Юр. сопровождение защиты по ч. 12 от DATUM

Генеральный директор подписывает акт проверки Роскомнадзора или получает повестку к мировому судье — и только тогда узнаёт, что утечка базы клиентов месяцем ранее уже квалифицирована по ч. 12 ст. 13.11 КоАП. Штраф 3–5 млн ₽ — это не предел: при наличии предыдущего аналогичного нарушения суд переходит к ч. 15 с оборотным расчётом. В этом материале — структура состава ч. 12, логика смягчения, реальная практика применения ФЗ-420 и то, что даёт юридическое сопровождение с первого дня.

Что именно квалифицируется по ч. 12 ст. 13.11 КоАП?

Часть 12 ст. 13.11 КоАП фиксирует отдельный состав: утечка персональных данных, затронувшая от 1 000 до 10 000 субъектов, либо от 10 000 до 100 000 уникальных идентификаторов (телефон, email, СНИЛС, номер карты). Состав применяется независимо от категории данных — исключение составляют биометрические ПДн, которые при утечке квалифицируются по ч. 17 (15–20 млн ₽).

Важно: утечка по смыслу ФЗ-420 — это неправомерная или случайная передача, предоставление, распространение или иные неправомерные действия с ПДн (ч. 3.1 ст. 21 ФЗ-152). Сюда входят как внешние атаки, так и случайная публикация базы, инсайд сотрудника, утечка через подрядчика.

Диапазон «от 1 000 субъектов» — нижняя граница. Утечка 999 записей теоретически квалифицируется по ч. 1 ст. 13.11 (150–300 тыс. ₽). Разница в 10–15 раз делает вопрос подсчёта субъектов и идентификаторов стратегически важным уже на стадии административного расследования.

Какие штрафы действуют по ст. 13.11 КоАП с 30.05.2025?

ФЗ-420 от 30.11.2024 кардинально пересобрал структуру ст. 13.11. До 30.05.2025 статья содержала 7 частей с максимальным штрафом 500 тыс. ₽. После — 18 частей с диапазоном до 500 млн ₽ по оборотному составу.

Ключевые составы для операторов с утечками:

• Ч. 12 — утечка 1 000–10 000 субъектов: 3–5 млн ₽
• Ч. 13 — утечка 10 000–100 000 субъектов: 5–10 млн ₽
• Ч. 14 — утечка более 100 000 субъектов: 10–15 млн ₽
• Ч. 15 — оборотный при повторности по ч. 12–14: 1–3% совокупной годовой выручки, не менее 20 млн ₽, не более 500 млн ₽
• Ч. 11 — неуведомление РКН об утечке за 24 часа: 1–3 млн ₽
• Ч. 17 — утечка биометрических ПДн: 15–20 млн ₽

Параллельно действует ст. 272.1 УК РФ (введена ФЗ-421 от 30.11.2024, с 11.12.2024): незаконное использование, передача или хранение компьютерной информации с персональными данными — до 10 лет лишения свободы по ч. 5. Уголовная ответственность направлена на физических лиц — потенциально на руководителя или сотрудника ИБ.

Что такое оборотный штраф по ч. 15 и когда он применяется?

Часть 15 ст. 13.11 КоАП — это отдельный состав, который включается при повторности. Повторность означает, что лицо ранее привлекалось к ответственности по ч. 12, 13, 14, 16, 17, 18 или по самой ч. 15. Срок, в течение которого предыдущее постановление учитывается как повторность, — 1 год со дня вступления постановления в силу (ст. 4.6 КоАП).

Для компании с выручкой 1 млрд ₽ оборотный штраф составит 10–30 млн ₽, но не менее 20 млн ₽. Для компании с выручкой 5 млрд ₽ — 50–150 млн ₽. При этом 3% от выручки крупного ретейлера или банка легко пробивает потолок в 500 млн ₽ — суд назначает именно максимум.

Механизм снижения через ст. 4.1 КоАП — примечание 3.4-2: если оператор инвестировал в средства защиты информации не менее 0,1% совокупной выручки за последние 3 года, штраф по ч. 15 рассчитывается как 1/10 от нижней границы, но не менее 15 млн ₽ и не более 50 млн ₽. Это единственный инструмент снижения оборотного штрафа, закреплённый непосредственно в законе.

Когда применяется ст. 4.1.1 КоАП и можно ли заменить штраф на предупреждение?

Статья 4.1.1 КоАП позволяет заменить штраф предупреждением для субъектов малого и среднего предпринимательства при первичном нарушении, если не причинён вред охраняемым интересам. Ключевое ограничение — эта норма не применяется к ч. 15 и ч. 18 ст. 13.11 (оборотные составы).

К ч. 12 при первичном нарушении замена возможна. Условия: компания в реестре МСП, нет причинённого вреда жизни и здоровью, нет имущественного ущерба государству или третьим лицам. Судебная практика 2025–2026 годов показывает, что суды применяют ст. 4.1.1 избирательно — при документально подтверждённой оперативности уведомления РКН и принятых мерах устранения.

Как работает юридическое сопровождение защиты по ч. 12?

Сопровождение по ч. 12 ст. 13.11 — это не подача одного возражения. Это последовательная работа на четырёх стадиях: административное расследование, рассмотрение дела мировым судьёй, обжалование постановления, при необходимости — кассация.

На стадии расследования юрист влияет на методологию подсчёта субъектов. Разница между 999 и 1 000 записями — это разница между ч. 1 (150–300 тыс. ₽) и ч. 12 (3–5 млн ₽). Спор о том, что считать отдельным субъектом, а что — дублирующей записью, решается техническими экспертизами и правовой аргументацией уже на этапе составления протокола.

На стадии рассмотрения дела ключевая задача — формирование доказательной базы смягчающих обстоятельств: оперативность уведомления РКН, устранение уязвимости, компенсация пострадавшим субъектам, отсутствие умысла. Всё это напрямую влияет на то, назначит ли судья минимум (3 млн ₽) или максимум (5 млн ₽) диапазона.

Три типичных сценария для CEO: от протокола до постановления

Сценарий 1. Утечка через подрядчика, ответственность оператора. Компания передала базу клиентов маркетинговому агентству по договору поручения. Агентство допустило утечку 4 500 записей. РКН возбудил дело против оператора — основного юридического лица. Позиция «виноват подрядчик» не освобождает от ответственности: по установившейся практике ВС РФ, оператор отвечает за действия лица, осуществляющего обработку по его поручению. Стратегия — переключить квалификацию на минимум ч. 12 через смягчающие и добиться регресса с подрядчика в гражданском порядке.

Сценарий 2. Повторное нарушение и угроза ч. 15. Компания привлекалась по ч. 1 ст. 13.11 (старая редакция) в 2022 году и по ч. 12 в сентябре 2025 года. Новая утечка в июне 2026 года — 2 000 субъектов. Формально: предыдущее постановление по ч. 12 вступило в силу в ноябре 2025 года, срок повторности — до ноября 2026 года. Дело квалифицируется по ч. 15. Ключевая точка защиты — доказать инвестиции в ИБ ≥ 0,1% выручки за 3 года и применить примечание ст. 4.1 КоАП, снизив штраф с 20–60 млн ₽ до 15–50 млн ₽.

Сценарий 3. Первое нарушение, компания не в реестре МСП. Крупный интернет-ретейлер, выручка 3 млрд ₽, утечка 7 000 записей через уязвимость в API. РКН уведомлён в 19 часов от момента обнаружения — в рамках 24-часового срока. Ст. 4.1.1 КоАП не применяется (не МСП). Стратегия: минимум ч. 12 через смягчающие плюс досудебное соглашение по ст. 24.5 КоАП при наличии оснований. При выручке 3 млрд ₽ разница между минимумом (3 млн ₽) и максимумом (5 млн ₽) — 2 млн ₽, что сопоставимо с гонораром юриста.

Как применяется ч. 12 на практике: кейсы 2025–2026

Кейс 1 (Центральный ФО, осень 2025). IT-компания, утечка через подрядчика — база из 3 200 записей клиентов. РКН составил протокол по ч. 12 ст. 13.11. Компания уведомила РКН за 22 часа от обнаружения, представила отчёт за 68 часов. Мировой судья назначил штраф в нижней части диапазона с учётом оперативности уведомления и отсутствия умысла. Регрессный иск к подрядчику удовлетворён частично в гражданском порядке. ⚠️ Конкретный номер дела и точная сумма — менеджер уточняет при публикации.

Кейс 2 (Уральский ФО, начало 2026). Производственное предприятие (малый бизнес), утечка контактов 1 150 работников. Первичное нарушение. Юрист сформировал позицию по ст. 4.1.1 КоАП: подтверждён статус МСП, доказано отсутствие вреда субъектам, продемонстрированы оперативные меры устранения уязвимости. Мировой судья заменил штраф по ч. 12 (3–5 млн ₽) предупреждением. ⚠️ Конкретный номер дела — менеджер уточняет при публикации.

Услуги DATUM по теме

• Защита при штрафе в арбитраже — оспаривание протоколов и постановлений по ст. 13.11 КоАП, применение ст. 4.1 и 4.1.1
• Сопровождение проверок РКН — подготовка к проверке, представление интересов, обжалование предписаний
• Аудит соответствия 152-ФЗ — выявление уязвимостей до проверки, отчёт с приоритизированным планом

Частые вопросы

1. Какие штрафы по ст. 13.11 КоАП с 30.05.2025?

С 30.05.2025 ст. 13.11 КоАП насчитывает 18 частей в редакции ФЗ-420 от 30.11.2024. За утечку от 1 000 до 10 000 субъектов — ч. 12, штраф 3–5 млн ₽. За 10 000–100 000 субъектов — ч. 13, штраф 5–10 млн ₽. За более 100 000 субъектов — ч. 14, штраф 10–15 млн ₽. Неуведомление РКН об утечке за 24 часа — ч. 11, штраф 1–3 млн ₽. Дела рассматривают мировые судьи (с 28.12.2025 по ФЗ-508 от 28.12.2025).

2. Что такое оборотный штраф 1–3%?

Оборотный штраф установлен ч. 15 ст. 13.11 КоАП и применяется при повторном нарушении по ч. 12–14, 16–18 или ч. 15 в течение 1 года с момента вступления в силу предыдущего постановления. Размер — 1–3% совокупной выручки за предшествующий календарный год, но не менее 20 млн ₽ и не более 500 млн ₽. Быстрая уплата со скидкой 50% по ст. 32.2 КоАП к оборотному штрафу не применяется.

3. Когда применяется минимум 20 млн ₽?

Минимум 20 млн ₽ по ч. 15 ст. 13.11 применяется всегда, когда расчёт 1% от выручки даёт меньшую сумму. Например, при выручке 1,5 млрд ₽ расчётный 1% составляет 15 млн ₽ — суд назначит минимум 20 млн ₽. Снизить оборотный штраф можно через примечание к ст. 4.1 КоАП: при инвестициях в средства защиты информации не менее 0,1% выручки за 3 года штраф пересчитывается как 1/10 нижней границы, но не менее 15 млн ₽ и не более 50 млн ₽.

4. Можно ли заменить штраф по ч. 12 на предупреждение?

Замена штрафа предупреждением по ст. 4.1.1 КоАП возможна для субъектов МСП при первичном нарушении по ч. 12, если не причинён вред охраняемым интересам. Для нарушений по ч. 15 и ч. 18 (оборотные составы) замена предупреждением законом прямо исключена. Судебная практика 2025–2026 годов подтверждает: оперативное уведомление РКН за 24 часа и документальное подтверждение принятых мер существенно повышают шанс применения ст. 4.1.1.

5. Какая подсудность дел по ст. 13.11 после ФЗ-508?

С 30.05.2025 по 27.12.2025 дела по ст. 13.11 КоАП рассматривали арбитражные суды. ФЗ-508 от 28.12.2025 вернул подсудность мировым судьям — с 28.12.2025 именно они рассматривают дела по всем частям ст. 13.11, включая ч. 12 и оборотный состав ч. 15. Это влияет на выбор процессуальной тактики: мировые судьи имеют иную практику применения смягчающих, чем арбитражные суды.

Итог

Часть 12 ст. 13.11 КоАП — это штраф от 3 до 5 млн ₽ за утечку, которая в большинстве компаний происходит без умысла и часто через подрядчика. Диапазон широкий: разница между минимумом и максимумом зависит от того, насколько быстро и правильно выстроена позиция с момента обнаружения инцидента. При повторном нарушении включается ч. 15 с минимумом 20 млн ₽ — и здесь уже критична документация инвестиций в ИБ.

DATUM сопровождает дела по ч. 12 с момента административного расследования: оспаривает методологию подсчёта субъектов, применяет смягчающие обстоятельства по ст. 4.1 КоАП, добивается замены штрафа предупреждением для МСП по ст. 4.1.1, готовит документацию по инвестициям в ИБ для снижения оборотного штрафа.

13 января 2028 года