Защита микропредприятия по ч. 7 + ст. 4.1.1 КоАП

С 30 мая 2025 года операторы персональных данных существуют в условиях принципиально иной санкционной среды. ФЗ-420 от 30.11.2024 расширил ст. 13.11 КоАП с 7 до 18 частей и ввёл оборотный штраф за повторную утечку. При этом законодатель сохранил механизм замены штрафа на предупреждение по ст. 4.1.1 КоАП — но только для определённых составов и определённых субъектов. Для CEO микропредприятия это означает, что нарушение ч. 7 ст. 13.11 при соблюдении условий может не повлечь денежного взыскания. Материал разбирает: когда применяется ст. 4.1.1, к каким частям ст. 13.11 она не применима и какой алгоритм действий даёт реальный шанс на замену.

Что изменилось в ст. 13.11 КоАП с 30.05.2025?

До вступления в силу ФЗ-420 от 30.11.2024 ст. 13.11 КоАП насчитывала 7 частей с максимальным штрафом для юридических лиц до 500 тыс. ₽. Новая редакция кардинально изменила структуру и суммы. Статья теперь содержит 18 частей, охватывающих все ключевые нарушения в сфере обработки персональных данных — от обработки без согласия до утечек и несоблюдения требований локализации.

Ключевые изменения, на которые CEO должен обратить внимание:

• Ч. 1 — обработка ПДн вне предусмотренных законом случаев или несовместимая с целями: штраф для юрлица 150 000–300 000 ₽.
• Ч. 2 — обработка без письменного согласия или с нарушением его состава: 300 000–700 000 ₽.
• Ч. 8 — нарушение требования локализации (ч. 5 ст. 18 ФЗ-152): 1 000 000–6 000 000 ₽.
• Ч. 11 — неуведомление РКН об утечке в срок 24 часа: 1 000 000–3 000 000 ₽.
• Ч. 12–14 — утечки от 1 000 субъектов и выше: 3 000 000–15 000 000 ₽ в зависимости от масштаба.
• Ч. 15 — оборотный штраф при повторной утечке: 1–3% совокупной годовой выручки, не менее 20 млн ₽, не более 500 млн ₽.

Именно на фоне этих цифр механизм ст. 4.1.1 КоАП приобретает стратегическое значение для малого бизнеса: он позволяет при первичном нарушении заменить денежный штраф на предупреждение — при соблюдении условий.

Что такое ст. 4.1.1 КоАП и когда она применяется к ст. 13.11?

Статья 4.1.1 КоАП предусматривает замену административного штрафа предупреждением для субъектов малого и среднего предпринимательства, в том числе микропредприятий, при одновременном выполнении условий: нарушение совершено впервые, нарушение выявлено не в ходе проверки по индикаторам риска, причинён ли вред или нет — отсутствие вреда охраняемым интересам является обязательным основанием.

Условия применения ст. 4.1.1 КоАП к делам по ст. 13.11:

• Юридическое лицо включено в реестр МСП как микропредприятие или малое предприятие.
• Нарушение совершено впервые — отсутствует вступившее в силу постановление по той же части ст. 13.11 за предшествующие 12 месяцев.
• Нарушением не причинён имущественный ущерб, вред жизни и здоровью, экологии или угроза чрезвычайных ситуаций.
• Применяемая часть ст. 13.11 допускает предупреждение как альтернативную санкцию либо замену через ст. 4.1.1 не исключена специальной нормой.

Принципиальное ограничение: ст. 4.1.1 не распространяется на оборотные составы — ч. 15 и ч. 18 ст. 13.11 КоАП. Для этих случаев законодатель предусмотрел отдельный механизм смягчения через ст. 4.1 КоАП (примечание 3.4-2): при подтверждённых инвестициях в информационную безопасность не менее 0,1% совокупной выручки за три предшествующих года штраф снижается до 1/10 минимального размера, но не менее 15 млн ₽ и не более 50 млн ₽.

Почему ч. 7 ст. 13.11 — отдельный случай для микропредприятий?

Часть 7 ст. 13.11 КоАП (в редакции с 30.05.2025) устанавливает ответственность за невыполнение оператором-государственным органом обязанности по обезличиванию ПДн или несоблюдение требований и методов обезличивания. Санкция по этому составу для должностных лиц составляет 6 000–12 000 ₽; для юридических лиц состав в части прямого штрафа не предусмотрен в этой части.

Однако на практике дела о нарушениях, связанных с обезличиванием, нередко квалифицируются не по ч. 7, а по ч. 1 ст. 13.11 — обработка ПДн в несовместимых с целями условиях — или по ч. 5, если речь идёт о нарушении порядка уточнения и уничтожения данных. Для коммерческого микропредприятия именно эти составы образуют типовую «точку входа» в административный процесс.

Три характеристики ч. 7 / смежных составов, важных для CEO микропредприятия:

• Санкция не относится к оборотным — ст. 4.1.1 формально применима.
• Нарушение носит процедурный характер — отсутствие вреда субъектам ПДн доказать проще, чем при утечке.
• Инспектор РКН, как правило, фиксирует нарушение по результатам документарной проверки — не в момент инцидента, что даёт время на подготовку позиции.

Как CEO микропредприятия добиться замены штрафа на предупреждение?

Алгоритм состоит из четырёх последовательных действий. Каждое из них влияет на итоговое решение мирового судьи или должностного лица РКН.

Шаг 1. Подтвердить статус МСП. Убедитесь, что компания включена в реестр малого и среднего предпринимательства ФНС России. Реестр общедоступен на сайте rmsp.nalog.ru. Если запись устарела или отсутствует — восстановить её до заседания, поскольку именно запись в реестре является доказательством статуса.

Шаг 2. Зафиксировать первичность. Подготовьте выписку из картотеки дел о предыдущих постановлениях по ст. 13.11 КоАП за 12 месяцев. Отсутствие вступивших в силу постановлений — обязательное условие. Если постановление по другой части той же статьи уже есть — первичность отсутствует для оборотных составов, но может сохраняться для конкретной части.

Шаг 3. Задокументировать отсутствие вреда. Составьте краткое заключение о том, что нарушение не повлекло раскрытия ПДн третьим лицам, утечки, нарушения прав конкретных субъектов, имущественного ущерба. При нарушениях процедурного характера (отсутствие политики, неверный состав согласия, нарушение метода обезличивания) это сделать значительно проще.

Шаг 4. Заявить ходатайство о применении ст. 4.1.1 КоАП в письменном виде — до вынесения постановления. Ходатайство должно содержать ссылку на реестр МСП, подтверждение первичности, обоснование отсутствия вреда, ссылку на ст. 4.1.1 КоАП и просьбу заменить штраф предупреждением. Подаётся мировому судье (после ФЗ-508 от 28.12.2025 подсудность вернулась к мировым судьям).

Матрица сценариев: CEO микропредприятия против ст. 13.11 КоАП

Три типовых сценария, с которыми сталкиваются небольшие компании при взаимодействии с РКН.

Сценарий 1. Документарная проверка — отсутствие политики обработки ПДн. Ситуация: инспектор РКН провёл проверку сайта, политика конфиденциальности отсутствует или не опубликована. Составлен протокол по ч. 3 ст. 13.11 (30 000–60 000 ₽ для юрлица). Доказательства: скриншот сайта, протокол инспектора. Исход без защиты: штраф 30 000–60 000 ₽. Стратегия: заявить ст. 4.1.1 КоАП + к дате заседания опубликовать политику. Суды регулярно заменяют штраф на предупреждение при первичности и устранении нарушения до вынесения постановления.

Сценарий 2. Жалоба субъекта ПДн — согласие не соответствует требованиям ст. 9 ФЗ-152. Ситуация: работник пожаловался в РКН, что согласие на обработку его ПДн включено в трудовой договор, а не оформлено отдельным документом (нарушение ФЗ-156 с 01.09.2025). Протокол по ч. 2 ст. 13.11 — штраф 300 000–700 000 ₽. Доказательства: форма трудового договора, жалоба субъекта, распечатки. Исход без защиты: нижняя граница санкции — 300 000 ₽. Стратегия: ст. 4.1.1 + переработка форм согласий до заседания + обоснование, что вред конкретному работнику не причинён. Замена на предупреждение реальна при первичности.

Сценарий 3. Внеплановая проверка после публичной утечки — квалификация по ч. 12 ст. 13.11. Ситуация: утечка затронула 2 000 субъектов, протокол по ч. 12 ст. 13.11 (3 000 000–5 000 000 ₽). Доказательства: акт проверки, данные о числе субъектов. Исход без защиты: штраф от 3 млн ₽. Стратегия: ст. 4.1.1 применима при первичности и отсутствии документально зафиксированного вреда. Параллельно — проверить своевременность уведомления РКН (ч. 11 ст. 13.11) и принять меры по недопущению второй утечки, поскольку повторность автоматически переводит дело в оборотный состав по ч. 15 (от 20 млн ₽).

Как это применяется на практике

Кейс 1. Компания-микропредприятие (Сибирский федеральный округ, начало 2026 года) получила протокол по ч. 1 ст. 13.11 КоАП: хакеры похитили базу ПДн работников и соискателей численностью менее 1 000 человек. РКН составил протокол с максимально возможным штрафом до 300 000 ₽. Компания подтвердила статус МСП, заявила ходатайство о применении ст. 4.1.1 КоАП, представила доказательства того, что похищенные данные не использовались злоумышленниками для причинения вреда субъектам. Мировой судья заменил штраф на предупреждение. Это дело соответствует case_S5_predupr_microbiz из практики, описанной на law.ru в апреле 2026 года.

Кейс 2. Интернет-магазин (Центральный федеральный округ, осень 2025 года) привлечён к ответственности по ч. 3 ст. 13.11 КоАП за отсутствие опубликованной политики обработки персональных данных. Штраф для юрлица — до 60 000 ₽. Юристы, сопровождавшие дело, заявили ст. 4.1.1, представили выписку из реестра МСП и опубликованную до заседания политику конфиденциальности. Постановление: предупреждение без денежного взыскания. Судья при этом указал, что устранение нарушения до вынесения постановления является самостоятельным смягчающим обстоятельством по ст. 4.2 КоАП.

Услуги DATUM по теме

• Защита при штрафе в арбитраже — оспаривание протоколов и постановлений по ст. 13.11 КоАП, применение ст. 4.1 и 4.1.1.
• Аудит соответствия 152-ФЗ — анализ обработки ПДн по 38 пунктам, отчёт с приоритетами устранения.
• Сопровождение проверок РКН — подготовка к проверке, представление интересов, обжалование предписаний.

Частые вопросы

1. Какие штрафы по ст. 13.11 КоАП действуют с 30.05.2025?

С 30 мая 2025 года ст. 13.11 КоАП действует в редакции ФЗ-420 от 30.11.2024 и содержит 18 частей. Диапазоны для юридических лиц: ч. 1 — 150 000–300 000 ₽, ч. 2 — 300 000–700 000 ₽, ч. 3 — 30 000–60 000 ₽, ч. 8 (локализация) — 1 000 000–6 000 000 ₽, ч. 11 (неуведомление об утечке) — 1 000 000–3 000 000 ₽, ч. 12–14 (утечки) — 3 000 000–15 000 000 ₽, ч. 15 (оборотный) — 1–3% выручки, не менее 20 млн ₽. До 30.05.2025 применялась старая редакция с максимумом 500 000 ₽ — суды применяют нормы, действовавшие на момент нарушения.

2. Что такое оборотный штраф 1–3% по ч. 15 ст. 13.11?

Оборотный штраф по ч. 15 ст. 13.11 КоАП применяется при повторном совершении нарушений, предусмотренных ч. 12–14 (утечки от 1 000 субъектов) или ч. 15–18 той же статьи. Размер — от 1 до 3 процентов совокупной выручки оператора за предшествующий календарный год, но не менее 20 000 000 ₽ и не более 500 000 000 ₽. Применяется, если на момент совершения нового нарушения имеется вступившее в силу постановление по перечисленным частям. Скидка 50% за быструю уплату штрафа (ст. 32.2 КоАП) на оборотный состав не распространяется. Ст. 4.1.1 КоАП к ч. 15 не применяется.

3. Когда применяется минимум 20 млн ₽ по оборотному штрафу?

Минимум 20 000 000 ₽ по ч. 15 ст. 13.11 КоАП применяется в ситуации, когда расчётная величина (1–3% выручки) оказывается ниже этой суммы. Например, если совокупная годовая выручка компании составляет 500 млн ₽, то 1% = 5 млн ₽ — ниже минимума, поэтому штраф составит 20 млн ₽. Снизить его можно только через примечание 3.4-2 к ст. 4.1 КоАП: при подтверждённых инвестициях в ИБ не менее 0,1% выручки за три года штраф ограничивается 1/10 минимума, но не менее 15 млн ₽ и не более 50 млн ₽.

4. Можно ли заменить штраф по ст. 13.11 на предупреждение?

Да, для субъектов МСП — при одновременном выполнении условий ст. 4.1.1 КоАП: первичность нарушения, отсутствие вреда охраняемым интересам, статус микро- или малого предприятия в реестре ФНС. Замена возможна по ч. 1–6, 8, 10–14 ст. 13.11. Не применяется к ч. 15 и ч. 18 (оборотные составы). Ходатайство о применении ст. 4.1.1 подаётся письменно до вынесения постановления.

5. Какая подсудность дел по ст. 13.11 после ФЗ-508 от 28.12.2025?

С 28 декабря 2025 года подсудность дел по ст. 13.11 КоАП возвращена мировым судьям — ФЗ-508 от 28.12.2025 отменил период (с 30.05.2025 по 27.12.2025), когда дела рассматривали арбитражные суды. Это значит, что большинство новых дел по ст. 13.11, включая дела о замене штрафа на предупреждение по ст. 4.1.1, рассматриваются в системе мировых судов общей юрисдикции. Апелляция — в районный суд.

Итог

Механизм ст. 4.1.1 КоАП остаётся реальным инструментом защиты для микропредприятий при первичных нарушениях ч. 1–6, 8, 10–14 ст. 13.11 КоАП. Его применение требует подготовки: статус МСП в реестре ФНС, подтверждение первичности, документирование отсутствия вреда, письменное ходатайство до заседания. Оборотные составы (ч. 15, ч. 18) под действие ст. 4.1.1 не подпадают — для них существует отдельный механизм снижения через ст. 4.1 КоАП при инвестициях в ИБ.

Практика DATUM по сопровождению дел по ст. 13.11 КоАП включает как оспаривание протоколов на стадии до постановления, так и обжалование вступивших в силу постановлений через суды общей юрисдикции и апелляцию. Подсудность мировым судьям с 28.12.2025 означает, что процессуальные сроки и порядок подачи ходатайств отличаются от арбитражного — это требует актуализации позиции.

14 января 2028 года