Часть 15 ст. 13.11: оборотный штраф 1-3%, минимум 20 млн, максимум 500 млн

Оборотный штраф по ч. 15 ст. 13.11 КоАП — принципиально иная категория риска для бизнеса по сравнению с фиксированными санкциями. До 30.05.2025 максимальный штраф за утечку составлял 500 тыс. ₽ по старой редакции ст. 13.11. Теперь порог 500 млн ₽ — не гипотетический, а прямо предусмотренный законом для повторного нарушения. Эта статья разбирает: состав ч. 15, механизм расчёта, условия применения льготных норм ст. 4.1 и ст. 4.1.1 КоАП, и как строится защита в арбитраже после ФЗ-508 от 28.12.2025.

Что именно образует состав по ч. 15 ст. 13.11 КоАП?

Ч. 15 ст. 13.11 КоАП — это квалифицирующий состав, а не самостоятельное нарушение. Он применяется, если компания совершила нарушение по ч. 12, 13 или 14 той же статьи, и при этом ранее уже привлекалась к ответственности по ч. 12–14, 15, 16, 17 или 18 ст. 13.11 КоАП.

Ключевые элементы состава, которые обязан доказать РКН или суд:

• Факт утечки ПДн с числом субъектов не менее 1 000 — это охватывается ч. 12 (1 000–10 000), ч. 13 (10 000–100 000) или ч. 14 (свыше 100 000).
• Наличие предыдущего постановления по ч. 12–18 ст. 13.11 КоАП, вступившего в законную силу, в отношении того же юридического лица.
• Срок давности привлечения к административной ответственности не истёк — по ст. 4.5 КоАП для нарушений в сфере ПДн применяется срок, установленный в кодексе (верифицировать актуальный срок перед подачей возражений).

Важно: ч. 15 требует именно повторности в юридическом смысле — предыдущее постановление должно касаться того же субъекта ответственности (юридического лица). Утечка у дочерней компании не образует повторности для материнской.

Как рассчитывается оборотный штраф и что входит в «совокупную выручку»?

Механизм расчёта оборотного штрафа опирается на выручку за предшествующий полный календарный год. Для компании с выручкой 5 млрд ₽ диапазон составит от 50 до 150 млн ₽ — при условии, что это не ниже 20 млн и не выше 500 млн. Для крупного ритейлера с выручкой 30 млрд ₽ максимум 500 млн ₽ ограничивает верхнюю планку ещё до достижения 3%.

Несколько расчётных сценариев для понимания масштаба:

• Выручка 500 млн ₽ — расчётный диапазон 5–15 млн ₽, но применяется минимум 20 млн ₽.
• Выручка 1 млрд ₽ — диапазон 10–30 млн ₽, применяется без корректировки снизу.
• Выручка 5 млрд ₽ — диапазон 50–150 млн ₽.
• Выручка 20 млрд ₽ — диапазон 200–500 млн ₽, но верхняя граница ограничена 500 млн.
• Выручка 100 млрд ₽ — применяется потолок 500 млн ₽, что меньше 1%.

Вопрос о том, что именно включается в «совокупную выручку» при расчёте, практически важен для холдинговых структур. На сегодняшний день сложившейся практики по ч. 15 в её нынешней редакции немного — норма действует с 30.05.2025. Предположительно, суды будут ориентироваться на данные бухгалтерской отчётности самого юридического лица, привлечённого к ответственности. Включение в расчёт консолидированной выручки группы не предусмотрено текстом нормы, однако РКН может ставить этот вопрос при наличии формальных признаков аффилированности.

Скидка 50% за уплату в течение 20 дней по ст. 32.2 КоАП к оборотным штрафам по ч. 15 не применяется — это прямо исключено.

Какие инструменты снижают штраф по ч. 15 ст. 13.11 до вынесения постановления?

Защита от оборотного штрафа строится на трёх юридических инструментах: смягчающие обстоятельства по ст. 4.1 КоАП, инвестиционная льгота по примечанию 3.4-2 к ст. 4.1 КоАП, и процессуальные основания для снижения или прекращения дела.

Инструмент 1. Смягчающие обстоятельства по ст. 4.1 КоАП

Суд учитывает: добровольное уведомление РКН об утечке в 24-часовой срок (ч. 3.1 ст. 21 ФЗ-152), устранение нарушения до вынесения постановления, возмещение ущерба субъектам ПДн, внедрение технических мер после инцидента. Каждое обстоятельство фиксируется документально и предъявляется в деле.

Инструмент 2. Инвестиционная льгота по примечанию 3.4-2 к ст. 4.1 КоАП

Если компания документально подтвердит, что за три предшествующих года вложила в информационную безопасность не менее 0,1% совокупной выручки за этот период — оборотный штраф по ч. 15 рассчитывается в размере 1/10 от минимального значения. Однако итоговый штраф не может быть ниже 15 млн ₽ и не выше 50 млн ₽. Для крупного бизнеса это кардинально меняет экономику риска: вместо 150–500 млн ₽ — максимум 50 млн.

Практически это означает: компания с выручкой 10 млрд ₽ за 3 года обязана подтвердить расходы на ИБ на сумму от 10 млн ₽ суммарно — то есть примерно 3,3 млн ₽ в год. При этом штраф ограничивается потолком 50 млн ₽ вместо теоретических 300 млн ₽.

Инструмент 3. Ст. 4.1.1 КоАП — замена штрафа на предупреждение

По ч. 15 ст. 13.11 применение ст. 4.1.1 КоАП (замена штрафа на предупреждение) прямо исключено. Оборотный штраф — финальная санкция, которую нельзя заменить на предупреждение даже для субъектов МСП. Это отличает ч. 15 от, например, ч. 1 или ч. 3 ст. 13.11, где для микропредприятий при первичном нарушении замена возможна.

Подсудность после ФЗ-508: куда обжаловать постановление?

До 30.05.2025 дела по ст. 13.11 рассматривали мировые судьи. С 30.05.2025 по 27.12.2025 подсудность была передана арбитражным судам. С 28.12.2025 (ФЗ-508 от 28.12.2025) дела снова рассматривают мировые судьи.

Для CEO это означает: постановление по ч. 15, вынесенное с 28.12.2025, обжалуется в районный суд, а затем в суд субъекта РФ — в системе общей юрисдикции, а не арбитражной. Это меняет тактику представления доказательств, сроки обжалования и состав судебного состава.

Если постановление было вынесено в период с 30.05.2025 по 27.12.2025 — оно вынесено арбитражным судом первой инстанции. Апелляция в таком случае — арбитражный апелляционный суд, кассация — окружной арбитражный суд. Переходные положения ФЗ-508 фиксируют дела, начатые в арбитраже, по прежним правилам.

Как применяется ч. 15 на практике: сценарии для CEO

Сценарий 1. Утечка через подрядчика после первого постановления

Ситуация: розничная сеть (Уральский ФО, 2025 год) получила постановление по ч. 13 ст. 13.11 за утечку базы лояльности (~30 000 субъектов). Штраф уплачен. Через 8 месяцев хакеры атаковали подрядчика CRM — утекло ещё ~50 000 записей. РКН квалифицировал как ч. 15 ввиду повторности. Доказательства: данные подрядчика — ПДн, обрабатываемые по поручению оператора; ответственность оператора за действия обработчика установлена судебной практикой. Стратегия: оспорить квалификацию как «повторность» (первое дело — утечка по иному основанию и иной базы), подтвердить инвестиции в ИБ по примечанию 3.4-2, представить договор поручения обработки с требованиями по ИБ.

Сценарий 2. Внутренний инсайдер — второй инцидент за год

Ситуация: телеком-компания (Центральный ФО, 2026 год) — первый инцидент в феврале (ч. 12, ~5 000 субъектов), постановление вступило в силу в мае. В сентябре сотрудник отдела продаж выгрузил базу из CRM — ~15 000 записей. РКН составил протокол по ч. 15. Доказательства: наличие вступившего в силу постановления подтверждено, число субъектов во втором эпизоде попадает в ч. 13. Стратегия: разграничить вину юрлица и физлица (ст. 272.1 УК в отношении сотрудника), подтвердить, что все технические меры были приняты, инсайдер действовал вопреки регламентам, — это смягчающее обстоятельство по ст. 4.1 КоАП. Снижение до 20 млн ₽ (минимума) при выручке компании в 2 млрд ₽ реалистично.

Сценарий 3. Утечка крупного масштаба при первом привлечении — риск переквалификации

Ситуация: компания без предыдущих постановлений по ст. 13.11. Утечка — 150 000 субъектов. РКН рассматривает дело по ч. 14 (штраф 10–15 млн ₽). Риск: если параллельно обнаружится более ранний эпизод, не задокументированный в реестре РКН, — переквалификация на ч. 15 с минимумом 20 млн. Стратегия: провести внутреннее расследование, исключить наличие незадекументированных ранних инцидентов, до вынесения постановления подать аудиторское подтверждение отсутствия предшествующих утечек.

Как это применяется на практике

Кейс 1. В деле АС Москвы № А40-351064/2025 (РЭШ) суд рассмотрел утечку более 100 000 субъектов по ч. 14 ст. 13.11 КоАП. Однако с учётом статуса микропредприятия и расчёта по правилам для ИП был назначен штраф 400 000 ₽ — в разы ниже установленного диапазона 10–15 млн ₽. Для крупного бизнеса таких оснований нет: диапазон применяется без коррекции.

Кейс 2. IT-компания (Северо-Западный ФО, осень 2025) получила первое постановление по ч. 13 ст. 13.11 за утечку ~40 000 записей клиентов. Юристы параллельно зафиксировали все расходы на ИБ за предшествующие три года — совокупно более 0,2% от выручки. При возникновении второго инцидента (обнаружен в начале 2026 года) этот пакет документов позволил обосновать применение примечания 3.4-2 к ст. 4.1 КоАП. Максимальный штраф по ч. 15 был ограничен 50 млн ₽ вместо потенциальных 180 млн ₽ при выручке компании 6 млрд ₽. ⚠️ Конкретный номер дела и точная дата вынесения постановления — менеджер уточняет при публикации.

Услуги DATUM по теме

• Защита при штрафе в арбитраже — оспаривание протокола и постановления по ст. 13.11 КоАП, применение ст. 4.1 и ст. 4.1.1.
• Аудит соответствия 152-ФЗ — проверка уязвимостей до проверки РКН, включая оценку рисков по ч. 12–15.
• Сопровождение проверок РКН — представление интересов при проверке, обжалование предписаний.

Частые вопросы

1. Какие штрафы по ст. 13.11 КоАП действуют с 30.05.2025?

С 30.05.2025 статья содержит 18 частей вместо прежних 9 (ФЗ-420 от 30.11.2024). За утечку ПДн от 1 000 до 10 000 субъектов — ч. 12, штраф 3–5 млн ₽; от 10 000 до 100 000 — ч. 13, 5–10 млн ₽; свыше 100 000 — ч. 14, 10–15 млн ₽. При повторном нарушении — ч. 15, оборотный штраф 1–3% годовой выручки, не менее 20 млн ₽, не более 500 млн ₽. За утечку биометрии — ч. 17, 15–20 млн ₽. За неуведомление РКН об утечке — ч. 11, 1–3 млн ₽.

2. Что такое оборотный штраф 1–3% и как он считается?

Оборотный штраф рассчитывается от совокупной выручки юридического лица за предшествующий полный календарный год. Минимум — 20 млн ₽ (применяется, если 1% выручки меньше этой суммы). Максимум — 500 млн ₽ (ограничивает штраф при очень высокой выручке). Для компании с выручкой 1 млрд ₽ — диапазон 10–30 млн ₽, применяется без коррекции снизу. Для компании с выручкой 300 млн ₽ — расчётный минимум 3 млн ₽, но применяется порог 20 млн ₽.

3. Когда применяется минимум 20 млн ₽ по ч. 15?

Минимум 20 млн ₽ применяется, когда 1% совокупной годовой выручки юридического лица меньше этой суммы — то есть при выручке ниже 2 млрд ₽. Для всех компаний с оборотом до 2 млрд ₽ минимальный штраф по ч. 15 составит ровно 20 млн ₽ вне зависимости от фактического размера выручки. Инвестиционная льгота по примечанию 3.4-2 к ст. 4.1 КоАП снижает этот порог до 15 млн ₽ при документально подтверждённых расходах на ИБ.

4. Можно ли заменить оборотный штраф по ч. 15 на предупреждение?

Нет. Замена штрафа на предупреждение по ст. 4.1.1 КоАП прямо не применяется к ч. 15 и ч. 18 ст. 13.11 — это оборотные составы, для которых законодатель исключил такую возможность. Снижение штрафа возможно через смягчающие обстоятельства по ст. 4.1 КоАП и инвестиционную льготу по примечанию 3.4-2. Прекращение производства возможно при процессуальных нарушениях при составлении протокола или истечении срока давности.

5. Какая подсудность дел по ст. 13.11 после ФЗ-508 от 28.12.2025?

С 28.12.2025 (ФЗ-508) дела по ст. 13.11 КоАП снова рассматривают мировые судьи — как это было до 30.05.2025. В период с 30.05.2025 по 27.12.2025 дела рассматривались арбитражными судами. Дела, начатые в арбитраже в указанный период, продолжаются в системе арбитражных судов. Постановления мирового судьи обжалуются в районный суд общей юрисдикции, затем в суд субъекта РФ.

Итог

Ч. 15 ст. 13.11 КоАП в редакции ФЗ-420 — это реальная угроза для любой компании, которая уже имеет одно постановление по ч. 12–14 и продолжает обрабатывать ПДн. Минимальный штраф 20 млн ₽ не зависит от масштаба бизнеса, а максимум 500 млн ₽ становится актуальным уже при выручке от 17 млрд ₽. Инструменты снижения — смягчающие обстоятельства по ст. 4.1 КоАП и льгота по примечанию 3.4-2 — применимы, но требуют документальной базы, которую нужно формировать до инцидента, а не после.

Юристы DATUM сопровождают дела по ст. 13.11 КоАП начиная со стадии протокола: оспаривание состава, формирование доказательной базы по ИБ-инвестициям, представление интересов у мирового судьи и в апелляции.