Юр. услуга защиты по биометрии

Биометрические персональные данные — изображение лица, голос, отпечатки пальцев, радужка — отнесены к отдельной категории по ст. 11 ФЗ-152. Их обработка требует письменного согласия субъекта, а нарушения с 30.05.2025 влекут самые высокие санкции в системе ст. 13.11 КоАП: 15–20 млн ₽ за утечку биометрии и до 500 млн ₽ при повторном нарушении. В материале — правовая карта рисков для CEO, разбор составов и стратегия защиты.

Какие штрафы по биометрии установлены ст. 13.11 КоАП с 30.05.2025?

ФЗ-420 от 30.11.2024 кардинально пересобрал ст. 13.11 КоАП: вместо 7 частей — 18. Биометрические составы выделены в три самостоятельных части, которые действуют с 30 мая 2025 года.

Для сравнения: утечка общих ПДн более 100 000 субъектов (ч. 14) влечёт 10–15 млн ₽. Биометрия — отдельный и более жёсткий трек. Помимо КоАП, с 11.12.2024 действует ст. 272.1 УК РФ (ФЗ-421 от 30.11.2024): незаконный сбор, хранение или передача компьютерной информации с ПДн — до 10 лет лишения свободы по ч. 5 (тяжкие последствия). Биометрия попадает в зону этой нормы напрямую.

Важно разграничить составы. Ч. 16 — нарушение порядка обработки (нет письменного согласия, неверный перечень действий, отсутствие обоснования). Ч. 17 — факт утечки биометрии, независимо от того, соблюдался ли порядок. Ч. 18 применяется при повторности: если компания уже привлекалась по ч. 16 или ч. 17 — следующее нарушение считается по оборотному составу. Отдельно стоит ст. 13.11.3 КоАП: нарушения при размещении биометрии в ЕБС банками и МФЦ — санкция для юрлиц 500 тыс.–1 млн ₽.

Что такое оборотный штраф по биометрии и когда он применяется?

Оборотный штраф по ч. 18 ст. 13.11 КоАП — это санкция, привязанная к выручке компании, а не к фиксированной сумме. Рассчитывается от совокупной выручки за предшествующий календарный год: 1–3%. Нижний предел — 20 млн ₽, верхний — 500 млн ₽. Для компании с выручкой 1 млрд ₽ это 10–30 млн ₽; для компании с выручкой 10 млрд ₽ — уже 100–300 млн ₽.

Условие применения — повторность. Компания должна уже быть привлечена к ответственности по ч. 16 или ч. 17 ст. 13.11. Если это произошло — любое следующее нарушение в области биометрии квалифицируется по оборотному составу. Срок «сгорания» предыдущего нарушения для целей повторности — один год с даты исполнения постановления (ст. 4.6 КоАП). Это означает: первичное нарушение формирует риск оборотного штрафа на год вперёд.

Существует механизм снижения по ст. 4.1 КоАП (примечание 3.4-2): если организация за три предшествующих года инвестировала в информационную безопасность не менее 0,1% совокупной выручки — штраф по оборотным составам снижается до 1/10 минимального размера, но не менее 15 млн ₽ и не более 50 млн ₽. Документирование таких инвестиций — прямой инструмент снижения санкции. Однако быстрая уплата штрафа по ст. 32.2 КоАП (скидка 50%) к оборотным составам не применяется.

Можно ли оспорить протокол по биометрии или заменить штраф на предупреждение?

Возможности защиты зависят от состава нарушения, стадии процесса и характеристик компании. По ст. 4.1.1 КоАП штраф может быть заменён предупреждением — но только для микропредприятий и субъектов МСП при первичности нарушения и отсутствии вреда. К ч. 18 ст. 13.11 (оборотный) эта норма не применяется. К ч. 16 и ч. 17 при соответствии критериям — применяется.

Подсудность дел по ст. 13.11 после ФЗ-508 от 28.12.2025 вернулась к мировым судьям. С 30.05.2025 по 27.12.2025 дела рассматривали арбитражные суды. Для компаний это означает: обжалование постановлений мировых судей — в районный суд, затем в суд субъекта. Процессуальные окна и сроки обжалования по КоАП жёсткие — 10 суток с момента получения копии постановления.

На уровне протокола ключевые точки атаки: нарушение порядка составления протокола (ст. 28.2 КоАП), истечение срока давности (2 месяца по КоАП — при рассмотрении мировым судьёй), неправильная квалификация состава (ч. 16 vs. ч. 17), отсутствие субъекта правонарушения. На уровне постановления — применение смягчающих обстоятельств по ст. 4.1 КоАП: устранение нарушения до рассмотрения дела, добровольное возмещение ущерба, оперативное уведомление РКН об инциденте.

Как это применяется на практике: сценарии и кейсы

Риски по биометрии в 2025–2026 годах не теоретические. По итогам 2025 года РКН зафиксировал 118 случаев компрометации баз ПДн. Биометрические данные фигурировали в утечках организаций со СКУД, фитнес-клубов, HR-платформ и ритейла. Правоприменение по новым нормам ФЗ-420 только набирает практику, но первые дела уже показывают — суды применяют новые нормы предметно.

Сценарий 1. СКУД с распознаванием лиц, нет письменных согласий. Производственная компания (Уральский ФО, весна 2026) использует систему контроля доступа с видеоидентификацией. Согласия сотрудников включены в трудовой договор, не выделены в отдельный документ. После 01.09.2025 такая форма согласия не соответствует ст. 9 ФЗ-152 в редакции ФЗ-156. РКН при плановой проверке фиксирует нарушение — состав ч. 16 ст. 13.11. Штраф для юрлица — в пределах, установленных ч. 16 (верифицировать перед публикацией). Защита: переоформление согласий до проверки снижает риск квалификации как умышленного нарушения.

Сценарий 2. Утечка биометрии через подрядчика. Торговая сеть (Центральный ФО, лето 2025) передала обработку биометрических данных (системы лояльности с распознаванием лиц) подрядчику без надлежащего договора поручения по п. 3 ст. 6 ФЗ-152. Подрядчик допустил утечку базы. По принципу, подтверждённому практикой ВС РФ, ответственность перед РКН несёт оператор, а не подрядчик. Квалификация — ч. 17 ст. 13.11, штраф 15–20 млн ₽. Стратегия: доказать наличие контрольных мер со стороны оператора и инициировать регрессный иск к подрядчику.

Сценарий 3. Повторное нарушение — оборотный штраф. Компания уже привлекалась по ч. 16 ст. 13.11 в 2025 году. В 2026 году фиксируется новое нарушение в обработке биометрии. Квалификация — ч. 18, оборотный штраф. При выручке компании 500 млн ₽ годовых — санкция 5–15 млн ₽, но не менее 20 млн ₽ (применяется минимальный порог). Единственный инструмент снижения — инвестиции в ИБ от 0,1% выручки за три года (ст. 4.1 КоАП, примечание 3.4-2): штраф сокращается до 1/10 минимума, но не менее 15 млн ₽.

Услуги DATUM по теме

• Защита при штрафе в арбитраже — оспаривание протоколов и постановлений по ст. 13.11 КоАП, снижение санкции
• Аудит соответствия 152-ФЗ — проверка законности обработки биометрии, ОРД, технических мер по УЗ-1/УЗ-2
• Сопровождение проверок РКН — подготовка к проверке, представление интересов, обжалование предписаний

Частые вопросы

1. Какие штрафы по ст. 13.11 КоАП за биометрию с 30.05.2025?

С 30.05.2025 действуют три специальных состава: ч. 16 — нарушение порядка обработки биометрических ПДн (без письменного согласия и иные нарушения ст. 11 ФЗ-152); ч. 17 — утечка биометрических ПДн, для юрлиц 15–20 млн ₽; ч. 18 — повторное нарушение по ч. 16 или ч. 17, оборотный штраф 1–3% годовой выручки, не менее 20 млн ₽, не более 500 млн ₽. Точные диапазоны по ч. 16 для юрлиц верифицируйте по актуальному тексту КоАП перед применением.

2. Что такое оборотный штраф 1–3% и как он считается?

Оборотный штраф по ч. 18 ст. 13.11 КоАП рассчитывается от совокупной выручки компании за предшествующий календарный год: 1–3% этой суммы. Нижний предел — 20 млн ₽: если 1–3% выручки меньше этого порога, применяется минимум. Верхний предел — 500 млн ₽. Применяется только при повторности (компания уже привлекалась по ч. 16 или ч. 17). Стандартная скидка 50% за быструю уплату по ст. 32.2 КоАП к оборотным составам не применяется.

3. Когда применяется минимум 20 млн ₽ по оборотному штрафу?

Минимум 20 млн ₽ по ч. 18 ст. 13.11 КоАП применяется, когда 1–3% совокупной годовой выручки дают сумму ниже этого порога. Например, при выручке 300 млн ₽ в год — 1% составит 3 млн ₽, что ниже 20 млн ₽: назначается минимальные 20 млн ₽. Есть механизм снижения: при документально подтверждённых инвестициях в ИБ от 0,1% выручки за три года (ст. 4.1 КоАП, примечание 3.4-2) штраф снижается до 1/10 минимума, но не менее 15 млн ₽ и не более 50 млн ₽.

4. Можно ли заменить штраф на предупреждение по биометрическому составу?

Замена штрафа на предупреждение по ст. 4.1.1 КоАП возможна для микропредприятий и субъектов МСП — при первичном нарушении и отсутствии вреда. К ч. 18 ст. 13.11 (оборотный состав) эта норма не применяется. К ч. 16 и ч. 17 при соответствии критериям МСП и первичности — применяется. Это подтверждается практикой: арбитражные суды и мировые судьи уже выносили предупреждения по ч. 1 ст. 13.11 в аналогичных ситуациях.

5. Какая подсудность дел по ст. 13.11 после ФЗ-508 от 28.12.2025?

После принятия ФЗ-508 от 28.12.2025 дела по ст. 13.11 КоАП с 28.12.2025 снова рассматриваются мировыми судьями — как это было до 30.05.2025. В период с 30.05.2025 по 27.12.2025 дела направлялись в арбитражные суды. Это влияет на порядок обжалования: постановление мирового судьи обжалуется в районный суд, затем в суд субъекта. Срок подачи жалобы — 10 суток с момента получения копии постановления.

Итог

Биометрические ПДн с 30.05.2025 обеспечены самым жёстким санкционным треком в ст. 13.11 КоАП: утечка — 15–20 млн ₽, повторное нарушение — оборотный штраф до 500 млн ₽. Параллельно действует уголовная норма ст. 272.1 УК РФ с максимальным наказанием до 10 лет. Для CEO это означает прямую личную и корпоративную ответственность за состояние обработки биометрии в компании.

Юристы DATUM сопровождают компании на всех стадиях: от аудита законности обработки биометрии и подготовки к проверке РКН до оспаривания протоколов и постановлений в суде. Практика охватывает СКУД, HR-платформы с распознаванием лиц, ЕБС и биометрию в потребительском секторе.