Защита в арбитраже по ч. 13: до и после ФЗ-508

С 30 мая 2025 года ст. 13.11 КоАП действует в редакции ФЗ-420 от 30.11.2024: 18 частей вместо прежних семи, новые составы и резко выросшие санкции. Ч. 13, которой до реформы не существовало, устанавливает ответственность за утечку персональных данных от 10 000 до 100 000 субъектов — штраф для юридического лица составляет от 5 до 10 млн ₽. Параллельно с 28 декабря 2025 года ФЗ-508 вернул подсудность административных дел по ст. 13.11 мировым судьям: с 30 мая по 27 декабря 2025 года их рассматривали арбитражные суды. Разрыв в семь месяцев породил процессуальную развилку: протоколы, составленные в этом окне, и протоколы, составленные после него, проходят принципиально разные инстанции с разными возможностями для защиты.

Что изменилось по ч. 13 ст. 13.11 КоАП после ФЗ-420?

До ФЗ-420 утечка ПДн любого масштаба квалифицировалась по ч. 1 ст. 13.11 и грозила юридическому лицу максимум 100 000 ₽. Прецедент дела № А40-263126/2025 показателен: арбитражный суд назначил 150 000 ₽ за утечку 26 миллионов записей, поскольку инцидент произошёл до 1 июня 2025 года и к нему применялась старая редакция. С 30 мая 2025 года та же утечка квалифицируется по ч. 14 (более 100 000 субъектов) и влечёт штраф 10–15 млн ₽, а диапазон по ч. 13 (10 000–100 000 субъектов) составляет 5–10 млн ₽.

Помимо размера санкции изменилась и логика повторности. Если компанию уже привлекали по ч. 12, 13 или 14 ст. 13.11, следующая утечка квалифицируется по ч. 15 — оборотный штраф от 1 до 3% совокупной выручки за предшествующий календарный год, но не менее 20 млн ₽ и не более 500 млн ₽. Для среднего бизнеса с выручкой 3 млрд ₽ оборотный штраф составит минимум 30 млн ₽ — вне зависимости от масштаба второй утечки. Инвестиции в информационную безопасность дают право на снижение оборотного штрафа: по примечанию к ст. 4.1 КоАП вложения не менее 0,1% совокупной выручки за три предшествующих года сокращают штраф до 1/10 минимального, но не менее 15 млн ₽ и не более 50 млн ₽.

Ст. 272.1 УК РФ, введённая ФЗ-421 от 30.11.2024 и действующая с 11 декабря 2024 года, добавляет к административной ответственности уголовную: незаконное использование, передача, сбор или хранение компьютерной информации с персональными данными грозит лишением свободы до 10 лет по ч. 5 при наступлении тяжких последствий. Уголовное дело может возбуждаться параллельно с административным производством и на практике возбуждается при инцидентах от нескольких десятков тысяч субъектов.

Как ФЗ-508 изменил подсудность и что это значит для защиты?

С 30 мая по 27 декабря 2025 года дела по ст. 13.11 КоАП рассматривали арбитражные суды субъектов РФ. Арбитражный процесс предоставляет ряд преимуществ: полноценное исследование доказательств, привлечение специалистов, детальная мотивировка решения, апелляция в арбитражный суд округа и кассация в Верховный суд по экономическим делам. С 28 декабря 2025 года ФЗ-508 вернул дела мировым судьям. Мировой суд работает в упрощённом режиме: одно заседание, ограниченный объём доказательств, апелляция в районный суд. Возможности для развёрнутой аргументации объективно меньше.

Практически это означает следующее. Протокол, составленный РКН в период с 30 мая по 27 декабря 2025 года, направляется в арбитражный суд. Протокол, составленный с 28 декабря 2025 года, — мировому судье. Дата составления протокола, а не дата инцидента определяет подсудность. Компания, утечка которой произошла в сентябре 2025 года, а протокол составлен в январе 2026 года, оказывается в юрисдикции мирового судьи, хотя сам инцидент попадает в «арбитражный» период.

Для CEO ключевой практический вывод: если дело направлено мировому судье, апелляция подаётся в районный суд общей юрисдикции — не в арбитраж. Если пропустить эту развилку и подать жалобу не в тот суд, суд вернёт её без рассмотрения, а процессуальный срок будет считаться истёкшим. Схема обжалования должна выстраиваться с первого дня после получения постановления.

Какие основания для снижения штрафа по ч. 13 работают на практике?

Ст. 4.1 КоАП устанавливает перечень смягчающих обстоятельств, которые суд обязан учитывать при назначении наказания. Для дел об утечках ПДн значимы: добровольное устранение последствий, содействие расследованию, первичность нарушения и добровольное сообщение об инциденте. Каждое из них нужно документально подтверждать — уведомление РКН за 24 часа (Приказ РКН №187), отчёт за 72 часа, внутренний акт расследования, приказ об устранении нарушений.

Ст. 4.1.1 КоАП позволяет заменить штраф предупреждением для субъектов малого и среднего предпринимательства при первичности нарушения и отсутствии имущественного вреда. Важное ограничение: ч. 15 и ч. 18 ст. 13.11 — оборотные составы — из-под действия ст. 4.1.1 прямо выведены. Ч. 13 под это исключение не подпадает, поэтому при первой утечке в диапазоне 10 000–100 000 субъектов замена штрафа на предупреждение формально допустима, если компания относится к МСП. Прецедент с РЭШ (дело № А40-351064/2025) подтвердил, что суды готовы снижать санкцию до уровня значительно ниже минимума при наличии смягчающих — хотя там применялись специальные правила расчёта для микропредприятий.

Инвестиционная льгота по ст. 4.1 КоАП — отдельный инструмент, актуальный прежде всего при угрозе оборотного штрафа по ч. 15. Если компания документально подтверждает вложения в ИБ не менее 0,1% выручки за три года, оборотный штраф снижается до 1/10 от минимального размера (итого: не менее 15 млн ₽, не более 50 млн ₽). Для среднего бизнеса разница между 30 млн ₽ и 15 млн ₽ принципиальна. Аналогичная логика применима и к санкции по ч. 13: суды учитывают системную работу по ИБ как косвенное смягчающее при аргументации минимального размера штрафа.

Как выглядит защита по ч. 13 на практике: три сценария

Сценарий 1. Протокол составлен в «арбитражное» окно (30.05–27.12.2025), утечка 15 000 субъектов. Производство ведётся в арбитражном суде субъекта. Компания подтверждает: уведомление РКН за 18 часов, отчёт за 70 часов, внутренний акт о немедленном блокировании доступа. Суд учитывает смягчающие, назначает штраф на уровне минимума — 5 млн ₽. Если компания относится к МСП и нарушение первичное — ходатайство о замене штрафа предупреждением по ст. 4.1.1 КоАП подаётся параллельно. При положительном решении арбитражного суда — штраф заменяется предупреждением. Апелляция — в арбитражный суд округа.

Сценарий 2. Протокол составлен после 28.12.2025, инцидент произошёл в октябре 2025 года. Несмотря на то что утечка произошла в «арбитражный» период, протокол составлен в январе 2026 года — дело направляется мировому судье. В мировом суде объём процессуальных возможностей ограничен: нет развёрнутого исследования доказательств. Ключевое — подготовить краткий, но исчерпывающий пакет: хронология уведомлений, акт расследования, справка ИБ о принятых мерах. Апелляция — в районный суд общей юрисдикции. Ошибка с адресом подачи жалобы означает пропуск срока.

Сценарий 3. Повторная утечка — угроза ч. 15 (оборотный штраф). Компания ранее привлекалась по ч. 12 за утечку 2 000 субъектов. Новая утечка — 25 000 субъектов. РКН квалифицирует по ч. 15 ст. 13.11: выручка 1,5 млрд ₽ в год, оборотный штраф — от 15 до 45 млн ₽. Применение примечания к ст. 4.1 КоАП при наличии документов об инвестициях в ИБ снижает нижнюю границу до 15 млн ₽. Замена предупреждением по ст. 4.1.1 невозможна — ч. 15 прямо выведена из-под этой нормы. Стратегия: максимизировать документальную базу смягчающих, оспаривать расчёт выручки как базы для штрафа.

Как это применяется на практике: кейсы 2025–2026

Кейс 1. Компания розничного сектора (Уральский ФО, осень 2025) получила протокол по ч. 13 ст. 13.11 за утечку 28 000 записей клиентов. Протокол составлен в период действия арбитражной подсудности. Юристы подготовили доказательную базу: уведомление РКН за 21 час, отчёт за 68 часов, акт о немедленном ограничении доступа к базе. Арбитражный суд назначил штраф в размере 5 млн ₽ — минимальный по ч. 13. Дополнительное ходатайство об отнесении к МСП для замены штрафа предупреждением удовлетворено не было: суд указал на масштаб нарушения.

Кейс 2. Логистическая компания (Сибирский ФО, начало 2026) — протокол по ч. 13 составлен в феврале 2026 года за инцидент октября 2025 года, 14 000 субъектов. После ФЗ-508 дело ушло мировому судье. Компания ошибочно подала жалобу в арбитражный суд — суд вернул без рассмотрения. Повторная жалоба в районный суд подана с нарушением срока. В ходатайстве о восстановлении срока было отказано. Штраф вступил в силу в полном объёме. Ошибка в определении подсудности обошлась дороже самого инцидента.

Услуги DATUM по теме

• Защита при штрафе в арбитраже — оспаривание протоколов и постановлений по ст. 13.11 КоАП, применение ст. 4.1 и ст. 4.1.1
• Аудит соответствия 152-ФЗ — проверка по чек-листу из 38 пунктов, отчёт с планом устранения нарушений
• Сопровождение проверок РКН — подготовка к проверке, представление интересов, обжалование предписания

Частые вопросы

1. Какие штрафы по ст. 13.11 КоАП действуют с 30.05.2025?

С 30 мая 2025 года ст. 13.11 КоАП действует в редакции ФЗ-420 от 30.11.2024 и содержит 18 частей. Санкции для юридических лиц за утечку ПДн: ч. 12 — 3–5 млн ₽ (от 1 000 до 10 000 субъектов), ч. 13 — 5–10 млн ₽ (от 10 000 до 100 000 субъектов), ч. 14 — 10–15 млн ₽ (более 100 000 субъектов). За неуведомление РКН об утечке в 24 часа — ч. 11: 1–3 млн ₽. Оборотный штраф за повторную утечку — ч. 15: 1–3% годовой выручки, не менее 20 млн ₽, не более 500 млн ₽.

2. Что такое оборотный штраф по ч. 15 ст. 13.11 и когда он применяется?

Оборотный штраф по ч. 15 ст. 13.11 КоАП — это штраф в размере 1–3% совокупной годовой выручки оператора за предшествующий календарный год. Он применяется при повторном совершении нарушения лицом, уже привлекавшимся к ответственности по ч. 12, 13, 14, 16, 17 или 15 ст. 13.11. Минимум — 20 млн ₽, максимум — 500 млн ₽. Скидка за досрочную уплату по ст. 32.2 КоАП к оборотным штрафам не применяется.

3. Когда применяется минимум 20 млн ₽ по ч. 15, а когда процент от выручки?

По ч. 15 ст. 13.11 КоАП сначала рассчитывается 1–3% от совокупной выручки за предшествующий год. Если полученная сумма меньше 20 млн ₽ — применяется минимум в 20 млн ₽. Если больше 500 млн ₽ — применяется максимум. Таким образом, минимум 20 млн ₽ актуален для компаний с выручкой до 667 млн ₽ в год (при ставке 3%). Для компаний с выручкой выше 2 млрд ₽ оборотная составляющая превысит минимум.

4. Можно ли заменить штраф по ч. 13 ст. 13.11 на предупреждение?

Формально — да, если компания относится к субъектам МСП, нарушение первичное и не причинён имущественный вред. Ст. 4.1.1 КоАП позволяет заменить административный штраф предупреждением при соблюдении этих условий. Исключение — ч. 15 и ч. 18 ст. 13.11 (оборотные составы): к ним ст. 4.1.1 не применяется. Ч. 13 под исключение не подпадает, но на практике суды редко применяют замену при утечке от 10 000 субъектов — необходима детальная аргументация и документальное подтверждение первичности и отсутствия вреда.

5. Какая подсудность дел по ст. 13.11 после ФЗ-508 от 28.12.2025?

С 28 декабря 2025 года ФЗ-508 вернул подсудность дел по ст. 13.11 КоАП мировым судьям. В период с 30 мая по 27 декабря 2025 года дела рассматривали арбитражные суды субъектов РФ. Подсудность определяется датой составления протокола об административном правонарушении, а не датой инцидента. Апелляция на постановление мирового судьи подаётся в районный суд общей юрисдикции; апелляция на решение арбитражного суда — в арбитражный суд округа.

Итог

Ч. 13 ст. 13.11 КоАП в редакции ФЗ-420 — это штраф от 5 до 10 млн ₽ за утечку от 10 000 до 100 000 субъектов, плюс угроза оборотного штрафа по ч. 15 при повторном инциденте. Перемена подсудности по ФЗ-508 создала процессуальную ловушку: дата протокола, а не дата утечки определяет суд, порядок обжалования и объём процессуальных инструментов. Ошибка с инстанцией при подаче жалобы означает потерю срока и вступление штрафа в силу.

Практика DATUM по защите от штрафов в рамках ст. 13.11 КоАП охватывает дела как в арбитражных судах, так и у мировых судей — с применением ст. 4.1, ст. 4.1.1 КоАП и документальным обоснованием смягчающих обстоятельств по каждому инциденту.