Защита микропредприятия по ч. 9 + ст. 4.1.1 КоАП

С 30.05.2025 повторное нарушение требований локализации (ч. 9 ст. 13.11 КоАП в редакции ФЗ-420 от 30.11.2024) влечёт штраф от 6 до 18 млн ₽ для юридического лица. Для микропредприятия с выручкой 30–80 млн ₽ в год это означает фактическую ликвидацию. Вместе с тем КоАП содержит инструменты, которые при грамотном применении снижают санкцию или заменяют её предупреждением. Эта статья разбирает состав ч. 9, пределы применимости ст. 4.1.1 и ст. 4.1.2 КоАП, а также стратегию защиты для CEO микропредприятия на этапе протокола и постановления.

Что такое ч. 9 ст. 13.11 КоАП и за что она применяется?

Ч. 9 ст. 13.11 КоАП — это квалифицированный (повторный) состав нарушения требования локализации. Базовый состав — ч. 8 той же статьи: оператор не обеспечивает запись, систематизацию, накопление, хранение, уточнение или извлечение персональных данных граждан РФ с использованием баз данных, расположенных на территории России. Это требование закреплено в ч. 5 ст. 18 ФЗ-152 и действует с 01.09.2015.

Повторность по ч. 9 констатируется, если оператор ранее уже привлекался по ч. 8 и в течение срока, в который лицо считается подвергнутым наказанию (один год с момента исполнения постановления по ч. 8), совершил аналогичное нарушение повторно.

Типичные ситуации, приводящие к ч. 9: оператор получил протокол по ч. 8 за использование зарубежной CRM или облачного хранилища без российского зеркала, уплатил штраф по ч. 8, но не устранил нарушение — и при повторной проверке РКН выявил тот же факт. Формально нарушение считается устранённым только после того, как первичная обработка ведётся исключительно на российских серверах. Частичный перенос или «зеркало для вида» не снимает риска ч. 9.

Как работает ст. 4.1.1 КоАП при штрафе по ч. 9?

Ст. 4.1.1 КоАП предусматривает замену административного штрафа предупреждением для субъектов малого и среднего предпринимательства (СМП), включая микропредприятия, при одновременном соблюдении условий:

• нарушение выявлено впервые (либо ранее привлечение по данной части не было);
• нарушение не причинило вреда или угрозы вреда жизни и здоровью людей, объектам животного и растительного мира, окружающей среде, объектам культурного наследия, безопасности государства, угрозы чрезвычайных ситуаций природного и техногенного характера;
• нарушение не повлекло имущественного ущерба.

Ключевой вопрос для ч. 9: является ли повторное нарушение «первичным» применительно к ст. 4.1.1? Буквально — нет, потому что ч. 9 сама по себе является квалифицирующим признаком повторности. Однако судебная практика, складывающаяся с 2025 года, допускает применение ст. 4.1.1 к составу ч. 9, если компания ранее не привлекалась именно по ч. 9 (то есть к ответственности по квалифицированному составу лицо привлекается впервые). Такой подход применялся арбитражными судами до передачи подсудности мировым судьям (ФЗ-508 от 28.12.2025).

Важно: ч. 9 в перечне исключений ст. 4.1.1 не поименована. Это означает, что формальных запретов на замену штрафа предупреждением нет. Однако суд оценивает совокупность обстоятельств, и наличие уже состоявшегося наказания по ч. 8 ухудшает позицию. Стратегически важно документировать факт устранения нарушения до рассмотрения дела по ч. 9.

Что даёт ст. 4.1.2 КоАП микропредприятию?

Помимо ст. 4.1.1, для микропредприятий применима ст. 4.1.2 КоАП. Она устанавливает, что при назначении наказания субъекту МСП, включённому в реестр МСП, штраф рассчитывается по правилам для должностных лиц или в половину от минимального размера для юридических лиц — в зависимости от того, что меньше.

Для ч. 9 ст. 13.11: минимум для юрлица — 6 млн ₽. Половина — 3 млн ₽. Штраф для должностного лица по ч. 9 — верифицировать по тексту КоАП непосредственно перед производством по делу. Реальная судебная практика показывает, что именно через ст. 4.1.2 микропредприятия добиваются существенного снижения итоговой санкции даже при отказе в замене по ст. 4.1.1. Кейс РЭШ (АС Москвы, А40-351064/2025) демонстрирует аналогичный механизм по ч. 14: суд применил правила для ИП через норму об МСП и назначил штраф 400 000 ₽ вместо 10–15 млн ₽.

Условие применения ст. 4.1.2 — наличие компании в едином реестре субъектов МСП (rmsp.nalog.ru) на дату составления протокола. Если компания исключена из реестра или не включена — льгота не работает.

Оборотный штраф по ч. 15: когда он применяется к микропредприятию?

Ч. 15 ст. 13.11 КоАП — оборотный штраф за повторную утечку данных. Он применяется при совершении нарушений по ч. 12–14 (утечка от 1 000 субъектов) лицом, ранее привлекавшимся по ч. 12–14, ч. 16–18 или ч. 15. Размер — 1–3% совокупной выручки за предшествующий календарный год, но не менее 20 млн ₽ и не более 500 млн ₽.

К ч. 15 ст. 4.1.1 не применяется — это прямое исключение в законе. Ст. 4.1.2 также не снижает оборотный штраф до уровня должностного лица, поскольку сам расчёт базируется на выручке. Единственный инструмент снижения — норма ст. 4.1 КоАП: примечание 3.4-2 предусматривает, что при инвестициях в информационную безопасность не менее 0,1% совокупной выручки за три предшествующих года штраф по ч. 15 составит 1/10 минимального размера, но не менее 15 млн ₽ и не более 50 млн ₽.

Для микропредприятия с выручкой 50 млн ₽ в год инвестиции в ИБ в 0,1% за три года — это 150 000 ₽ (по 50 000 ₽ в год). Документировать их необходимо уже сейчас: договоры с ИБ-подрядчиками, лицензии на антивирусное и криптографическое ПО, расходы на аудит по 152-ФЗ — всё это учитывается при расчёте.

Таким образом, ч. 9 (локализация, повтор) и ч. 15 (утечка, повтор) — это разные составы с разными инструментами защиты. Смешивать их в аргументации перед судом недопустимо.

Как применяется ч. 9 и ст. 4.1.1 на практике?

Кейс 1. Торговая компания (Сибирский ФО, весна 2026) с выручкой около 60 млн ₽ в год получила протокол по ч. 9 ст. 13.11 КоАП после того, как при повторной проверке РКН выявил продолжение обработки данных клиентов в облачной CRM с серверами в Нидерландах. Ранее по ч. 8 компания уже уплатила штраф в диапазоне сотен тысяч рублей. Статус микропредприятия подтверждён выпиской из реестра МСП. Юристы представили возражения на протокол со ссылкой на ст. 4.1.1 и ст. 4.1.2 КоАП, приложили акты о завершении переноса базы на российский сервер. Мировой судья применил ст. 4.1.2 и назначил штраф существенно ниже минимума для юридического лица. Применение ст. 4.1.1 суд не поддержал, сославшись на повторность как квалифицирующий признак. — Итог: штраф снижен в несколько раз относительно минимума по ч. 9 для юрлица.

Кейс 2. По делу из открытой практики (case_S5_predupr_microbiz): компания — микропредприятие — получила предупреждение по ч. 1 ст. 13.11 через применение ст. 4.1.1 КоАП. Это подтверждает работоспособность инструмента для составов без квалифицирующей повторности. Для ч. 9 аналогичный результат возможен, если компания ранее по ч. 9 не привлекалась и нарушение не повлекло вреда субъектам.

Услуги DATUM по теме

• Защита при штрафе в арбитраже — оспаривание протокола и постановления по ст. 13.11, применение ст. 4.1 и 4.1.1 КоАП
• Аудит соответствия 152-ФЗ — проверка локализации, выявление рисков ч. 8 до проверки РКН
• Сопровождение проверок РКН — подготовка, представительство на проверке, обжалование предписания

Частые вопросы

1. Какие штрафы по ст. 13.11 КоАП действуют с 30.05.2025?

С 30.05.2025 действует редакция ст. 13.11 КоАП, введённая ФЗ-420 от 30.11.2024. Статья расширена с 7 до 18 частей. За нарушение локализации (ч. 8) юрлицо платит 1–6 млн ₽, за повторное (ч. 9) — 6–18 млн ₽. За утечку от 1 000 до 10 000 субъектов (ч. 12) — 3–5 млн ₽, от 10 000 до 100 000 (ч. 13) — 5–10 млн ₽, свыше 100 000 (ч. 14) — 10–15 млн ₽. За повторное неуведомление РКН об утечке (ч. 11) — 1–3 млн ₽. Все суммы — для юридических лиц.

2. Что такое оборотный штраф 1–3% и когда он применяется?

Оборотный штраф по ч. 15 ст. 13.11 КоАП применяется при повторной утечке данных: если оператор ранее привлекался по ч. 12–14, ч. 16–18 или ч. 15 и вновь допустил утечку. Размер — 1–3% совокупной годовой выручки за предшествующий год, минимум 20 млн ₽, максимум 500 млн ₽. К ч. 9 (повторная локализация) оборотный штраф не применяется — это разные составы.

3. Когда применяется минимум 20 млн ₽ по оборотному штрафу?

Минимум 20 млн ₽ применяется, если 1% годовой выручки оператора меньше этой суммы. Иными словами, для компаний с выручкой менее 2 млрд ₽ в год минимальный оборотный штраф по ч. 15 всегда составит 20 млн ₽, независимо от расчётного процента. Единственный механизм снижения ниже 20 млн ₽ отсутствует; примечание 3.4-2 к ст. 4.1 КоАП снижает минимум до 15 млн ₽ при подтверждённых инвестициях в ИБ не менее 0,1% выручки за три года.

4. Можно ли заменить штраф по ч. 9 на предупреждение?

Формально ст. 4.1.1 КоАП не исключает ч. 9 из сферы своего действия — в отличие от ч. 15 и ч. 18. Замена на предупреждение возможна при соблюдении условий: статус субъекта МСП, первичное привлечение именно по ч. 9, отсутствие вреда субъектам. На практике суды по-разному оценивают, является ли квалифицированный состав «первичным» применительно к ст. 4.1.1. Шансы выше, если нарушение по ч. 8 уже устранено к моменту рассмотрения дела по ч. 9.

5. Какая подсудность дел по ст. 13.11 после ФЗ-508?

До 28.12.2025 дела по ст. 13.11 КоАП рассматривали арбитражные суды. С принятием ФЗ-508 от 28.12.2025 подсудность возвращена мировым судьям. Это означает, что апелляция идёт в районный суд, а не в апелляционный арбитражный суд. Для юридических лиц сохраняется право обжалования в вышестоящие суды общей юрисдикции.

Итог

Ч. 9 ст. 13.11 КоАП с 30.05.2025 — реальная угроза для микропредприятия: 6–18 млн ₽ за повторное нарушение требования локализации. Инструменты защиты существуют: ст. 4.1.1 КоАП (замена на предупреждение) и ст. 4.1.2 КоАП (расчёт штрафа по правилам для должностного лица). Их применение зависит от своевременного документирования статуса МСП, устранения нарушения и правильно выстроенной процессуальной позиции.

Практика DATUM по защите операторов ПДн от штрафов по ст. 13.11 КоАП охватывает как досудебный этап (возражения на протокол, взаимодействие с РКН), так и производство в мировых судах и арбитраже.