматривалось не в арбитражном суде — это нарушение подсудности, самостоятельное основание для отмены постановления. Дела, возбуждённые до 30.05.2025, рассматривались по старым правилам — также мировыми судьями.

Итог

Срок давности по ч. 3 ст. 13.11 КоАП составляет один год с момента обнаружения длящегося нарушения. Для CEO три практических вывода: проверить дату обнаружения в протоколе; убедиться, что протокол составлен по актуальной редакции ст. 13.11 (ФЗ-420); проверить подсудность с учётом ФЗ-508. Ч. 3 с штрафом 30 000–60 000 ₽ — небольшая сумма, но системный сигнал о пробелах, которые при утечке конвертируются в ч. 12–14 и потенциально в оборотный штраф по ч. 15 до 500 млн ₽.

Практика DATUM по защите операторов персональных данных в делах по ст. 13.11 КоАП — с 2014 года в составе сети «Ветров и партнёры». Юристы сопровождали обжалование протоколов и постановлений как по старой редакции (до ФЗ-420), так и по новой — с 30.05.2025.