Проблемы эффективности административной ответственности за нарушения в области персональных данных и перспективы реформирования ст. 13.11 КоАП РФ

Введение

Цифровизация публично-властных решений и коммерческой деятельности привела к колоссальному увеличению объемов обрабатываемых персональных данных. В этих условиях проблема частых утечек информации о сотрудниках, пользователях и иных субъектах приобрела системный характер. Причина таких утечек нередко кроется не только в технологических уязвимостях, но и в несовершенстве системы юридической ответственности. Долгое время наиболее слабым элементом российского регулирования оставался размер административных штрафов за нарушения в сфере обработки персональных данных. Прежние санкции фактически не выполняли ни превентивной, ни карательной функции [6]. В связи с этим цель настоящего исследования заключается в анализе эволюции административной ответственности по ст. 13.11 КоАП РФ, оценке эффективности реформы 2025 года и разработке предложений по дальнейшему совершенствованию правового механизма противодействия утечкам данных.

В исследовании Д.С. Джурука, А.В. Коршунова и А.А. Пушечникова, говорится, что значительная часть операторов персональных данных относится к исполнению требований Федерального закона № 152-ФЗ формально, не обеспечивая их реального соблюдения. Авторы указывают, что за последние два года в России зафиксировано свыше 660 миллионов случаев утечки информации, и этот показатель указывает на недостаточную сдерживающую силу действовавших административных санкций [5].

Н.М. Альханов., Л.Р. Исипова в работе, указывают на сохраняющийся разрыв между формальным выполнением законодательных требований и их содержательной реализацией. Отдельно исследователи обращают внимание на низкий уровень технической защиты данных в сегменте малого и среднего бизнеса [1].

Материалы и методы исследований

В качестве основного материала в рамках настоящего исследования выступили положения Кодекса Российской Федерации об административных правонарушениях (в редакциях 2021 и 2025 гг.), Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», а также данные судебной практики и аналитические обзоры, приведенные в научных публикациях российских правоведов (М.В. Давыдовой, И.В. Игнатьевой, С.-У.С.-А. Возкаева, Ю.А. Гартиной и др.).

Методологическую основу исследования составили формально-юридический анализ норм административного законодательства, системное толкование положений, регулирующих ответственность операторов персональных данных, а также сравнительно-правовой метод, позволивший сопоставить отечественную модель санкций с подходами, применяемыми в зарубежных правопорядках (в частности, в странах Евросоюза и Республике Корея). Использование проблемно-ориентированного подхода позволило выявить правовые пробелы в конструкции оборотных штрафов и определить факторы, снижа ющие превентивное воздействие административной ответственности.

Результаты и обсуждения

Особую остроту проблема неэффективности санкций демонстрирует в деятельности крупных коммерческих компаний, выступающих операторами огромных массивов пользовательской информации. Как отмечают М.В. Давыдова и И.В. Игнатьева, компании особенно часто подвергаются кибератакам в последние годы. Однако часть предпринимателей исходит из прагматичного расчета: потенциальный штраф за утечку данных оказывается существенно меньше расходов на формирование надежной инфраструктуры информационной безопасности, в связи с чем нарушение требований законодательства воспринимается как допустимый экономический риск [4].

Показательным примером является инцидент утечки данных сервиса доставки «Яндекс Еда» в 2022 году. Мировой судья назначил компании административный штраф в размере 60 тысяч рублей, в то время как годовая выручка компании за 2022 год составляла около 521,7 миллиарда рублей. Штраф в 60 тысяч рублей составил приблизительно 0,0000115 процента от выручки, то есть долю, практически не ощутимую в финансовой структуре крупного бизнеса. В том же 2022 году произошла утечка персональных данных курьеров компании «Яндекс», и суд вновь ограничился штрафом в 60 тысяч рублей. При отсутствии должной экономической мотивации регулярная уплата подобных несущественных штрафов становится для бизнеса экономически выгоднее, чем создание комплексной системы защиты персональных данных.

Сравнительный анализ редакций ст. 13.11 КоАП РФ показывает заметное изменение подхода законодателя к данной проблеме. Как верно подмечает С.-У.С.-А. Возкаев, ранее применялись фиксированные и сравнительно небольшие штрафы, тогда как в новой редакции просматривается стремление связать размер ответственности с масштабом правонарушения и экономическими возможностями нарушителя [2].

В рамках реформы 2025 года базовые размеры штрафов для юридических лиц были увеличены в несколько раз (например, за обработку персональных данных без надлежащего согласия субъекта теперь назначается штраф до 700 тысяч рублей). Существенным нововведением стала дифференциация ответственности в зависимости от масштабов утечки. Если инцидент затрагивает данные ста тысяч и более человек, он квалифицируется по отдельной части статьи и может повлечь штраф до 15 миллионов рублей уже при первом нарушении. Также законодатель ввел оборотные штрафы за повторные правонарушения. При повторной крупной утечке санкция рассчитывается исходя из годовой выручки компании и составляет от одного до трех процентов данного показателя. При этом законодатель установил определенные пределы: минимальный размер такого штрафа составляет 20 миллионов рублей, а максимальный ограничен суммой в 500 миллионов рублей. Кроме того, введена ответственность за несообщение в Роскомнадзор о факте утечки (до 3 млн руб.), а также усилена ответственность за утечку чувствительных данных — о состоянии здоровья, расовой принадлежности (до 15 млн руб.), биометрических данных (до 20 млн руб.) [3].

В.М. Пискайкина и А.Г. Монетов, анализируя законодательные изменения в сфере административной ответственности за нарушения при обработке персональных данных, отмечают, что новые нормы существенно увеличили размер денежных взысканий и распространили свое действие на всех участников информационного взаимодействия. По мнению авторов, незаконное распространение персональных данных представляет значительно большую общественную опасность, чем их сбор, хранение или использование, однако дифференциация ответственности между этими деяниями остается недостаточно выраженной [8].

Однако, несмотря на очевидный прогресс, предложенная модель сохраняет серьезные изъяны, которые нивелируют превентивный эффект для крупнейших игроков рынка. Ограничение максимального размера оборотного штрафа суммой в 500 миллионов рублей существенно ослабляет саму идею процентной ответственности. Например, выручка компании «Яндекс» в 2025 году составила 1 441,1 миллиарда рублей. Даже максимально возможный штраф в данном случае составляет лишь около 0,035 процента от годовой выручки. Очевидно, что подобная санкция не способна оказать серьезного экономического воздействия на корпорации такого масштаба.

Д.Р. Мустаева в качестве одной из основных проблем выделяет зачастую невозможность идентификации злоумышленника, осуществившего несанкционированный доступ к персональным данным. Это порождает правовую ситуацию, при которой формальная ответственность возлагается на оператора, тогда как действительный виновник утечки остается вне досягаемости правоохранительных механизмов. Подобное расхождение между формальным адресатом санкции и реальным субъектом противоправного поведения снижает общую эффективность [7].

Самостоятельный пласт проблематики выявляет И.В. Смолькова, исследующая защиту персональных данных в уголовно-процессуальном контексте. отсутствии четкого законодательного и доктринального определения понятия персональных данных имеет общеотраслевое значение. Неопределенность базовых дефиниций создает препятствия для привлечения к ответственности, в том числе по статье 13.11 КоАП РФ, поскольку квалификация деяния становится предметом разногласий уже на стадии установления самого объекта правонарушения [10].

Зарубежная практика показывает, что во многих государствах (страны Евросоюза, Бразилия, Китай и др.) формируется устойчивая тенденция к использованию оборотных штрафов с высоким потолком. Примечателен опыт Южной Кореи. Корейское законодательство использует иной принцип расчета: при определении размера штрафа учитывается не выручка за один календарный год, а средний финансовый показатель за три предшествующих года. Данная конструкция позволяет сгладить влияние краткосрочных экономических колебаний и делает ответственность более устойчивой к временным рыночным изменениям. Примечательно, что в декабре 2025 года президент Южной Кореи Ли Чжэ Мен предложил пересмотреть действующий механизм и рассчитывать штраф исходя из года с максимальной выручкой в рамках трехлетнего периода, полагая, что усреднение показателей снижает превентивный эффект для компаний с колеблющейся прибылью. С нашей точки зрения, корейская модель, основанная на учете оборота за несколько лет, выглядит более сбалансированной и экономически оправданной, чем жесткая привязка к одному отчетному периоду.

С.С. Рудик и соавторы, сопоставляя российскую и европейскую модели регулирования, указывают, что в рамках GDPR предусмотрены штрафы, способные достигать 20 миллионов евро или 4 % от годового оборота компании. На фоне российских санкций, этот разрыв приобретает принципиальное значение для оценки достаточности действующих мер ответственности. Сопоставление масштабов взысканий наглядно обозначает направление необходимого реформирования статьи 13.11 КоАП РФ [9].

Заключение

Реформа ответственности за утечки персональных данных 2025 года является значительным шагом вперед, однако она сохраняет уязвимости в отношении крупнейших корпораций. Установленный законодательством верхний порог оборотного штрафа в 500 млн рублей возвращает систему к прежней логике, где санкция воспринимается как допустимая операционная издержка.

Для изменения ситуации необходимо внести дополнительные изменения в КоАП РФ. Во‑первых, учитывая зарубежный опыт (в частности, южнокорейский), следует рассчитывать оборотные штрафы исходя из среднего совокупного размера суммы выручки за три календарных года, предшествующих году совершения правонарушения. Во‑вторых, представляется обоснованным установить норму об отказе от верхнего предела (потолка) оборотного штрафа при повторных нарушениях, оставив лишь нижний предел в размере 20–25 миллионов рублей. В‑третьих, предлагаем изложить п. 15 и п. 18 ст. 13.11 КоАП РФ в новой редакции. Так, пункт 15 предлагается изложить следующим образом: «Влечет наложение административного штрафа на граждан в размере от четырехсот тысяч до шестисот тысяч рублей, на должностных лиц — от восьмисот тысяч до одного миллиона двухсот тысяч рублей, на юридических лиц — в размере от 5 до 10 процентов среднего совокупного размера суммы выручки, полученной от реализации всех товаров (работ, услуг), за три календарных года, предшествующих году, в котором было выявлено административное правонарушение. Для юридических лиц, осуществлявших деятельность менее трех лет, расчет производится за фактический период деятельности. Нижний предел штрафа устанавливается в размере не менее двадцати миллионов рублей. Верхний предел штрафа не ограничивается». Аналогичный подход с дифференциацией в зависимости от состава следует применить и к пункту 18. Реализация указанных мер позволит устранить сохраняющийся дисбаланс и сделает институт административной ответственности за утечки персональных данных реально действующим инструментом защиты прав граждан в эпоху цифровой экономики.