аналитика 4 июля 2027 По состоянию на 4 июля 2027

Кейс Аэрофлот: ч. 4 ст. 272 УК — Silent Crow 28.07.2025

28 июля 2025 года группы Silent Crow и Киберпартизаны BY заявили о завершении длившейся около года операции против Аэрофлота. Возбуждено уголовное дело по ч. 4 ст. 272 УК РФ. Хакеры объявили о ~22 ТБ похищенных данных.

Этот кейс — первый публичный прецедент применения уголовного состава ч. 4 ст. 272 УК РФ к крупному корпоративному инциденту после введения ст. 272.1 УК (ФЗ-421 от 30.11.2024). Он задаёт ориентир для оценки уголовной и административной ответственности операторов ПДн в 2025–2026 годах.

→ Если вы CEO и ваша компания обрабатывает данные более 100 000 субъектов — этот разбор покажет, какие составы реальны, какова цена бездействия и что снижает личный риск.

Инцидент с Аэрофлотом стал точкой слияния трёх правовых треков, которые до 2025 года в российской практике не сходились одновременно: уголовный состав неправомерного доступа к компьютерной информации (ст. 272 УК РФ), административная ответственность оператора за утечку (ст. 13.11 КоАП в редакции ФЗ-420 от 30.11.2024) и обязанность по уведомлению Роскомнадзора за 24 часа (ч. 3.1 ст. 21 ФЗ-152, Приказ РКН №187). В этом материале — юридический разбор каждого трека, оценка рисков для руководства и сценарии защиты.

Что произошло 28 июля 2025 года: факты и правовая квалификация

Хакерские группировки Silent Crow и Киберпартизаны BY объявили о завершении операции против Аэрофлота 28 июля 2025 года. По их заявлению, проникновение продолжалось около года. Объём заявленных данных — около 22 терабайт. Генеральная прокуратура возбудила уголовное дело по ч. 4 ст. 272 УК РФ.

«Ч. 4 ст. 272 УК РФ — неправомерный доступ к охраняемой компьютерной информации, повлёкший тяжкие последствия или создавший угрозу их наступления. Максимальное наказание — лишение свободы на срок до 7 лет.»

Важно разграничить два состава, которые часто путают. Ч. 4 ст. 272 УК — это состав, направленный против лиц, осуществивших неправомерный доступ (то есть против хакеров). Ст. 272.1 УК РФ, введённая ФЗ-421 от 30.11.2024 и действующая с 11.12.2024, устанавливает ответственность за незаконное использование, передачу, сбор или хранение компьютерной информации с персональными данными — этот состав потенциально применим к сотрудникам или контрагентам оператора, причастным к утечке изнутри. Максимум по ч. 5 ст. 272.1 при тяжких последствиях — лишение свободы до 10 лет.

На момент подготовки материала факт утечки ПДн в реестре РКН в рамках инцидента 28 июля 2025 года официально не подтверждён — идёт расследование. Однако масштаб заявленных данных (22 ТБ) и длительность операции создают высокую вероятность квалификации по ч. 14 ст. 13.11 КоАП: утечка более 100 000 субъектов — штраф 10–15 млн ₽ для юридического лица.

Ваша компания обрабатывает данные более 100 000 субъектов?

Инцидент масштаба Аэрофлота запускает одновременно три правовых трека: уголовный (ст. 272 / 272.1 УК), административный (ст. 13.11 КоАП, штраф 10–15 млн ₽ по ч. 14) и процедурный (24 часа на уведомление РКН, неуведомление — ещё 1–3 млн ₽ по ч. 11). Промедление на каждом треке умножает риск. Юристы DATUM оспорят протокол и постановление в арбитраже, применят ст. 4.1 и ст. 4.1.1 КоАП для смягчения.

Защитить от штрафа по ст. 13.11

+7 (983) 510-38-76 · info@vitveteam.ru · Telegram

Какие штрафы по ст. 13.11 КоАП грозят оператору после крупной утечки?

С 30 мая 2025 года ст. 13.11 КоАП действует в редакции ФЗ-420 от 30.11.2024. Статья расширена с 7 до 18 частей. Для утечки масштаба, заявленного по кейсу Аэрофлота, применимы следующие составы.

Ч. 12 — утечка от 1 000 до 10 000 субъектов: штраф для юрлица 3–5 млн ₽. Ч. 13 — от 10 000 до 100 000 субъектов: 5–10 млн ₽. Ч. 14 — более 100 000 субъектов: 10–15 млн ₽. Это базовые составы — первичная утечка без отягчающих обстоятельств.

«Ч. 15 ст. 13.11 КоАП — оборотный штраф при повторной утечке: 1–3% совокупной выручки за предшествующий календарный год, не менее 20 млн ₽ и не более 500 млн ₽. Применяется, если оператор ранее привлекался по ч. 12–14, 16–18 или по самой ч. 15.»

Отдельно — ч. 11 ст. 13.11 КоАП: неуведомление или несвоевременное уведомление РКН об инциденте. Срок уведомления — 24 часа с момента обнаружения (ч. 3.1 ст. 21 ФЗ-152, Приказ РКН №187 от 14.11.2022). Штраф за нарушение — 1–3 млн ₽. Этот состав идёт поверх составов ч. 12–14, то есть оператор рискует получить два протокола одновременно.

Важная деталь для CEO: штрафы по ч. 12–15 не суммируются автоматически. Роскомнадзор составляет отдельные протоколы по каждому основанию, и в зависимости от стадии (первичная или повторная утечка, соблюдены ли сроки уведомления) итоговая нагрузка может варьироваться от 11 млн до суммы, соразмерной обороту компании.

Что такое оборотный штраф и когда он применяется к компании?

Оборотный штраф по ч. 15 ст. 13.11 КоАП — не автоматическое последствие любой утечки. Для его применения нужно совпадение двух условий: утечка квалифицирована по ч. 12, 13 или 14 (то есть затронуто не менее 1 000 субъектов), и оператор ранее уже привлекался к ответственности по ч. 12–14, 16–18 или ч. 15 ст. 13.11.

При выполнении обоих условий штраф считается от совокупной выручки компании за предшествующий календарный год: нижняя граница — 1%, верхняя — 3%. Минимальный порог — 20 млн ₽ (даже если 1% выручки ниже этой суммы). Потолок — 500 млн ₽.

«Ст. 4.1 КоАП, примечание 3.4-2: при инвестициях в информационную безопасность не менее 0,1% совокупной выручки за три предшествующих года — штраф по ч. 15 и ч. 18 ст. 13.11 снижается до 1/10 минимального размера, но не менее 15 млн ₽ и не более 50 млн ₽.»

Это единственный законодательно закреплённый инструмент снижения оборотного штрафа. Подтверждение инвестиций — договоры с интеграторами ИБ, платёжные документы, акты выполненных работ за три года. Компании, которые систематически документируют расходы на ИБ, получают право на снижение штрафа до 50 млн ₽ вместо потенциальных 500 млн ₽. Для крупного перевозчика с многомиллиардной выручкой разница принципиальна.

Если CEO получил протокол по ст. 13.11 КоАП — важно понять, применима ли ст. 4.1.1 КоАП (замена штрафа на предупреждение) или ст. 4.1 (инвестиции в ИБ как основание снижения). У вас есть срок на обжалование: пропустить его — значит лишиться основного инструмента защиты.

Защитить от штрафа по ст. 13.11

Как кейс Аэрофлота меняет практику для корпоративных операторов?

До 30 мая 2025 года максимальный штраф за утечку по ст. 13.11 КоАП составлял несколько сотен тысяч рублей (старая редакция, 7 частей). Кейс с 26 млн записей, рассмотренный АС Москвы (дело № А40-263126/2025), показал: если утечка произошла до 01.06.2025 — суд применяет старые нормы и назначает штраф 150 000 ₽ даже при гигантском объёме. Этот переходный прецедент формирует границу: всё, что после 30.05.2025, — уже под новыми санкциями.

Инцидент 28 июля 2025 года с Аэрофлотом попадает в новый режим. Если РКН зафиксирует утечку ПДн и квалифицирует её по ч. 14 ст. 13.11 КоАП (более 100 000 субъектов), минимальный штраф составит 10 млн ₽. При повторности — переход на ч. 15 с нижней границей 20 млн ₽ и верхней 500 млн ₽.

Параллельно Генпрокуратура ведёт уголовное дело по ч. 4 ст. 272 УК — оно направлено против тех, кто осуществил доступ. Но ст. 272.1 УК РФ, действующая с 11.12.2024, может быть применена к сотрудникам или контрагентам, если следствие установит их причастность к передаче данных. Это создаёт персональный риск для руководителей ИТ и ИБ-подразделений.

Что подготовить CEO до получения протокола РКН

Выписку из реестра операторов ПДн с pd.rkn.gov.ru — убедитесь, что сведения актуальны и отражают реальный объём обработки.
Документацию об инвестициях в ИБ за три последних календарных года — договоры, акты, платёжные поручения (основание для снижения штрафа по ст. 4.1 КоАП).
Журнал уведомлений РКН об инцидентах с отметками о дате и времени отправки — подтверждение соблюдения 24-часового срока по ч. 3.1 ст. 21 ФЗ-152.
Регламент реагирования на инциденты с ПДн, утверждённый до даты инцидента, — свидетельство организационной готовности.
Актуальную политику обработки ПДн с обязательными разделами по ч. 2 ст. 18.1 ФЗ-152 и приказ о назначении ответственного по ст. 22.1 ФЗ-152.

Три сценария для CEO: как развиваются дела по ст. 13.11 КоАП в 2025–2026 годах

Сценарий 1. Первичная утечка, уведомление РКН в срок. Компания обнаруживает инцидент, в течение 24 часов направляет первичное уведомление по Приказу РКН №187, через 72 часа — отчёт о расследовании. РКН составляет протокол по ч. 14 ст. 13.11 КоАП (более 100 000 субъектов). Поскольку нарушение первичное и сроки соблюдены, оператор вправе заявить о применении ст. 4.1.1 КоАП (замена штрафа на предупреждение). Мировой судья — с 28.12.2025 именно он рассматривает такие дела после ФЗ-508 от 28.12.2025 — может заменить штраф на предупреждение при отсутствии повторности и вреда. Вероятный исход: предупреждение или минимальный штраф 10 млн ₽. Стратегия: фиксировать оперативность реагирования документально с первой минуты.

Сценарий 2. Первичная утечка, уведомление РКН нарушено. Компания обнаружила инцидент, но направила уведомление на третьи сутки, сославшись на «неопределённость масштаба». РКН составляет два протокола: по ч. 14 (утечка 100 000+ субъектов, 10–15 млн ₽) и по ч. 11 (нарушение 24-часового срока, 1–3 млн ₽). Итоговая административная нагрузка — до 18 млн ₽. Замена на предупреждение по ст. 4.1.1 КоАП недоступна для ч. 11. Стратегия: в арбитраже акцент на смягчающие обстоятельства по ст. 4.1 КоАП, документация инвестиций в ИБ.

Сценарий 3. Повторная утечка — переход на оборотный штраф. Компания уже привлекалась по ч. 12 ст. 13.11 КоАП в предыдущем году. Новая утечка охватывает более 100 000 субъектов. РКН квалифицирует по ч. 15 — оборотный штраф 1–3% выручки, не менее 20 млн ₽. Для компании с выручкой 50 млрд ₽ это 500 млн–1,5 млрд ₽ расчётно, но с потолком 500 млн ₽. Единственный инструмент снижения — ст. 4.1, примечание 3.4-2: инвестиции в ИБ ≥ 0,1% выручки за три года снижают штраф до 1/10 минимума, но не менее 15 млн ₽ и не более 50 млн ₽. Стратегия: немедленно собрать документацию об инвестициях в ИБ, подать ходатайство об отложении слушания для подготовки доказательной базы.

Как применяется ст. 4.1.1 КоАП и когда она не работает?

Ст. 4.1.1 КоАП позволяет заменить административный штраф предупреждением при одновременном выполнении условий: нарушение совершено впервые, отсутствует причинение вреда или угроза причинения вреда жизни и здоровью, имущественного ущерба, нарушение не создаёт угрозу ЧС. Норма применима к микропредприятиям и субъектам МСП.

Для дел по ст. 13.11 КоАП практика 2025–2026 годов показывает: ст. 4.1.1 реально работает при нарушениях по ч. 1, ч. 2, ч. 3–6 (организационные нарушения, небольшие утечки). Дело, описанное как case_S5 (хищение базы работников менее 1 000 человек), завершилось предупреждением именно благодаря этой норме.

«Ст. 4.1.1 КоАП НЕ применяется к составам ч. 15 и ч. 18 ст. 13.11 (оборотные штрафы). Замена штрафа на предупреждение при оборотном составе законодательно исключена.»

Подсудность с 28.12.2025 — мировые судьи (ФЗ-508 от 28.12.2025). С 30.05.2025 по 27.12.2025 дела рассматривали арбитражные суды. Это процессуально важно: мировые судьи не публикуют решения в системе «Электронное правосудие» так же системно, как арбитражные — это затрудняет мониторинг практики, но не влияет на существо норм.

Практика: как выглядят реальные дела по ст. 13.11 КоАП в 2025–2026 годах

Кейс 1. АС Москвы рассмотрел дело о крупнейшей по числу записей утечке в Российской электронной школе (дело № А40-351064/2025). Утечка затронула более 100 000 субъектов, квалификация — ч. 14 ст. 13.11 КоАП (штраф 10–15 млн ₽). Суд установил статус микропредприятия и применил расчёт по правилам для ИП по ч. 1 ст. 4.1.2 КоАП. Итоговый штраф — 400 000 ₽. Этот кейс показывает: при наличии процессуальных оснований суд вправе существенно отклониться от стандартного диапазона санкции.

Кейс 2. В деле АС Санкт-Петербурга и Ленинградской области (дело № А56-4733/2026 от 10.03.2026) компания «ПКР Аналитика» столкнулась с утечкой около 70 000 субъектов (ФИО, должность, служебный email, телефон) после хакерской атаки. Квалификация — ч. 14 ст. 13.11 КоАП. Суд применил смягчающие обстоятельства. Кейс подтверждает: характер утекших данных (служебные, а не специальные категории) и оперативность реагирования учитываются при назначении наказания.

Услуги DATUM по теме

Защита при штрафе в арбитраже — оспаривание протокола и постановления по ст. 13.11 КоАП, применение ст. 4.1 и 4.1.1
Аудит соответствия 152-ФЗ — проверка 38 пунктов комплаенса, включая готовность к инцидентам
Сопровождение проверок РКН — подготовка, представительство, обжалование предписаний

Частые вопросы

1. Какие штрафы по ст. 13.11 КоАП действуют с 30.05.2025?

С 30 мая 2025 года ст. 13.11 КоАП действует в редакции ФЗ-420 от 30.11.2024 и содержит 18 частей. За утечку от 1 000 до 10 000 субъектов — 3–5 млн ₽ (ч. 12), от 10 000 до 100 000 — 5–10 млн ₽ (ч. 13), более 100 000 субъектов — 10–15 млн ₽ (ч. 14). Неуведомление РКН об инциденте в 24 часа — отдельно 1–3 млн ₽ по ч. 11. До 30.05.2025 действовала старая редакция: максимум по ч. 1 составлял несколько сотен тысяч рублей.

2. Что такое оборотный штраф 1–3% и когда он применяется?

Оборотный штраф по ч. 15 ст. 13.11 КоАП применяется при повторной утечке ПДн (если оператор ранее привлекался по ч. 12–14, 16–18 или ч. 15). Размер — 1–3% совокупной выручки за предшествующий календарный год, не менее 20 млн ₽ и не более 500 млн ₽. При первичной утечке ч. 15 не применяется. Оборотный штраф не заменяется на предупреждение по ст. 4.1.1 КоАП — это исключение прямо установлено законом.

3. Когда применяется минимум 20 млн ₽ по оборотному штрафу?

Минимум 20 млн ₽ применяется всегда при квалификации по ч. 15 ст. 13.11 КоАП, если 1% совокупной годовой выручки меньше этой суммы. Единственное исключение — ст. 4.1, примечание 3.4-2: если компания документально подтвердит инвестиции в ИБ не менее 0,1% выручки за три предшествующих года, штраф снижается до 1/10 минимального размера, но не менее 15 млн ₽ и не более 50 млн ₽. Документация расходов на ИБ — ключевое доказательство для применения этой нормы.

4. Можно ли заменить штраф по ст. 13.11 на предупреждение?

Замена штрафа на предупреждение возможна по ст. 4.1.1 КоАП при первичном нарушении, отсутствии вреда и статусе субъекта МСП или микропредприятия. Реальный пример: компания-микропредприятие с утечкой менее 1 000 субъектов получила предупреждение вместо штрафа до 300 тыс. ₽ по ч. 1 ст. 13.11. Замена недоступна для составов ч. 15 и ч. 18 (оборотные). Для крупных операторов с выручкой более 5 млрд ₽ статус МСП, как правило, неприменим.

5. Какая подсудность дел по ст. 13.11 КоАП действует после ФЗ-508?

С 28 декабря 2025 года дела по ст. 13.11 КоАП рассматривают мировые судьи — это восстановленный порядок после ФЗ-508 от 28.12.2025. В период с 30 мая по 27 декабря 2025 года дела рассматривали арбитражные суды. Смена подсудности не влияет на размер санкций, но меняет процессуальный порядок: обжалование решений мировых судей происходит в районных судах, а не в апелляционных арбитражных инстанциях.

Итог

Кейс Аэрофлота — это публичный ориентир для крупных операторов ПДн, работающих в России. Он показывает, что инцидент масштаба 22 ТБ данных запускает одновременно уголовный трек по ст. 272 УК и административный по ст. 13.11 КоАП в редакции ФЗ-420. С 30.05.2025 цена молчания или промедления — от 11 до 18 млн ₽ при первичной утечке и от 20 до 500 млн ₽ при повторной. Единственные законные инструменты снижения — документация инвестиций в ИБ (ст. 4.1 КоАП) и оперативное уведомление РКН (ч. 3.1 ст. 21 ФЗ-152).

Практика DATUM по защите от штрафов по ст. 13.11 КоАП включает оспаривание протоколов и постановлений в мировых и арбитражных судах, применение ст. 4.1 и 4.1.1 КоАП, подготовку доказательной базы по инвестициям в ИБ и сопровождение взаимодействия с РКН с момента получения первого запроса.

ИБ

Игорь Беляев

Партнёр · РКН и арбитраж

Партнёр практики DATUM по взаимодействию с Роскомнадзором и арбитражной защите. Специализация — уведомления и проверки РКН, обжалование протоколов и постановлений по ст. 13.11 КоАП (в ред. ФЗ-420 от 30.11.2024), применение ст. 4.1 и ст. 4.1.1 КоАП, защита от оборотных штрафов с 30.05.2025.

4 июля 2027 года