Защита микропредприятия по ч. 1.1 + ст. 4.1.1 КоАП

С 30 мая 2025 года Роскомнадзор квалифицирует нарушения обработки персональных данных по новой, расширенной редакции ст. 13.11 КоАП. Первичное нарушение — ч. 1 (150 000–300 000 ₽), повторное — ч. 1.1 (300 000–500 000 ₽). Для микропредприятия с выручкой до 120 млн ₽ в год даже нижняя граница ч. 1.1 составляет значимую сумму. При этом законодатель сохранил механизм замены штрафа предупреждением по ст. 4.1.1 КоАП — но не для всех составов и не для всех компаний. Разбираем, когда механизм работает, когда нет и как строить защиту.

Что изменилось в ст. 13.11 КоАП с 30.05.2025?

До вступления в силу ФЗ-420 от 30.11.2024 ст. 13.11 КоАП содержала 7 частей. С 30 мая 2025 года — 18 частей. Для микропредприятия ключевыми стали следующие составы.

Ч. 1: обработка ПДн в случаях, не предусмотренных законом, или несовместимая с целями — штраф для юрлица 150 000–300 000 ₽. Это базовый состав: отсутствие правового основания обработки по ст. 6 ФЗ-152, объединение баз с несовместимыми целями, обработка данных, выходящая за рамки уведомления РКН.

Ч. 1.1: повторное совершение того же нарушения в течение года — штраф 300 000–500 000 ₽. Повторность считается со дня вступления в силу первого постановления о штрафе. На практике это означает: если компания оплатила штраф по ч. 1 и не устранила причину нарушения, следующий визит инспектора РКН автоматически переводит дело в ч. 1.1.

Ч. 2: обработка без письменного согласия или с нарушением требований к его составу — штраф 300 000–700 000 ₽. Ч. 2.1 (повторное) — 1 000 000–1 500 000 ₽. Это уже другой диапазон ответственности, выходящий за рамки обычной практики микропредприятия.

Важное разграничение: оборотный штраф по ч. 15 связан исключительно с повторными утечками (ч. 12–14). Нарушение порядка обработки по ч. 1.1 — иной состав, фиксированный диапазон 300 000–500 000 ₽. Для генерального директора микропредприятия это принципиально: защита строится по-разному.

Когда ст. 4.1.1 КоАП позволяет заменить штраф предупреждением?

Ст. 4.1.1 КоАП устанавливает: при совершении административного правонарушения субъектом малого или среднего предпринимательства либо социально ориентированной НКО штраф может быть заменён предупреждением. Для замены необходимо одновременное выполнение нескольких условий.

Первое условие — статус. Компания должна быть включена в реестр МСП на дату вынесения постановления. Микропредприятие — это юрлицо или ИП с выручкой до 120 млн ₽ и численностью до 15 человек. Реестр ведёт ФНС, данные обновляются ежегодно 10 августа.

Второе условие — отсутствие причинённого вреда. По делам о нарушении обработки ПДн (ч. 1, ч. 1.1) суды нередко констатируют: нарушение формального порядка само по себе не доказывает причинение реального вреда субъектам. Это ключевой аргумент для замены.

Третье условие — первичность или реабилитирующие обстоятельства. Для ч. 1.1 (повторное нарушение) применение ст. 4.1.1 формально затруднено: повторность — квалифицирующий признак, свидетельствующий о систематичности. Однако практика неоднородна: часть судов применяет замену при наличии дополнительных смягчающих факторов — устранение нарушения до рассмотрения дела, отсутствие жалоб субъектов, незначительный срок повторности.

Четвёртое условие — ограничения перечня. Ст. 4.1.1 прямо запрещает замену по ч. 15 и ч. 18 ст. 13.11 КоАП (оборотные штрафы). По ч. 1.1 запрета нет — замена теоретически возможна.

Как ст. 4.1 КоАП снижает штраф при инвестициях в ИБ?

Примечание 3.4-2 к ст. 4.1 КоАП, введённое ФЗ-420, устанавливает специальный механизм снижения для оборотных штрафов по ч. 15 и ч. 18 ст. 13.11: если оператор инвестировал в информационную безопасность не менее 0,1% совокупной выручки за три предшествующих года, штраф рассчитывается в размере 1/10 минимального значения, но не менее 15 млн ₽ и не более 50 млн ₽.

Для микропредприятия с выручкой 100 млн ₽ за три года (средняя ~33 млн в год) порог инвестиций — 100 000 ₽ суммарно за три года. Это вполне достижимо при наличии договора с MSSP, лицензий на антивирус, затрат на DLP или консалтинг по ФЗ-152. Проблема в доказывании: затраты должны быть классифицированы именно как расходы на ИБ, документально подтверждены и предъявлены суду.

Важная оговорка: механизм ст. 4.1 примечания 3.4-2 применяется к оборотным штрафам (ч. 15, ч. 18), а не к фиксированным диапазонам ч. 1.1. Для ч. 1.1 основным инструментом остаётся ст. 4.1.1 (замена) и общие смягчающие по ст. 4.2 КоАП.

Какие сценарии типичны для CEO микропредприятия?

Рассмотрим три ситуации, которые возникают в практике защиты по ч. 1.1 ст. 13.11.

Сценарий 1. Повторный протокол за обработку без уведомления РКН. Компания получила штраф по ч. 1 в начале года за обработку ПДн без включения в реестр операторов. Оплатила штраф, но уведомление в РКН не подала. Через 8 месяцев — плановая проверка, протокол по ч. 1.1. Ситуация усугублена тем, что повторность очевидна. Стратегия защиты: немедленная подача уведомления по ст. 22 ФЗ-152 до заседания, подтверждение статуса МСП, ходатайство о применении ст. 4.1.1 с акцентом на устранение нарушения. Часть судов принимает аргумент об отсутствии реального вреда субъектам при отсутствии утечки.

Сценарий 2. Протокол по ч. 1.1 при наличии формального статуса МСП, но ранее привлекавшейся компании. CEO приобрёл действующее юрлицо, которое ранее привлекалось по ч. 1. Новый руководитель о нарушении не знал. Протокол по ч. 1.1 выписан на организацию, а не на физлицо. Позиция: смена руководителя и фактической деятельности — аргумент для ходатайства о признании нарушения первичным для нового субъекта управления. Не гарантированный, но рабочий аргумент в части судебной практики.

Сценарий 3. Микропредприятие, которое самостоятельно выявило нарушение и устранило его до проверки. Компания провела внутренний аудит, обнаружила несоответствие в согласиях работников, переработала документы и направила уведомление об изменении сведений в РКН. РКН провёл проверку по индикатору риска и составил протокол по ч. 1, так как нарушение имело место в прошлом периоде. Исход: при первичности — высокая вероятность применения ст. 4.1.1. Если ранее привлекалась — аргумент самостоятельного устранения повышает вероятность назначения минимального штрафа по ч. 1.1.

Как это применяется на практике

Кейс 1. В деле из реестра публичной практики (case_S5) компания-микропредприятие получила протокол по ч. 1 ст. 13.11 после хакерской атаки, в результате которой утекли данные менее 1 000 сотрудников и соискателей. РКН квалифицировал нарушение по ч. 1 (штраф до 300 000 ₽). Компания до заседания полностью переработала ОРД, подтвердила статус микропредприятия и продемонстрировала отсутствие жалоб со стороны субъектов. Суд применил ст. 4.1.1 КоАП и заменил штраф предупреждением.

Кейс 2. Торговая компания (Сибирский ФО, начало 2026 года) с выручкой около 80 млн ₽ получила штраф в диапазоне нескольких сотен тысяч рублей по ч. 1.1 ст. 13.11 КоАП — повторное нарушение после уже оплаченного штрафа по ч. 1 в предыдущем квартале. Юристы сформировали пакет: подтверждение статуса МСП, устранение нарушения (обновлённое уведомление в РКН, переработанные согласия), расходы на ИБ (договор с подрядчиком на сопровождение по 152-ФЗ). Арбитражный суд региона снизил штраф до нижней границы диапазона и применил ст. 4.2 КоАП в части смягчающих обстоятельств. Предупреждение по ст. 4.1.1 суд не применил, сославшись на повторность — но минимальный штраф был назначен. ⚠️ Конкретный номер дела и точная дата — менеджер уточняет при публикации.

Услуги DATUM по теме

• Защита при штрафе в арбитраже — оспаривание протокола и постановления, применение ст. 4.1 и 4.1.1 КоАП
• Аудит соответствия 152-ФЗ — выявление нарушений до проверки РКН, приоритизированный план устранения
• Сопровождение проверок РКН — подготовка, представление интересов, обжалование предписания

Частые вопросы

1. Какие штрафы по ст. 13.11 КоАП действуют с 30.05.2025?

С 30 мая 2025 года ст. 13.11 КоАП действует в редакции ФЗ-420 от 30.11.2024 и содержит 18 частей. Для юрлиц ключевые диапазоны: ч. 1 — 150 000–300 000 ₽ (незаконная обработка), ч. 1.1 — 300 000–500 000 ₽ (повторное по ч. 1), ч. 2 — 300 000–700 000 ₽ (без письменного согласия), ч. 8 — 1 000 000–6 000 000 ₽ (нарушение локализации), ч. 12–14 — 3–15 млн ₽ (утечки по числу субъектов), ч. 17 — 15 000 000–20 000 000 ₽ (утечка биометрии). Нумерация принципиально изменилась по сравнению с редакцией до 30.05.2025.

2. Что такое оборотный штраф 1–3% по ч. 15 ст. 13.11 КоАП?

Оборотный штраф по ч. 15 ст. 13.11 КоАП применяется при повторном совершении нарушений по ч. 12–14 (утечки от 1 000 субъектов и более) лицом, ранее привлекавшимся по тем же или смежным частям. Размер — от 1 до 3% совокупной выручки за предшествующий календарный год, но не менее 20 млн ₽ и не более 500 млн ₽. К нарушениям порядка обработки по ч. 1.1 оборотный штраф не применяется — это разные составы. Скидка за быструю оплату по ст. 32.2 КоАП к оборотным штрафам не применяется.

3. Когда применяется минимум 20 млн ₽ по оборотному штрафу?

Минимум 20 млн ₽ по ч. 15 ст. 13.11 КоАП применяется, когда расчётная сумма штрафа (1–3% выручки) оказывается ниже этого порога. Например, при годовой выручке 500 млн ₽ расчётный 1% — 5 млн ₽, что ниже минимума. В этом случае штраф составит 20 млн ₽. Механизм снижения через примечание 3.4-2 к ст. 4.1 КоАП (при инвестициях в ИБ ≥ 0,1% выручки за 3 года) позволяет снизить до 1/10 минимума, но не ниже 15 млн ₽.

4. Можно ли заменить штраф по ч. 1.1 ст. 13.11 предупреждением?

Теоретически — да, ст. 4.1.1 КоАП не содержит прямого запрета для ч. 1.1 (запрет установлен только для ч. 15 и ч. 18 — оборотных штрафов). На практике суды подходят к замене по ч. 1.1 осторожно: повторность является квалифицирующим признаком и свидетельствует о систематичности. Замена возможна при совокупности факторов: статус микропредприятия (реестр МСП на дату постановления), устранение нарушения до заседания, отсутствие жалоб субъектов и реального вреда, наличие смягчающих по ст. 4.2 КоАП. Без грамотно составленных объяснений и пакета документов суды нередко ограничиваются минимальным штрафом, не применяя замену.

5. Какова подсудность дел по ст. 13.11 КоАП после ФЗ-508?

С 28 декабря 2025 года (ФЗ-508 от 28.12.2025) дела по ст. 13.11 КоАП вновь рассматривают мировые судьи. В период с 30 мая по 27 декабря 2025 года подсудность была у арбитражных судов. Возврат к мировым судьям влияет на тактику: мировые суды имеют иную практику применения ст. 4.1.1 КоАП и иные сроки рассмотрения. Апелляция на постановление мирового судьи подаётся в районный суд, а не в арбитражный апелляционный суд.

Итог

Ч. 1.1 ст. 13.11 КоАП в редакции с 30.05.2025 — это штраф 300 000–500 000 ₽ для юрлица за повторное нарушение порядка обработки ПДн. Для микропредприятия существуют два основных инструмента защиты: замена на предупреждение по ст. 4.1.1 КоАП (при соблюдении условий и отсутствии прямого запрета) и снижение до минимального диапазона через смягчающие обстоятельства по ст. 4.2 КоАП. Оборотный штраф по ч. 15 к составу ч. 1.1 не применяется — это разные части статьи с разными условиями.

Практика DATUM по защите от штрафов по ст. 13.11 КоАП охватывает дела на стадии протокола, постановления и апелляции. Мы сопровождаем процесс от подачи объяснений до обжалования в районном суде, применяя ст. 4.1, ст. 4.1.1 и ст. 4.2 КоАП в зависимости от состава и обстоятельств конкретного дела.