Статья 13.11 КоАП: разбор всех частей и сумм

Статья 13.11 КоАП РФ - это норма, по которой Роскомнадзор штрафует за нарушения в обработке персональных данных: от отсутствия политики на сайте до утечки базы клиентов. С 30 мая 2025 года она действует в новой редакции - поправки внес закон 420-ФЗ от 30 ноября 2024 года, и это не косметическая правка. Раньше вся статья умещалась в несколько строк с потолком штрафа для юридического лица в 75 тысяч рублей. Теперь в ней больше десятка самостоятельных частей, а за повторную крупную утечку сумму считают в процентах от годовой выручки компании, и она может доходить до 500 миллионов рублей.

Административная ответственность за ПДн в России почти вся сосредоточена именно в этой статье, поэтому любая проверка сайта или жалоба субъекта данных заканчивается ссылкой на нее. Дальше - по порядку: какие штрафы предусмотрены по 13.11 КоАП для каждой части, кто возбуждает дело и что делать, если протокол уже составлен.

Под действие статьи попадает любой оператор персональных данных - от самозанятого с личным сайтом до федеральной сети, и размер бизнеса влияет только на конкретную вилку штрафа внутри каждой части, а не на то, применяется ли она вообще.

Что изменилось в статье 13.11 КоАП РФ после 420-ФЗ

До реформы административная ответственность за ПДн выглядела формальностью: штраф для организации в среднем составлял 30-75 тысяч рублей, и для среднего бизнеса это было дешевле, чем нанимать специалиста и приводить сайт в порядок. Отсюда и привычка многих владельцев сайтов относиться к 152-ФЗ как к пункту, которым можно пренебречь.

Для бизнеса, который эти несколько лет действительно игнорировал 152-ФЗ, разница ощутима не в теории: штраф, который раньше можно было заплатить из кассы за один день и забыть, теперь способен перекрыть месячную выручку небольшого магазина. Это меняет и логику проверок - раньше некоторые компании сознательно выбирали заплатить штраф вместо доработки сайта, теперь такой расчет почти никогда не окупается.

Поправки изменили сам принцип. Для базовых нарушений - обработка без основания, обработка без согласия - штрафы для организаций выросли в разы, и добавлена повышенная ответственность за повторное нарушение в течение года после первого постановления. Для утечек данных ввели отдельную шкалу: чем больше пострадавших субъектов, тем выше штраф, и отдельный расчет от выручки компании, если утечка повторяется. Что именно меняет закон 420-ФЗ помимо самой статьи 13.11, разбирали в материале новые штрафы Роскомнадзора с 30 мая 2025 года.

С 1 сентября 2025 года по закону 156-ФЗ от 24 июня 2025 года добавилось еще одно требование: согласие на обработку персональных данных должно оформляться отдельным документом, а не строкой в договоре или в пользовательском соглашении. На часть 2 статьи 13.11 это влияет напрямую - штрафуют именно по ней, если форма согласия не соответствует этому требованию.

Часть 1 и 1.1: обработка без законного основания

Часть 1 применяется, когда компания обрабатывает персональные данные вообще без основания, предусмотренного законом, либо использует их не для той цели, для которой собирала. Пример из практики: интернет-магазин собрал телефон и адрес для доставки заказа, а потом передал базу партнеру для рекламной рассылки - это уже другая цель, и отдельное согласие на нее не спрашивали.

У самозанятого или мелкого ИП разница с крупным бизнесом обычно не в сути нарушения, а во внимательности: если вести базу клиентов в таблице и рассылать предложения без согласия на такую рассылку, часть 1 применяется точно так же - штраф просто меньше, потому что вилка для ИП ниже, чем для организации.

Штраф по части 1: для гражданина - предупреждение или небольшая сумма, для должностного лица - около 5-10 тысяч рублей, для ИП - от 50 до 100 тысяч, для организации - от 150 до 300 тысяч рублей. Если то же самое нарушение находят повторно в течение года после первого постановления, включается часть 1.1: штраф для организации вырастает до 300-500 тысяч рублей, а для ИП и должностных лиц тоже увеличивается, хотя и не так резко.

Логика с повторностью проходит через всю статью - и в частях про согласие, и в частях про утечки. Почему второй штраф в итоге оказывается в разы больше первого, разбирали в материале повторное нарушение ФЗ-152.

Часть 2 и 2.1: обработка без согласия субъекта

Часть 2 - самая частая на практике: обработка персональных данных без письменного согласия, когда оно обязательно, либо с нарушением требований к самому согласию - неполный состав сведений, нет отметки о сроке действия, нет способа отозвать согласие. После 156-ФЗ сюда же добавилась форма: согласие, зашитое в текст пользовательского соглашения без отдельного документа и отдельного действия пользователя, тоже считается нарушением этой части.

Суммы здесь выше, чем по части 1: для гражданина - 3-5 тысяч рублей, для должностного лица - 10-20 тысяч, для ИП - от 100 до 300 тысяч, для организации - от 300 до 700 тысяч рублей. При повторном нарушении в течение года штраф для ИП вырастает до 500 тысяч - 1 миллиона рублей, для организации - до 1-1,5 миллиона.

На практике часть 2 чаще всего ловят на формах на сайте: чекбокс без ссылки на текст согласия, форма обратной связи без отдельного согласия на обработку, всплывающее окно, которое можно закрыть крестиком и все равно попасть на сайт. У кадровика похожая история случается на бумаге: сотрудник заполняет анкету при приеме на работу, а отдельного листа согласия рядом нет - требование то же самое, что и для сайта. Обычно это техническая правка, а не смена бизнес-процесса, и закрывается она быстрее, чем кажется на первый взгляд.

Части 3-7: процедурные нарушения по мелочи

Дальше идет блок нарушений, которые касаются не самого факта обработки, а порядка: не опубликована политика обработки персональных данных на сайте, не предоставлены субъекту по его запросу сведения о том, как обрабатывают его данные, не выполнено в срок требование уточнить, заблокировать или уничтожить данные, нарушены условия сохранности при неавтоматизированной обработке - бумажные анкеты, журналы, папки с договорами.

Суммы здесь заметно скромнее, чем в первых двух частях: для граждан - от предупреждения до 2 тысяч рублей, для должностных лиц - от 3 до 10 тысяч, для ИП - от 5 до 30 тысяч, для организаций - примерно 15-90 тысяч рублей в зависимости от конкретного нарушения. На вид немного, но штрафуют по каждому эпизоду отдельно, и если инспектор находит сразу несколько нарушений на одном сайте - политику не опубликовали, а на запрос пользователя не ответили в срок, - суммы складываются.

У клиники с бумажными картами частая находка проверяющих - именно эта группа: карты лежат в общедоступном шкафу в регистратуре, а не в запираемом помещении, и это уже нарушение условий сохранности при неавтоматизированной обработке, даже если самой утечки данных не произошло.

У школы или детского сада похожая история чаще происходит с частью 4: родитель присылает запрос, какие данные ребенка хранит учреждение и откуда они взялись, а ответ уходит с опозданием или не по существу вопроса. Формально это тоже часть 4, а не часть 5, потому что запрос касался именно информации об обработке, а не требования удалить или исправить данные.

В статье есть еще несколько составов, которые касаются более редких для обычного сайта ситуаций - отдельных требований к хранению и к внутренним процедурам организации. Для владельца интернет-магазина или регионального сервиса они актуальны реже, чем части про согласие и про утечки, поэтому подробно не разбираем - сосредоточимся на том, с чем сталкиваются чаще всего.

Части 10-18: уведомления Роскомнадзора и утечки персональных данных

Уведомление о начале обработки

Часть 10 наказывает за то, что оператор не подал уведомление в Роскомнадзор о начале обработки персональных данных, когда оно требуется, либо подал его с опозданием или с неполными сведениями. Штраф для организации и для ИП - от 100 до 300 тысяч рублей. Значительная часть таких дел возникает не из-за умысла, а из-за того, что уведомление подавали много лет назад под старые сведения о компании и просто забыли обновить.

Уведомление обязательно не для всех - закон освобождает от него операторов, которые обрабатывают данные только своих сотрудников по трудовому договору, либо работают исключительно с данными, которые сами субъекты сделали общедоступными. На практике под освобождение подпадает меньше компаний, чем кажется на первый взгляд: у сайта с формой заявки, рассылкой или личным кабинетом обычно уже есть основания подавать уведомление, а не искать повод этого не делать.

Уведомление об утечке

Часть 11 - отдельная и куда более чувствительная история: неуведомление или несвоевременное уведомление Роскомнадзора об утечке персональных данных. Закон дает 24 часа на первое сообщение о самом факте утечки и до 72 часов на предоставление результатов внутреннего расследования. Пропустили срок - штраф для организации от 1 до 3 миллионов рублей, и это отдельно от штрафа за саму утечку по частям 12-14. Пошаговый план действий на первые 24 часа после обнаружения утечки разбирали в материале план реагирования на утечку ПДн.

Утечка по масштабу и по категориям данных

Здесь появляется шкала, которой раньше в статье не было вообще. Штраф за саму утечку зависит от того, сколько субъектов пострадало:

• от 1000 до 10000 человек - от 3 до 5 миллионов рублей для организации;
• от 10000 до 100000 человек - от 5 до 10 миллионов рублей;
• свыше 100000 человек - от 10 до 15 миллионов рублей.

Если в утекшей базе были специальные категории данных - здоровье, диагнозы, судимости - или биометрия, штраф считают по повышенной шкале: от 10 до 20 миллионов рублей, даже если формально объем данных меньше, чем в предыдущем пункте. Логика в том, что цена ошибки для субъекта здесь выше: утечка медицинской карты вредит человеку сильнее, чем утечка имени и телефона.

Оборотный штраф: когда сумму считают в процентах от выручки

Оборотный штраф - это не отдельная фиксированная сумма, а способ расчета, который включается при повторной крупной утечке в течение года после первого наказания по частям про масштаб или про спецкатегории. Вместо вилки в рублях суд определяет процент от годовой выручки компании за календарный год, предшествующий нарушению, - от 1 до 3%.

Дальше действуют ограничители с двух сторон: если 1-3% от выручки получается меньше 20 миллионов рублей, платить все равно придется не меньше 20 миллионов; если больше 500 миллионов - штраф срезают до этого потолка. Для утечки спецкатегорий или биометрии нижняя граница выше - от 25 миллионов рублей. Как выручку берут для расчета и что именно считается повторностью, разбирали в материале оборотные штрафы по ФЗ-152 в 2026 году.

Пример на цифрах: у регионального интернет-магазина выручка за прошлый год - 400 миллионов рублей. Три процента от этой суммы - 12 миллионов, что меньше минимальной планки в 20 миллионов, поэтому платить придется именно 20 миллионов, а не 12. Для компании с выручкой в 25 миллиардов те же три процента дадут 750 миллионов, но выше потолка в 500 миллионов штраф не поднимется.

Повторностью здесь считается не любая вторая утечка вообще, а вторая утечка того же типа в течение года после того, как постановление по первой вступило в законную силу. Если первая утечка была небольшой и попала под шкалу по масштабу, а вторая - крупнее или затронула специальные категории данных, оборотный штраф все равно применяется: закон смотрит на факт повторного нарушения этой группы составов, а не на точное совпадение суммы или числа пострадавших.

Таблица: штрафы по всем частям статьи 13.11 КоАП

Свести все суммы в одном месте удобнее, чем листать статью заново. В таблице - части, с которыми на практике сталкивается обычный бизнес: сайт, интернет-магазин, клиника, кадровая служба.

Часть	Нарушение	Граждане	Должностные лица	ИП	Организации
1	Обработка без законного основания или не по заявленной цели	предупреждение - 3 тыс руб	5-10 тыс руб	50-100 тыс руб	150-300 тыс руб
1.1	То же самое повторно в течение года	выше, чем по части 1	выше, чем по части 1	выше, чем по части 1	300-500 тыс руб
2	Обработка без согласия или с нарушением формы согласия	3-5 тыс руб	10-20 тыс руб	100-300 тыс руб	300-700 тыс руб
2.1	То же самое повторно в течение года	выше, чем по части 2	выше, чем по части 2	500 тыс - 1 млн руб	1-1,5 млн руб
3-7	Нет политики, нет ответа субъекту, не уточнили или не уничтожили данные по требованию, нарушена сохранность при неавтоматизированной обработке	предупреждение - 2 тыс руб	3-10 тыс руб	5-30 тыс руб	15-90 тыс руб
10	Не уведомили Роскомнадзор о начале обработки или уведомили с опозданием	-	-	100-300 тыс руб	100-300 тыс руб
11	Не уведомили Роскомнадзор об утечке в срок 24 или 72 часа	-	-	1-3 млн руб	1-3 млн руб
12-14	Утечка от 1000 до более чем 100000 субъектов - шкала по масштабу	-	-	3-15 млн руб	3-15 млн руб
16-18	Утечка специальных категорий данных или биометрии	-	-	10-20 млн руб	10-20 млн руб
15 и 18	Повторная утечка по частям 12-14 или 16-18 - оборотный штраф	-	-	1-3% выручки, не менее 20-25 млн, не более 500 млн	1-3% выручки, не менее 20-25 млн, не более 500 млн

Суммы приведены по нижним и верхним границам вилки без учета возможных корректировок конкретным постановлением - точную сумму по своему делу смотрите в самом протоколе или уточняйте в территориальном управлении.

Кто возбуждает дело и сколько есть времени на защиту

Дела по статье 13.11 ведет Роскомнадзор: протокол составляет должностное лицо территориального управления, а постановление о штрафе выносит либо руководитель этого управления, либо суд - в зависимости от суммы и тяжести состава. По общему правилу КоАП срок давности привлечения к ответственности - один год со дня совершения нарушения, статья 4.5 КоАП РФ. Если нарушение длящееся - например, сайт годами работает без опубликованной политики, - срок считают не с момента, когда все началось, а с момента, когда нарушение обнаружили и зафиксировали.

На практике это означает, что получение протокола не финал истории: постановление можно обжаловать в течение 10 суток с момента получения, и часть дел действительно разваливается на стадии обжалования - из-за процедурных ошибок самого РКН, недоказанности состава или неверно посчитанной суммы.

На практике инспекторы Роскомнадзора нередко используют предупреждение вместо штрафа при первом и явно небольшом нарушении - такая возможность прямо предусмотрена КоАП РФ для граждан и малого бизнеса при определенных условиях. Рассчитывать на это как на гарантию не стоит: решение остается на усмотрение инспектора или суда, а при повторном нарушении такой альтернативы уже не будет.

Когда за то же самое накажут не по КоАП, а по Уголовному кодексу

Административная ответственность по статье 13.11 - не потолок. Если утечка достаточно серьезна и в деле есть признаки, которые требуют уже уголовно-правовой квалификации, применяется статья 272.1 УК РФ - она появилась вместе с тем же пакетом поправок 420-ФЗ и действует с 30 мая 2025 года. Речь идет уже не о штрафе для компании, а о личной ответственности конкретных людей - тех, кто допустил утечку умышленно, продал базу третьим лицам или скрыл факт утечки, зная о ней.

Грань между административным и уголовным делом проходит не по сумме штрафа, а по составу: есть ли умысел, была ли база продана или передана за деньги, скрывали ли инцидент от Роскомнадзора сознательно. Для обычного бизнеса, который вовремя уведомил о случившемся и сотрудничает с проверкой, дело почти всегда остается в рамках КоАП. Кого и за что уже реально привлекали по этой статье, разбирали в материале уголовная ответственность за утечку персональных данных.

Что делать, чтобы не попасть под статью 13.11 КоАП: порядок действий

Универсального рецепта нет, но большинство штрафов по этой статье ловят не за экзотику, а за типовые пробелы, которые закрываются за одну-две недели работы:

• проверить, опубликована ли на сайте политика обработки персональных данных и совпадает ли она с тем, что сайт реально делает с данными;
• проверить формы на сайте - согласие должно быть отдельным документом с отдельной галочкой, а не строкой в пользовательском соглашении;
• убедиться, что в компании есть порядок ответа на запросы субъектов - уточнить, заблокировать, уничтожить данные, - и кто-то реально отвечает за это в срок;
• проверить, подано ли уведомление в Роскомнадзор о начале обработки, если оно требуется, и актуальны ли в нем сведения о компании;
• прописать план действий на случай утечки - кто и в какие часы уведомляет Роскомнадзор, чтобы не превратить саму утечку в отдельный штраф за молчание о ней.

На практике ревизия обычно занимает один день, а закрытие найденных пробелов - от нескольких дней до двух недель, в зависимости от того, сколько форм и документов нужно привести в порядок. Дороже и дольше всего обходится не составление документов, а их согласование с тем, что реально происходит на сайте и в CRM - именно здесь чаще всего находятся расхождения.

Большую часть перечисленного можно закрыть без юриста в штате: привести политику и формы согласия в соответствие с текущей редакцией закона, поправить формы на сайте и оформить документы можно как разовую работу. Такими доработками занимается 152fzpro.ru.