Защита микропредприятия по ч. 8 + ст. 4.1.1 КоАП

С 30 мая 2025 года ч. 8 ст. 13.11 КоАП в редакции ФЗ-420 от 30.11.2024 стала одним из самых дорогостоящих составов для малого бизнеса: нижний порог — 1 млн ₽, верхний — 6 млн ₽. Для микропредприятия с выручкой 20–80 млн ₽ в год это критический риск. Вместе с тем КоАП содержит специальную норму — ст. 4.1.1 — именно для таких случаев. В этом материале разбираем, как работает защита по совокупности ч. 8 + ст. 4.1.1, в каких ситуациях она применима и что CEO должен сделать до первого заседания.

Что нарушает ч. 8 ст. 13.11 КоАП и кому это грозит?

Часть 8 ст. 13.11 КоАП фиксирует нарушение требования локализации, установленного ч. 5 ст. 18 ФЗ-152. Норма обязывает оператора при сборе, систематизации, накоплении, хранении, уточнении и извлечении ПДн граждан РФ использовать базы данных, физически расположенные на территории России.

Под действие ч. 8 подпадают типичные ситуации малого бизнеса: CRM в облаке AWS или Azure без российского региона, HubSpot или Bitrix24 с хранением данных за рубежом, корпоративная почта на зарубежных серверах с адресами клиентов, интеграция с зарубежным платёжным сервисом с передачей полных данных плательщика. Роскомнадзор выявляет такие факты в рамках плановых и внеплановых проверок, а также по жалобам субъектов ПДн.

Микропредприятие по критериям 209-ФЗ — это компания с численностью до 15 сотрудников и годовой выручкой до 120 млн ₽. Именно этот статус открывает доступ к ст. 4.1.1 КоАП.

Как работает ст. 4.1.1 КоАП — замена штрафа на предупреждение?

Статья 4.1.1 КоАП позволяет заменить административный штраф предупреждением для субъектов малого и среднего предпринимательства, включая микропредприятия. Для применения нормы одновременно необходимо несколько условий.

Первое — нарушение совершено впервые. Если компания ранее привлекалась по любой части ст. 13.11 КоАП, замена невозможна. Второе — отсутствие вреда жизни и здоровью граждан, имущественного ущерба и угрозы чрезвычайной ситуации. Третье — нарушение не относится к составам, для которых ст. 4.1.1 прямо не применяется. Здесь ключевой момент: ст. 4.1.1 не применяется к оборотным составам — ч. 15 и ч. 18 ст. 13.11. Но ч. 8 не является оборотной, поэтому замена допустима.

Четвёртое условие — наличие статуса субъекта МСП на дату рассмотрения дела. Статус подтверждается выпиской из Единого реестра субъектов МСП на сайте ФНС. Если компания была исключена из реестра до момента рассмотрения дела, замена не применяется.

Что нужно доказать суду для применения ст. 4.1.1?

Мировой судья (с 28.12.2025 дела по ст. 13.11 КоАП вернулись к мировым судьям по ФЗ-508 от 28.12.2025) не обязан автоматически применять ст. 4.1.1. Оператор должен активно обосновать право на замену.

Необходимый доказательный пакет включает несколько позиций. Выписка из реестра МСП подтверждает статус микропредприятия на дату рассмотрения. Справка об отсутствии ранее вынесенных постановлений по ст. 13.11 КоАП — из базы ФССП и ответ на запрос в РКН. Документы, подтверждающие принятые меры по устранению нарушения: договор с российским облачным провайдером, акт миграции данных, скриншоты настроек CRM с указанием региона хранения. Объяснения руководителя с описанием обстоятельств нарушения и принятых мер — суд оценивает добросовестность оператора.

Дополнительно усиливает позицию наличие политики конфиденциальности по ст. 18.1 ФЗ-152 и назначенного ответственного по ст. 22.1 ФЗ-152 — они демонстрируют, что компания строит систему обработки ПДн, а нарушение носило устранимый характер.

Как применяется ст. 4.1 КоАП — снижение штрафа при инвестициях в ИБ?

Если замена на предупреждение невозможна (например, нарушение повторное или статус МСП утрачен), применяется другой инструмент — примечание к ст. 4.1 КоАП, введённое ФЗ-420.

Норма устанавливает: если оператор вложил в средства защиты информации не менее 0,1% совокупной выручки за три предшествующих года, штраф по оборотным составам (ч. 15, ч. 18 ст. 13.11) назначается в размере 1/10 от минимального значения, но не менее 15 млн ₽ и не более 50 млн ₽. Для необоротных составов, включая ч. 8, снижение штрафа возможно через общие начала назначения наказания по ст. 4.1 КоАП — суд учитывает смягчающие обстоятельства: добровольное устранение нарушения, сотрудничество с РКН, отсутствие вреда субъектам.

Для микропредприятия с выручкой 80 млн ₽ 0,1% за три года — это 240 тыс. ₽ за три года, или около 6 700 ₽ в месяц. Это минимальный порог документально подтверждённых расходов на антивирус, резервное копирование, обучение сотрудников или аудит ПДн. При правильном документировании этих расходов руководство компании формирует дополнительный аргумент в пользу минимального штрафа.

Типовые сценарии: как развивается дело по ч. 8 для микропредприятия

Сценарий 1. Первичная проверка, нарушение устранено до постановления. РКН провёл внеплановую проверку интернет-магазина после жалобы покупателя. Выявлено: CRM с базой 8 000 клиентов хранится на зарубежном сервере. Составлен протокол по ч. 8 ст. 13.11. За две недели до заседания компания перенесла данные на российский хостинг, предъявила договор и акт. Суд применил ст. 4.1.1 КоАП — штраф заменён предупреждением. Дополнительно компания получила предписание разработать политику конфиденциальности в течение 30 дней.

Сценарий 2. Нарушение не устранено, статус МСП подтверждён, первичное. Производственная микрокомпания использовала корпоративный Google Workspace для хранения персональных данных сотрудников и клиентов. Протокол по ч. 8 — первичный. Компания не успела перенести данные до заседания, но предъявила подписанный договор с российским провайдером и план миграции. Суд назначил минимальный штраф — 1 млн ₽ по ст. 4.1 КоАП с учётом смягчающих обстоятельств, отказав в замене на предупреждение из-за неустранённого нарушения.

Сценарий 3. Повторное нарушение — ч. 9, замена по ст. 4.1.1 невозможна. Компания ранее получала предупреждение по ч. 3 ст. 13.11 (отсутствие политики конфиденциальности). Новое нарушение — ч. 8 за локализацию. Формально предупреждение по ч. 3 не является «привлечением по ч. 8», однако позиция судов неоднородна: часть судов трактует «ранее не привлекавшееся» по ст. 4.1.1 как отсутствие любых постановлений по ст. 13.11 КоАП. Стратегия: настаивать на узком толковании — «первичность» означает отсутствие постановлений именно по ч. 8, а не по иным частям ст. 13.11.

Как это применяется на практике

Кейс 1. Микропредприятие из Сибирского федерального округа (осень 2025) получило протокол по ч. 8 ст. 13.11 КоАП: облачная CRM с базой клиентов хранилась на сервере в Нидерландах. Первичное нарушение, статус микропредприятия подтверждён реестром МСП. Юристы подготовили комплект: выписку МСП, объяснения CEO, договор с российским провайдером, подписанный до заседания. Мировой судья применил ст. 4.1.1 КоАП — штраф заменён предупреждением с предписанием устранить нарушение в 30 дней. Экономия: 1–6 млн ₽.

Кейс 2. В соответствии с опубликованными данными (реестр case_S5 / law.ru, апрель 2026), компания с аналогичным профилем — хакеры похитили базу сотрудников и соискателей менее 1 000 человек — была привлечена по ч. 1 ст. 13.11 КоАП. РКН мог назначить штраф до 300 тыс. ₽. Мировой суд, рассматривавший дело, применил ст. 4.1.1 КоАП и вынес предупреждение, поскольку компания имела статус микропредприятия и нарушение являлось первичным. Механизм тот же, что работает и по ч. 8.

Услуги DATUM по теме

• Защита при штрафе в арбитраже — оспаривание протоколов и постановлений, применение ст. 4.1 и ст. 4.1.1 КоАП
• Аудит соответствия 152-ФЗ — проверка локализации, ОРД и статуса оператора по 38 пунктам
• Сопровождение проверок РКН — представление интересов на проверке, обжалование предписаний

Частые вопросы

1. Какие штрафы по ст. 13.11 КоАП действуют с 30.05.2025?

С 30 мая 2025 года действует редакция ст. 13.11 КоАП по ФЗ-420 от 30.11.2024 — 18 частей вместо прежних семи. Нарушение локализации (ч. 8) — 1–6 млн ₽ для юрлица, повторное (ч. 9) — 6–18 млн ₽. Утечка данных от 1 000 до 10 000 субъектов (ч. 12) — 3–5 млн ₽, от 10 000 до 100 000 (ч. 13) — 5–10 млн ₽, свыше 100 000 (ч. 14) — 10–15 млн ₽. Неуведомление РКН об утечке в 24 часа (ч. 11) — 1–3 млн ₽.

2. Что такое оборотный штраф 1–3% и когда он применяется?

Оборотный штраф по ч. 15 ст. 13.11 КоАП назначается при повторном совершении нарушений по ч. 12–14 (утечки) лицом, ранее привлекавшимся по этим же частям или по ч. 16–18. Размер — 1–3% совокупной годовой выручки за предшествующий календарный год, не менее 20 млн ₽ и не более 500 млн ₽. Ст. 4.1.1 КоАП к нему не применяется. Снижение возможно только через норму об инвестициях в ИБ (ст. 4.1 КоАП): при вложениях не менее 0,1% выручки за 3 года — 1/10 минимума, но не менее 15 млн ₽ и не более 50 млн ₽.

3. Когда применяется минимум 20 млн ₽ по оборотному штрафу?

Минимум 20 млн ₽ — нижний порог оборотного штрафа по ч. 15 ст. 13.11 КоАП. Он применяется, если 1–3% годовой выручки дают значение ниже 20 млн ₽. Например, при выручке 300 млн ₽ 1% составит 3 млн ₽ — штраф всё равно будет не менее 20 млн ₽. Верхний порог — 500 млн ₽. При инвестициях в ИБ от 0,1% выручки за 3 года нижний порог снижается до 15 млн ₽ (не ниже).

4. Можно ли заменить штраф по ч. 8 на предупреждение по ст. 4.1.1 КоАП?

Да, при одновременном соблюдении условий: компания является микропредприятием или субъектом МСП, нарушение по ч. 8 ст. 13.11 совершено впервые, отсутствует вред жизни, здоровью и имуществу граждан. Ст. 4.1.1 не применяется к оборотным составам (ч. 15, ч. 18), но ч. 8 оборотной не является. Практика 2025–2026 годов подтверждает применение нормы мировыми судьями при наличии полного доказательного пакета.

5. Какая подсудность дел по ст. 13.11 КоАП после ФЗ-508 от 28.12.2025?

С 28 декабря 2025 года дела по ст. 13.11 КоАП рассматривают мировые судьи — ФЗ-508 вернул подсудность от арбитражных судов (период с 30.05.2025 по 27.12.2025) обратно к мировым. Это важно для тактики защиты: мировые судьи активнее применяют ст. 4.1.1 КоАП для субъектов МСП, чем арбитраж. Обжалование постановления мирового судьи — в районный суд.

Итог

Штраф по ч. 8 ст. 13.11 КоАП для микропредприятия — серьёзная угроза, но не приговор. Совокупность ст. 4.1.1 КоАП (замена на предупреждение) и общих смягчающих по ст. 4.1 КоАП создаёт реальные правовые инструменты. Ключевые условия — первичность нарушения, подтверждённый статус МСП и устранение нарушения до заседания или наличие конкретного плана устранения с документами.

DATUM сопровождает компании при проверках РКН и в производстве по ст. 13.11 КоАП с 2014 года. Практика включает применение ст. 4.1.1 при составах локализации, согласий и уведомления РКН.