Замена штрафа по ч. 1 на предупреждение: практика

С 30 мая 2025 года ст. 13.11 КоАП действует в новой редакции: 18 частей вместо прежних семи, повторные составы и оборотный штраф до 500 млн ₽ за повторную утечку. Часть 1 осталась базовой — обработка ПДн без законного основания или с целями, несовместимыми с заявленными. Для CEO среднего бизнеса это означает: один протокол по ч. 1 при повторности автоматически перейдёт в ч. 1.1 (300 000–500 000 ₽), а следующий инцидент с данными — уже в ч. 12–15 с оборотным минимумом 20 млн ₽. Разбираем, когда замена на предупреждение реальна, когда — нет, и что делать в каждом сценарии.

Что изменилось в ч. 1 ст. 13.11 КоАП с 30 мая 2025 года?

До ФЗ-420 ч. 1 ст. 13.11 предусматривала штраф для юридических лиц в диапазоне 60 000–100 000 ₽. После реформы минимум вырос в 2,5 раза — до 150 000 ₽, максимум — до 300 000 ₽. Состав не изменился: обработка персональных данных в случаях, не предусмотренных законом, или обработка, несовместимая с целями сбора (ст. 5 ФЗ-152 — принцип целевой обработки).

Появление ч. 1.1 меняет логику защиты. Раньше два однотипных нарушения оценивались по одной санкции. Теперь повторность автоматически удваивает минимум. Для CEO это означает: первое постановление по ч. 1 становится не просто штрафом, а прецедентом, фиксирующим повторность для будущих дел.

Подсудность дел после принятия ФЗ-508 от 28.12.2025 вернулась к мировым судьям. С 30.05.2025 по 27.12.2025 дела по ст. 13.11 рассматривали арбитражные суды, что создавало иные процессуальные возможности. С 28.12.2025 — снова мировые. Это важно при выборе тактики обжалования: инстанции, сроки и формат доказательной базы различаются.

Когда замена штрафа на предупреждение реально применяется?

Ст. 4.1.1 КоАП допускает замену административного штрафа предупреждением при одновременном соблюдении трёх условий: субъект является субъектом малого или среднего предпринимательства (МСП) либо некоммерческой организацией; нарушение совершено впервые; отсутствует имущественный ущерб, угроза жизни и здоровью, а также нарушение требований особой охраны.

Для ч. 1 ст. 13.11 прямого запрета на применение ст. 4.1.1 нет. Это подтверждается практикой 2025–2026 годов. Реальный кейс: в начале 2026 года компания-микропредприятие (Центральный ФО) получила протокол по ч. 1 ст. 13.11 — хакеры похитили базу данных работников и соискателей (менее 1 000 субъектов). РКН предъявил штраф до 300 000 ₽. Суд заменил штраф предупреждением со ссылкой на ст. 4.1.1 КоАП: первичность, статус микропредприятия, отсутствие доказанного ущерба субъектам (case_S5_predupr_microbiz).

Для крупного и среднего бизнеса с выручкой свыше 2 млрд ₽ ст. 4.1.1 КоАП не применяется: реестр МСП не включает такие компании. Здесь работает другой инструмент — ст. 4.1 КоАП (смягчающие обстоятельства) и доказательство минимальной степени вины.

Что даёт ст. 4.1 КоАП для среднего и крупного бизнеса?

Ст. 4.1 КоАП закрепляет перечень обстоятельств, смягчающих административную ответственность. Для нарушителей по ч. 1 ст. 13.11, не подпадающих под ст. 4.1.1, это основной инструмент снижения санкции к минимуму диапазона (150 000 ₽).

Наиболее значимые смягчающие: добровольное устранение нарушения до рассмотрения дела; самостоятельное уведомление РКН о выявленном нарушении; принятие мер по предотвращению повторных нарушений (назначение ответственного по ст. 22.1 ФЗ-152, утверждение политики обработки ПДн по ст. 18.1 ФЗ-152, разработка ОРД). Каждый из этих фактов должен быть зафиксирован документально до судебного заседания.

Отдельно работает примечание к ст. 4.1 КоАП (введено ФЗ-420): инвестиции в информационную безопасность в размере не менее 0,1% совокупной выручки за три предшествующих года дают право на снижение оборотного штрафа по ч. 15 и ч. 18 до 1/10 минимального размера, но не менее 15 млн ₽ и не более 50 млн ₽. Для ч. 1 этот механизм напрямую не применяется, однако инвестиции в ИБ как смягчающее обстоятельство суды учитывают при назначении наказания в нижней части диапазона.

Как работает оборотный штраф и при чём здесь ч. 1?

Ч. 15 ст. 13.11 КоАП — оборотный штраф — применяется не за любое нарушение, а за повторную утечку данных (ч. 12–14 ст. 13.11). Прямой связи с ч. 1 нет. Но логика эскалации такова: компания, получившая постановление по ч. 1, уже зафиксирована как нарушитель. При последующей утечке данных от 1 000 субъектов и более возникает состав ч. 12 (штраф 3–5 млн ₽). Если до этого уже была ч. 12 или смежные составы — включается ч. 15 с минимумом 20 млн ₽ и максимумом 500 млн ₽.

Для CEO это означает конкретную арифметику. Компания с выручкой 3 млрд ₽ при повторной утечке от 100 000 субъектов (ч. 14 + ч. 15) получает штраф от 20 млн ₽ до 90 млн ₽ (3% от 3 млрд). Стоимость аудита соответствия 152-ФЗ — от 100 000 ₽. Стоимость разработки комплекта ОРД — от 45 000 ₽. Разрыв в затратах составляет два-три порядка.

Сценарии: как складывается практика в 2025–2026 году

Сценарий 1. Малый бизнес, первичное нарушение, статус МСП. Интернет-магазин (Приволжский ФО, осень 2025) передавал данные покупателей подрядчику без поручения на обработку — нарушение ч. 1 ст. 13.11 (обработка без правового основания). Протокол РКН. Компания подтвердила статус микропредприятия, устранила нарушение до заседания, представила возражения с указанием на ст. 4.1.1 КоАП. Мировой судья заменил штраф предупреждением. Стратегия: фиксировать первичность и устранение до заседания — документально.

Сценарий 2. Средний бизнес, первичное нарушение, статус вне МСП реестра. Производственная компания (Уральский ФО, начало 2026) обрабатывала ПДн клиентов для целей, выходящих за рамки уведомления в реестре РКН, — нарушение принципа целевой обработки (ст. 5 ФЗ-152). Штраф по ч. 1 ст. 13.11 — 200 000 ₽ (ближе к середине диапазона). Смягчающие: добровольное устранение, обновление уведомления в реестре, назначение ответственного. Ст. 4.1.1 не применима — компания не в реестре МСП. Итог: штраф снижен к минимуму (150 000 ₽) через ст. 4.1 КоАП. Стратегия: готовить смягчающие заранее, не ждать постановления.

Сценарий 3. Повторное нарушение — ч. 1.1. Логистическая компания (Сибирский ФО, лето 2025) получила постановление по ч. 1 в мае 2025 года. Через полгода — новый протокол по аналогичному составу. Квалификация автоматически перешла в ч. 1.1 (300 000–500 000 ₽). Ст. 4.1.1 и смягчающие позволили снизить до нижней границы — 300 000 ₽, но не заменить предупреждением: повторность исключает замену. Стратегия: после первого постановления немедленно проводить аудит и устранять системные нарушения, а не точечные.

Частые вопросы

1. Какие штрафы по ст. 13.11 КоАП действуют с 30.05.2025?

С 30.05.2025 статья насчитывает 18 частей в редакции ФЗ-420 от 30.11.2024. Ч. 1 — обработка без законного основания: 150 000–300 000 ₽ для юридических лиц. Ч. 1.1 — повторное нарушение по ч. 1: 300 000–500 000 ₽. Ч. 12–14 — утечки от 1 000 до более 100 000 субъектов: 3–15 млн ₽. Ч. 15 — оборотный за повторную утечку: 1–3% выручки, не менее 20 млн ₽ и не более 500 млн ₽. Ч. 17 — утечка биометрии: 15–20 млн ₽.

2. Что такое оборотный штраф 1–3% по ч. 15?

Оборотный штраф по ч. 15 ст. 13.11 КоАП применяется при повторной утечке данных — если компания ранее уже привлекалась по ч. 12, 13, 14, 16, 17 или 18. Размер — 1–3% совокупной годовой выручки за предшествующий календарный год. Нижний порог — 20 млн ₽ (независимо от выручки), верхний — 500 млн ₽. Скидка за быструю уплату (ст. 32.2 КоАП) на этот состав не распространяется.

3. Когда применяется минимум 20 млн ₽?

Минимум 20 млн ₽ — нижняя граница оборотного штрафа по ч. 15 ст. 13.11 КоАП. Он применяется, когда расчётная сумма (1–3% от выручки) оказывается ниже 20 млн ₽. Например, компания с выручкой 500 млн ₽ и 1% расчётно получает 5 млн ₽ — но выплатит не менее 20 млн ₽. Исключение: при инвестициях в ИБ не менее 0,1% выручки за три года возможно снижение до 1/10 минимума, но не менее 15 млн ₽ (примечание к ст. 4.1 КоАП по ФЗ-420).

4. Можно ли заменить штраф по ч. 1 ст. 13.11 на предупреждение?

Да — при соблюдении условий ст. 4.1.1 КоАП: субъект МСП или микропредприятие, первичное нарушение, отсутствие реального ущерба и угрозы жизни или здоровью. Для крупного бизнеса и компаний вне реестра МСП замена не применяется. В этих случаях снижение штрафа к нижней границе диапазона возможно через ст. 4.1 КоАП — с документальным подтверждением смягчающих обстоятельств.

5. Какая подсудность дел по ст. 13.11 после ФЗ-508?

С 28 декабря 2025 года (ФЗ-508 от 28.12.2025) дела по ст. 13.11 КоАП рассматривают мировые судьи — подсудность возвращена после периода с 30.05.2025 по 27.12.2025, когда дела направлялись в арбитражные суды. Смена инстанции влияет на процессуальный порядок: у мировых судей иные сроки рассмотрения, иной порядок представления доказательств и обжалования постановлений.

Итог

Замена штрафа по ч. 1 ст. 13.11 КоАП на предупреждение — реальный инструмент для субъектов МСП при первичном нарушении. Для среднего и крупного бизнеса единственная рабочая тактика — снижение к нижней границе через ст. 4.1 КоАП с документальным закреплением смягчающих обстоятельств. Повторность по ч. 1.1 закрывает возможность замены и повышает минимум вдвое. Постановление по ч. 1 создаёт прецедент, который при следующей утечке переводит дело в категорию оборотных штрафов от 20 млн ₽.

Практика DATUM по защите операторов от штрафов по ст. 13.11 КоАП охватывает как стадию возражений на протокол, так и обжалование постановлений в мировых судах. Работаем с составами ч. 1–9 ст. 13.11 в новой редакции с 30.05.2025.

Услуги DATUM по теме

• Защита при штрафе в арбитраже — оспаривание протокола и постановления, применение ст. 4.1 и 4.1.1 КоАП
• Аудит соответствия 152-ФЗ — выявление нарушений до проверки РКН, 38 пунктов
• Сопровождение проверок РКН — представление интересов, подготовка к проверке