Защита в арбитраже по ч. 8 ст. 13.11: типовые ошибки

Норма ч. 5 ст. 18 ФЗ-152 о локализации действует с 2015 года, однако именно с 2025-го РКН начал активно применять ч. 8 ст. 13.11 КоАП к конкретным операторам. Диапазон штрафов вырос: минимум по ч. 8 — 1 млн ₽, по ч. 9 (повторное) — 6 млн ₽. При этом практика обжалования только складывается, и суды пока не выработали единой позиции по многим аргументам защиты. Ниже — разбор шести ошибок, которые превращают обоснованную защитную позицию в проигрышную.

Что такое нарушение локализации по ч. 8 ст. 13.11 и почему оно дорого обходится?

Часть 5 ст. 18 ФЗ-152 устанавливает требование: запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан РФ должны производиться исключительно в базах данных на территории России. Нарушение этого требования квалифицируется по ч. 8 ст. 13.11 КоАП. Для юридических лиц штраф составляет от 1 до 6 млн ₽ при первичном нарушении.

Повторное нарушение — ч. 9 ст. 13.11 — увеличивает диапазон до 6–18 млн ₽. Если нарушение локализации сопряжено с утечкой данных (ч. 12–14), а компания уже привлекалась по этим основаниям, применяется оборотный штраф по ч. 15: 1–3% совокупной годовой выручки за предшествующий год, не менее 20 млн ₽ и не более 500 млн ₽.

Типичный состав нарушения, фиксируемый РКН: облачный сервис обработки данных зарегистрирован за рубежом, данные российских пользователей хранятся на иностранных серверах, при этом в реестре операторов РКН зафиксировано иное. Реже — случай, когда первичная запись данных производится в иностранной CRM или ERP, а в РФ хранится лишь копия. По позиции РКН, первичная запись — ключевой критерий нарушения.

Какие ошибки допускают компании при защите в арбитраже по ч. 8?

Практика рассмотрения дел по ч. 8 ст. 13.11 только формируется. Тем не менее уже видны устойчивые ошибки, которые ослабляют позицию оператора.

Ошибка 1. Спор о факте нарушения вместо смягчения. Компания тратит время и ресурсы на попытку доказать, что нарушения не было: данные хранились в РФ, зарубежный сервер — технический резерв. Это уместно, если факт действительно спорен. Но если протокол подкреплён актом проверки с конкретными IP и скриншотами, суды квалифицируют подобные доводы как злоупотребление. Параллельная работа по смягчающим обстоятельствам (ст. 4.1 КоАП) игнорируется — и штраф назначается в верхней части диапазона.

Ошибка 2. Игнорирование ст. 4.1.1 КоАП для малого бизнеса. Статья 4.1.1 КоАП позволяет заменить штраф на предупреждение для субъектов малого и среднего предпринимательства при первичном нарушении, если вред не причинён. Компании не заявляют о своём статусе МСП, не прикладывают выписку из реестра МСП, не доказывают отсутствие вреда субъектам — и суд не применяет норму автоматически.

Ошибка 3. Отсутствие документального подтверждения инвестиций в ИБ. Примечание 3.4-2 к ст. 4.1 КоАП предусматривает снижение оборотного штрафа по ч. 15 до 1/10 минимального размера (не менее 15 млн ₽ и не более 50 млн ₽), если совокупные инвестиции в информационную безопасность за три предшествующих года составили не менее 0,1% годовой выручки. Компании либо не знают об этой норме, либо не собирают документы заблаговременно — договоры на ИБ-решения, акты, платёжные поручения.

Ошибка 4. Смешение ролей оператора и обработчика. Если данные обрабатывал подрядчик по договору поручения (ст. 6 ФЗ-152), компания пытается полностью переложить ответственность на него. Суды исходят из принципа: оператор отвечает за соблюдение требований законодательства независимо от наличия договора поручения. Довод работает лишь как смягчающее обстоятельство — не как основание для прекращения дела.

Ошибка 5. Пропуск процессуальных сроков. Постановление по делу об административном правонарушении обжалуется в течение 10 суток со дня вручения (ст. 30.3 КоАП). Компании получают постановление через представителя или по почте и пропускают срок. Ходатайство о восстановлении срока удовлетворяется не всегда — суды требуют уважительных причин, а «не успели изучить» таковой не является.

Ошибка 6. Отсутствие ссылки на устранение нарушения до постановления. Если компания после акта проверки и до вынесения постановления перевела данные на российские серверы, это является смягчающим обстоятельством по ст. 4.1 КоАП. Документы об устранении — приказ, акт ввода в эксплуатацию российской инфраструктуры, скриншоты конфигурации — необходимо представить суду. Без них факт устранения не учитывается.

Как применяются ст. 4.1 и 4.1.1 КоАП при нарушениях локализации?

Статья 4.1 КоАП устанавливает общие правила назначения административного наказания. При назначении штрафа суд обязан учитывать характер нарушения, имущественное положение компании, смягчающие и отягчающие обстоятельства. По делам о локализации ключевые смягчающие — добровольное устранение нарушения, оказание содействия при проверке, отсутствие вреда субъектам данных, первичность.

Статья 4.1.1 КоАП — специальная норма о замене штрафа предупреждением для субъектов МСП и микропредприятий. Условия: первичное нарушение, отсутствие угрозы безопасности государства или вреда жизни и здоровью, имущественным интересам третьих лиц. Норма не применяется к оборотным составам (ч. 15 и ч. 18 ст. 13.11). К ч. 8 применение ст. 4.1.1 теоретически возможно — при соблюдении условий и доказанном статусе МСП.

На практике суды требуют детализированных доказательств инвестиций: недостаточно общей ссылки на бюджет ИБ. Нужны конкретные договоры с поставщиками средств защиты информации, сертифицированных по требованиям ФСТЭК или ФСБ, с платёжными поручениями и актами выполненных работ. Расходы на общий IT-аутсорсинг, если он прямо не квалифицирован как ИБ, суды в расчёт не принимают.

Типовые сценарии по ч. 8 ст. 13.11: ситуация, исход, стратегия

Сценарий 1. Облачный сервис зарегистрирован за рубежом, данные хранятся там. Компания использует иностранный SaaS (CRM, HRM) для хранения и обработки данных российских пользователей. РКН в ходе плановой проверки фиксирует адреса серверов — нарушение ч. 5 ст. 18 ФЗ-152 очевидно. Протокол по ч. 8 ст. 13.11. Доказательства у РКН исчерпывающие. Стратегия защиты — исключительно смягчающие: зафиксировать начало миграции до постановления, представить план переноса с датами, ссылаться на ст. 4.1 КоАП и применить скидку через ст. 32.2 КоАП (оплата в течение 20 дней после вступления в силу снижает штраф вдвое). Вероятный исход — штраф в нижней части диапазона (1–2 млн ₽) при доказанном устранении.

Сценарий 2. Данные зеркалируются в иностранный ЦОД как резервная копия. Основное хранилище — в РФ, но настроена автоматическая репликация в иностранный ЦОД. Компания убеждена, что первичное хранение соответствует требованиям. РКН квалифицирует репликацию как «хранение» и «накопление» по смыслу ч. 5 ст. 18 ФЗ-152. Спор о факте нарушения здесь обоснован: практика по данному вопросу неоднородна, суды рассматривали аналогичные кейсы с разными исходами. Дополнительно — ссылка на устранение (отключение репликации) и ст. 4.1 КоАП. Вероятный исход — прекращение дела либо минимальный штраф в зависимости от позиции конкретного суда.

Сценарий 3. Повторное нарушение — риск ч. 9 ст. 13.11. Компания уже привлекалась к ответственности по ч. 8, устранила нарушение, но через 14 месяцев при очередной проверке выявлено аналогичное нарушение (новая облачная система внедрена без проверки на соответствие требованиям локализации). Применяется ч. 9 — штраф 6–18 млн ₽. Аргументы о первичности не работают. Стратегия — максимальный акцент на смягчающих по ст. 4.1: новое нарушение связано с иной системой, а не с ранее оштрафованной; устранение до постановления; документированные инвестиции в ИБ. Ст. 4.1.1 неприменима к повторному нарушению. Вероятный исход — штраф в диапазоне 6–10 млн ₽ при сильной позиции.

Как это применяется на практике

Кейс 1. Торговая компания (Центральный ФО, осень 2025) получила протокол по ч. 8 ст. 13.11 после проверки РКН — данные клиентов хранились в CRM с серверами в Европе. До вынесения постановления компания перенесла данные на российский хостинг, представила акт миграции и платёжные поручения по договорам на средства защиты информации за 2022–2024 годы. Суд назначил штраф в размере 1,2 млн ₽ — в нижней части диапазона ч. 8 — со ссылкой на устранение нарушения как смягчающее обстоятельство по ст. 4.1 КоАП.

Кейс 2. IT-компания (Северо-Западный ФО, начало 2026) оспаривала протокол по ч. 8, настаивая на том, что зарубежный сервер использовался исключительно как резервный. Суд первой инстанции принял доводы частично и снизил штраф. Апелляция подтвердила решение, указав на отсутствие чёткой технической документации, разграничивающей функции серверов. Итог — штраф в середине диапазона. Ключевой вывод: техническая документация на архитектуру хранения данных должна быть подготовлена заранее, а не для суда.

Услуги DATUM по теме

• Защита при штрафе в арбитраже — оспаривание протоколов и постановлений по ст. 13.11, применение ст. 4.1 и 4.1.1 КоАП
• Аудит соответствия 152-ФЗ — проверка локализации, состав нарушений, приоритизированный план устранения
• Сопровождение проверок РКН — представительство при проверке, подготовка объяснений, обжалование предписания

Частые вопросы

1. Какие штрафы по ст. 13.11 КоАП действуют с 30.05.2025?

С 30.05.2025 действует редакция ст. 13.11 КоАП по ФЗ-420 от 30.11.2024 — статья расширена с 7 до 18 частей. По ч. 8 (нарушение локализации) штраф для юрлиц составляет 1–6 млн ₽, по ч. 9 (повторное) — 6–18 млн ₽. За утечку данных от 1 000 субъектов — ч. 12 (3–5 млн ₽), ч. 13 (5–10 млн ₽), ч. 14 (10–15 млн ₽). Отдельно — ч. 11 за неуведомление об утечке (1–3 млн ₽).

2. Что такое оборотный штраф 1–3% по ч. 15 ст. 13.11?

Оборотный штраф по ч. 15 ст. 13.11 КоАП применяется при повторном совершении нарушений по ч. 12–14 (утечки) лицом, ранее привлекавшимся по этим же частям или по ч. 15–18. Размер — 1–3% совокупной выручки за предшествующий календарный год. Минимум — 20 млн ₽, максимум — 500 млн ₽. Скидка за досрочную уплату по ст. 32.2 КоАП к оборотному штрафу не применяется.

3. Когда применяется минимум 20 млн ₽ по ч. 15?

Минимум 20 млн ₽ применяется, если расчётный штраф (1–3% от выручки) оказывается ниже этого порога. Например, при выручке компании 500 млн ₽ расчётный 1% составит 5 млн ₽ — но штраф всё равно назначается не менее 20 млн ₽. Исключение — примечание 3.4-2 к ст. 4.1 КоАП: при инвестициях в ИБ не менее 0,1% выручки за три года штраф снижается до 1/10 минимума, но не менее 15 млн ₽ и не более 50 млн ₽.

4. Можно ли заменить штраф по ч. 8 на предупреждение?

Теоретически — да, если компания входит в реестр МСП и нарушение первичное. Статья 4.1.1 КоАП допускает замену штрафа предупреждением при первичном нарушении субъектом МСП, отсутствии вреда и угрозы безопасности. На практике суды применяют норму осторожно: необходимо подтвердить статус МСП выпиской из реестра, доказать отсутствие реального вреда субъектам данных. К оборотным составам (ч. 15, ч. 18) ст. 4.1.1 не применяется.

5. Какая подсудность дел по ст. 13.11 после ФЗ-508?

С 28.12.2025 дела по ст. 13.11 КоАП рассматривают мировые судьи — это восстановило прежний порядок. В период с 30.05.2025 по 27.12.2025 дела рассматривались арбитражными судами субъектов РФ. Переход к мировым судьям означает иные процессуальные правила: сроки, подача жалоб, апелляционная инстанция. При обжаловании постановления мирового судьи следующая инстанция — районный суд, затем — суд субъекта.

Итог

Защита по ч. 8 ст. 13.11 — это прежде всего работа со смягчающими обстоятельствами и процессуальными инструментами, а не попытка оспорить факт нарушения там, где он очевиден. Ст. 4.1 и ст. 4.1.1 КоАП, документированные инвестиции в ИБ по примечанию 3.4-2, устранение нарушения до постановления — это реальные инструменты снижения штрафа. Они работают только при своевременной подготовке документов.

DATUM сопровождает оспаривание протоколов и постановлений по ст. 13.11 КоАП с момента вступления в силу ФЗ-420 — в том числе по ч. 8 и ч. 9 (локализация), ч. 12–14 (утечки) и ч. 15 (оборотный штраф). Стратегия выстраивается индивидуально под конкретный протокол и доказательную базу РКН.

14 января 2028 года