Как суд назначил первые штрафы за масштабные утечки персданных

С 30 мая 2025 года в России значительно увеличили штрафы за нарушения закона о персональных данных. Изменения закреплены в статье 13.11 КоАП. При этом предусмотрена градация размера административного штрафа при утечке информации, содержащей персональные данные, в зависимости от количества субъектов персональных данных и (или) идентификаторов.

Суды начали рассматривать дела о привлечении операторов ПД к административной ответственности в связи утечкой информации, содержащей персданные клиентов.

Два таких случая рассматривались судами Москвы и Санкт-Петербурга (решения арбитражного суда г. Москвы от 05.03.2026 г. по делу № А40-351064/2025, арбитражного суда г. Санкт-Петербурга и Ленинградской области от 10.03.2026 г. по делу № А56-4733/2026).

В первом случае в свободном доступе в интернете оказалась база данных онлайн-школы, указывающая на ее принадлежность к организатору - ООО. База включала около 500 тыс. строк, содержащих персональные данные более 300 тыс. субъектов ПД, в том числе: фамилия, имя, номер телефона, адрес электронный почты, а также соответствующие комментарии (например, «бесплатный курс», «завершен», «Выполнено» и иные обозначения статусов взаимодействия с клиентами), а также корпоративные адреса электронных почт ООО.

При этом должностным лицом РКН был проведен осмотр принадлежащих юридическому лицу помещений, территорий и находящихся там вещей и документов, в ходе которого в информационной системы ООО был осуществлен выборочный поиск персональных данных, содержащихся в скомпрометированной базе данных, размещенной на сайте компании в интернете. Совпадения были установлены, как следствие, принадлежность оператору скомпрометированной базы данных подтвердилась.

Во втором случае база данных цифровой платформы инвестпроектов, содержащая 70 тыс. записей, была размещена в тг-канале. При этом предполагаемой причиной, повлекшей нарушение прав субъектов персональных данных, стала хакерская атака на информационные системы оператора.

Проверяющие привлекли компании к ответственности в первом случае по части 14 статьи 13.11 КоАП, во втором — по части 13 статьи 13.11 КоАП.

В данном случае ответственность предусмотрена за:

• неправомерную передачу (предоставление, распространение, доступ) информации, включающей персональные данные от 10 тыс. до 100 тыс. субъектов персональных данных или от 100 тыс.  до 1 млн идентификаторов, если эти действия (бездействие) не содержат признаков уголовно наказуемого деяния (ч. 13 ст. 13.11 КоАП);
• неправомерную передачу (предоставление, распространение, доступ) информации, включающей персональные данные более 100 тысяч субъектов персональных данных или более 1 млн миллиона идентификаторов, если эти действия (бездействие) не содержат признаков уголовно наказуемого деяния (ч. 14 ст. 13.11 КоАП).

Штрафы для юрлиц при этом составляют:

• от 5 до 10 млн руб. (ч. 13 ст. 13.11 КоАП);
• от 10 до 15 млн руб. (ч. 14 ст. 13.11 КоАП).

При назначении штрафов суды анализировали наличие таких оснований привлечения к административной ответственности как виновность компаний в утечке персданных и наличие срока давности для назначения наказания.

В первом случае суд отметил, что:

• согласно пункту 16.1 постановления Пленума ВАС от 02.06.2004 № 10 при рассмотрении дел об административных правонарушениях арбитражным судам следует учитывать, что понятие вины юридических лиц раскрывается в ч. 2 ст. 2.1 КоАП РФ. При этом, в отличие от физических лиц, в отношении юридических лиц КоАП РФ формы вины (ст. 2.2 КоАП РФ) не выделяет;
• доказательств того, что ответчиком были приняты все зависящие от него меры по соблюдению правил и норм, за нарушение которых КоАП предусмотрена административная ответственность, ответчиком не представлено;
• срок, предусмотренный частью 1 статьи 4.5 КоАП для привлечения ответчика к административной ответственности на дату принятия решения, не истек.

Таким образом, имелись все необходимые условия и достаточные для привлечения ответчика к административной ответственности на основании части 14 статьи 13.11 КоАП.

Во втором случае суд отметил, что доказательства невозможности соблюдения обществом требований законодательства в силу чрезвычайных событий и обстоятельств, которые оно не могло предвидеть и предотвратить, равно как и доказательства принятия необходимых и своевременных мер, направленных на недопущение правонарушения при соблюдении той степени заботливости и осмотрительности, которая от него требовалась, в материалы дела не было представлено. Это свидетельствовало о наличии вины общества во вменяемом правонарушении применительно к части 2 статьи 2.1 КоАП. При таких обстоятельствах, арбитры пришли к выводу о наличии в действиях общества состава административного правонарушения, ответственность за которое предусмотрена частью 13 статьи 13.11 КоАП.

При этом оба суда рассматривали возможность о замене штрафа на предупреждение.

В силу статьей 3.4 и 4.1.1 КоАП административное наказание в виде штрафа подлежит замене на предупреждение при одновременном соблюдении 2-х условий:

• административное правонарушение должно быть совершено впервые;
• отсутствии причинения вреда или возникновения угрозы причинения вреда жизни и здоровью людей, объектам животного и растительного мира, окружающей среде, объектам культурного наследия (памятникам истории и культуры) народов Российской Федерации, безопасности государства, угрозы чрезвычайных ситуаций природного и техногенного характера, а также при отсутствии имущественного ущерба.

В силу части 3 статьи 4.1 КоАП РФ при назначении административного наказания юридическому лицу учитываются характер совершенного им административного правонарушения, имущественное и финансовое положение юридического лица, обстоятельства, смягчающие административную ответственность, и обстоятельства, отягчающие административную ответственность.

Частью 3.5 статьи 4.1 КоАП определено, что административное наказание в виде предупреждения назначается в случаях, если оно предусмотрено соответствующей статьей раздела II КоАП.

Согласно статье 4.1.1 КоАП за впервые совершенное административное правонарушение, выявленное в ходе осуществления государственного контроля (надзора), муниципального контроля, в случаях, если назначение административного наказания в виде предупреждения не предусмотрено соответствующей статьей раздела II КоАП штраф подлежит замене на предупреждение при наличии обстоятельств, предусмотренных частью 2 статьи 3.4 КоАП.

Во втором случае, учитывая, что административное правонарушение было совершено впервые, суд г. Санкт-Петербурга посчитал возможным назначить обществу административное наказание в виде предупреждения.

Суд Москвы усмотрел все основания для назначения штрафа, но не для замены его на предупреждение.

В то же время было учтено иное обстоятельство — компания как микропредприятие была включена в реестр субъектов МСП.

Следовательно, при назначении штрафов следовало учитывать положения частей 1 и 2 статьи 4.1.2 КоАП.

Часть 1 статьи 4.1.2 КоАП устанавливает, что при определении наказания СОНКО и юрлицам, являющимся субъектами МСП и отнесенным к малым предприятиям (в том числе к микропредприятиям), штраф назначается в размере, предусмотренном санкцией соответствующей статьи (части статьи) раздела II КоАП как для ИП.

Правила назначения штрафа по ч. 2 ст. 4.1.2 КоАП применяются в случае, если санкцией статьи (части статьи) раздела II КоАП не предусмотрено назначение административного наказания в виде штрафа лицу, осуществляющему деятельность в качестве ИП.

В такой ситуации административный штраф для указанных субъектов назначается в одном из двух вариантов:

• от половины минимального размера до половины максимального размера штрафа, предусмотренного санкцией соответствующей статьи (части статьи) для юрлица.
• в размере половины штрафа, предусмотренного санкцией соответствующей статьи (части статьи) для юрлица, если санкция устанавливает фиксированный размер штрафа.

При этом положения статьи 4.1.2 КоАП не применяются при назначении штрафа за правонарушения, за совершение которых в соответствии со статьями раздела II КоАП ИП несут административную ответственность как юридические лица (ч. 4 ст. 4.1.2 КоАП).

Суд г. Москвы пришел к выводу, что общество, совершившее правонарушение впервые по части 14 статьи 13.11 КоАП, приравнивается к субъектам малого предпринимательства. Принимая во внимание изложенное, суд посчитал возможным применить к рассматриваемым правоотношениям положения статьи 4.1.2 КоАП при определении размера штрафа, подлежащего взысканию, и назначить наказание в виде штрафа в размере 400 тыс. рублей.