Защита оператора по ч. 12: 5 шагов

С 30 мая 2025 года ст. 13.11 КоАП насчитывает 18 частей вместо прежних семи. Часть 12 стала базовым составом за утечку среднего масштаба: от 1 000 до 10 000 субъектов или от 10 000 до 100 000 идентификаторов. Это диапазон, в который попадает большинство реальных инцидентов в среднем бизнесе. Ниже — пять шагов, которые позволяют CEO снизить штраф, добиться замены на предупреждение или оспорить постановление в суде.

Что изменилось в ст. 13.11 КоАП после ФЗ-420 от 30.11.2024?

До 30 мая 2025 года административная ответственность за утечки ПДн укладывалась в семь частей ст. 13.11 КоАП, а максимальный штраф для юрлица не превышал 500 тыс. ₽ за отдельные составы. ФЗ-420 от 30.11.2024 пересобрал статью: 18 частей, прямая привязка санкции к масштабу утечки и введение оборотного штрафа.

Параллельно с 11 декабря 2024 года действует ст. 272.1 УК РФ (ФЗ-421 от 30.11.2024): незаконные сбор, использование, передача или хранение компьютерной информации с ПДн. Часть 5 предусматривает до 10 лет лишения свободы при тяжких последствиях. Уголовная ответственность сопровождает административную — это отдельный риск для CEO, которого суд может признать субъектом преступления.

С 28 декабря 2025 года (ФЗ-508) дела по ст. 13.11 КоАП вернулись к подсудности мировых судей. С 30 мая 2025 по 27 декабря 2025 их рассматривали арбитражные суды. Это важно: мировой судья применяет иные процессуальные нормы, включая ст. 4.1.1 КоАП о замене штрафа на предупреждение.

Как работает оборотный штраф по ч. 15 ст. 13.11 и когда он применяется?

Оборотный штраф по ч. 15 применяется при повторности: если компания ранее уже привлекалась по ч. 12, 13, 14, 16, 17 или самой ч. 15. Повторность определяется в пределах одного года после вступления предыдущего постановления в силу.

База расчёта — совокупная выручка от реализации товаров, работ, услуг за предшествующий календарный год. Если первая утечка произошла в 2025 году и компания привлечена, а вторая случилась в 2026-м — штраф считается от выручки 2025 года. Для компании с выручкой 500 млн ₽ диапазон составит 5–15 млн ₽, но применится нижний предел — 20 млн ₽. То есть реальный минимум выше арифметического результата формулы 1%.

Это единственный легальный механизм снижения оборотного штрафа. Документировать инвестиции в ИБ необходимо заранее: договоры на СЗИ, акты, лицензии ФСТЭК, первичные учётные документы. Сформировать доказательную базу после начала проверки невозможно.

Пять шагов защиты оператора при протоколе по ч. 12

Шаг 1. Оценить квалификацию состава. Проверьте, правильно ли РКН квалифицировал масштаб утечки. Ч. 12 применима при утечке от 1 000 до 10 000 субъектов или от 10 000 до 100 000 идентификаторов. Если реальная цифра ниже — квалификация оспорима. Запросите у РКН материалы дела и методику подсчёта субъектов.

Шаг 2. Зафиксировать соблюдение срока 24/72 часа. Ч. 11 ст. 13.11 КоАП предусматривает отдельный штраф 1–3 млн ₽ за нарушение срока уведомления об инциденте. Если компания уведомила РКН в срок (24 часа — первичное, 72 часа — отчёт по Приказу РКН №187), это смягчающее обстоятельство по ст. 4.2 КоАП. Соберите скриншоты из системы pd.rkn.gov.ru, уведомления о доставке.

Шаг 3. Собрать доказательства инвестиций в ИБ. Примечание к ст. 4.1 КоАП работает не только при оборотном штрафе — суды учитывают доказанные расходы на ИБ как смягчающие обстоятельства и при штрафе по ч. 12. Нужны: договоры на SIEM, антивирус, пентест, сертификаты соответствия ФСТЭК, приказы о проведении обучения персонала. Период — три года до инцидента.

Шаг 4. Проверить основания для замены на предупреждение по ст. 4.1.1 КоАП. Для субъектов малого и среднего предпринимательства штраф по ч. 12 может быть заменён на предупреждение при одновременном выполнении условий: первичность нарушения, отсутствие вреда жизни и здоровью, отсутствие имущественного ущерба третьих лиц. Ч. 15 и ч. 18 ст. 13.11 под замену не подпадают — оборотный штраф заменить нельзя.

Шаг 5. Подготовить и подать жалобу в суд. Срок обжалования постановления мирового судьи — 10 суток с момента вручения. Жалоба подаётся в районный суд. В жалобе необходимо: указать нарушения при составлении протокола (ст. 28.2 КоАП), оспорить методику подсчёта субъектов, приложить доказательства смягчающих обстоятельств и ходатайство о применении ст. 4.1.1 КоАП.

Как применяется ст. 4.1.1 КоАП на практике и в каких случаях она не работает?

Ст. 4.1.1 КоАП — инструмент замены штрафа на предупреждение для микропредприятий и субъектов МСП. Условие: первичность нарушения и отсутствие реального вреда. Суды применяют её точечно: важно доказать, что компания предпринимала меры по защите ПДн до инцидента.

Ст. 4.1.1 КоАП не применяется в следующих случаях:

• Повторное нарушение (ч. 15 ст. 13.11 — оборотный штраф)
• Нарушение, повлёкшее реальный вред здоровью или имуществу субъектов
• Нарушение в сфере, где закон прямо исключает замену (биометрические данные по ч. 16–18)
• Компания не входит в реестр МСП или является крупным предприятием

Дополнительный инструмент — ст. 4.1 КоАП: при наличии смягчающих обстоятельств суд вправе назначить штраф ниже минимума или на уровне минимума. Это работает, когда замена на предупреждение невозможна, но доказана оперативность реагирования, сотрудничество с РКН, устранение последствий инцидента.

Как это применяется на практике

Кейс 1. Производственная компания из Сибирского ФО (осень 2025) получила протокол по ч. 12 ст. 13.11 КоАП за утечку базы данных клиентов — около 3 500 субъектов. Компания уведомила РКН в течение 20 часов после обнаружения инцидента, представила отчёт за 68 часов. В арбитраже (дело рассматривалось до 28.12.2025) суд применил ст. 4.1 КоАП и назначил штраф на уровне минимума — 3 млн ₽. Доказательства инвестиций в ИБ (договор на SIEM, обучение сотрудников) признаны смягчающими обстоятельствами. ⚠️ Номер дела и точная дата — менеджер уточняет при публикации.

Кейс 2. Опыт дел конца 2025 — начала 2026 года (case_S5): торговая компания — микропредприятие в ЦФО, утечка базы соискателей (около 800 записей). РКН квалифицировал по ч. 1 ст. 13.11 (штраф до 300 тыс. ₽), однако принципиальный механизм ст. 4.1.1 КоАП применим и к ч. 12 при соблюдении условий: статус МСП, первичность, отсутствие вреда. Компания получила предупреждение вместо штрафа. Прецедент демонстрирует: формирование позиции до заседания суда увеличивает вероятность замены.

Связанные услуги DATUM по теме

• Защита при штрафе в арбитраже — оспаривание протоколов и постановлений по ст. 13.11, применение ст. 4.1 и 4.1.1 КоАП
• Аудит соответствия 152-ФЗ — формирование доказательной базы для суда и РКН
• Сопровождение проверок РКН — представление интересов на стадии административного расследования

Частые вопросы

1. Какие штрафы по ст. 13.11 КоАП действуют с 30.05.2025?

С 30 мая 2025 года ст. 13.11 КоАП содержит 18 частей в редакции ФЗ-420 от 30.11.2024. Для юрлиц ключевые диапазоны: ч. 12 (утечка 1 000–10 000 субъектов) — 3–5 млн ₽; ч. 13 (10 000–100 000 субъектов) — 5–10 млн ₽; ч. 14 (более 100 000 субъектов) — 10–15 млн ₽; ч. 15 (повторная утечка, оборотный) — 1–3% годовой выручки, не менее 20 млн ₽, не более 500 млн ₽. Дела рассматривают мировые судьи с 28.12.2025 (ФЗ-508).

2. Что такое оборотный штраф 1–3% и как он рассчитывается?

Оборотный штраф по ч. 15 ст. 13.11 КоАП применяется при повторной утечке ПДн: если компания ранее уже привлекалась по ч. 12–14 или ч. 16–17 в течение года. База расчёта — совокупная выручка от реализации за предшествующий календарный год. Формула: 1–3% от этой суммы. Нижняя граница — 20 млн ₽ независимо от результата расчёта. Верхняя — 500 млн ₽. Скидка за быструю уплату по ст. 32.2 КоАП к оборотному штрафу не применяется.

3. Когда применяется минимум 20 млн ₽ по ч. 15?

Минимум 20 млн ₽ применяется тогда, когда арифметический результат расчёта (1–3% выручки) оказывается ниже этого порога. Например, при выручке 500 млн ₽ и ставке 1% расчётная сумма составит 5 млн ₽ — но назначат минимум 20 млн ₽. Единственное исключение — примечание к ст. 4.1 КоАП: при подтверждённых инвестициях в ИБ не менее 0,1% выручки за три года штраф снижается до 1/10 минимума, но не менее 15 млн ₽ и не более 50 млн ₽.

4. Можно ли заменить штраф по ч. 12 на предупреждение?

Да, при соблюдении условий ст. 4.1.1 КоАП: компания входит в реестр МСП, нарушение первичное, вред жизни и здоровью отсутствует, имущественный ущерб третьих лиц не доказан. Замена невозможна по ч. 15 (оборотный штраф) и ч. 18 (оборотный за биометрию). Для успешного применения ст. 4.1.1 необходимо подготовить позицию до судебного заседания: доказательства первичности нарушения, документы о принятых мерах защиты ПДн.

5. Какая подсудность дел по ст. 13.11 КоАП после ФЗ-508 от 28.12.2025?

С 28 декабря 2025 года дела по ст. 13.11 КоАП рассматривают мировые судьи. В период с 30 мая 2025 по 27 декабря 2025 их рассматривали арбитражные суды. Изменение подсудности влияет на процессуальные правила: мировые судьи работают по КоАП РФ в полном объёме, включая нормы о замене штрафа предупреждением по ст. 4.1.1 КоАП. Обжалование постановления мирового судьи — в районный суд в течение 10 суток.

Итог

Часть 12 ст. 13.11 КоАП — это штраф 3–5 млн ₽, который с высокой вероятностью попадёт на среднюю компанию при утечке любого масштаба от тысячи субъектов. Защита строится на пяти последовательных шагах: проверка квалификации состава, фиксация соблюдения сроков уведомления, документирование инвестиций в ИБ, оценка оснований для ст. 4.1.1 КоАП и подача обоснованной жалобы в суд. Оборотный штраф по ч. 15 — отдельный риск с минимумом 20 млн ₽, который снизить можно только через примечание к ст. 4.1 КоАП.

Практика DATUM по защите операторов при штрафах по ст. 13.11 КоАП охватывает составление позиций для мировых судей и районных судов, подготовку доказательной базы по инвестициям в ИБ и сопровождение на всех стадиях административного процесса.