Разбираем сложные вопросы применения штрафов по ст. 13.11 КоАП РФ. Когда вместо штрафа можно отделаться предупреждением? В каких случаях штраф для организации окажется ниже предусмотренного в КоАП РФ (спойлер: если минимальный размер составляет 100 000 рублей и более, суд может снизить его, но не более чем вполовину)? Умножаются ли штрафы за несколько однотипных нарушений? Что считается повторным однородным нарушением и когда нарушение будет квалифицировано как длящееся? Каков срок давности, по истечении которого привлечение к ответственности будет незаконным? Какой суд рассматривает дела об оспаривании штрафов и куда подавать жалобу?
На примерах из судебной практики объясняем, кого из работников могут оштрафовать как должностное лицо – не только руководителя, но и ответственного за организацию обработки персональных данных, а также иных сотрудников. Когда накажут только организацию, когда только должностное лицо, а когда и того, и другого (с учетом ч. 4 ст. 2.1 КоАП РФ).
Когда вместо штрафа можно отделаться предупреждением
В ст. 13.11 «Нарушение законодательства Российской Федерации в области персональных данных» КоАП РФ предусмотрены только разные штрафы за нарушения – там нет такого варианта наказания, как предупреждение. Однако иногда включается общее правило замены административного штрафа на предупреждение, заложенное в ст. 4.1.1 КоАП РФ.
Фрагмент документа
Статья 4.1.1 «Замена административного наказания в виде административного штрафа предупреждением» КоАП РФ
1. За впервые совершенное административное правонарушение, выявленное в ходе осуществления государственного контроля (надзора), муниципального контроля, в случаях, если назначение административного наказания в виде предупреждения не предусмотрено соответствующей статьей раздела II настоящего Кодекса или закона субъекта Российской Федерации об административных правонарушениях, административное наказание в виде административного штрафа подлежит замене на предупреждение при наличии обстоятельств, предусмотренных частью 2 статьи 3.4 настоящего Кодекса, за исключением случаев, предусмотренных частью 2 настоящей статьи.
Итак, обстоятельства, при которых штраф за нарушения в области обработки персональных данных 1 может быть заменен на предупреждение, следующие:
- такое нарушение совершено впервые (это сказано в ч. 1 ст. 4.1.1);
- при этом отсутствуют (ч. 2 ст. 3.4):
- вред (или угроза вреда) жизни и здоровью людей, объектам животного и растительного мира, окружающей среде, объектам культурного наследия (памятникам истории и культуры) народов РФ, безопасности государства,
- угроза чрезвычайных ситуаций природного, техногенного характера;
- имущественный ущерб.
Например, штраф могут заменить предупреждением за такие «малотяжкие» правонарушения, как:
- задержка подачи в Роскомнадзор уведомления о начале обработки ПД;
- ситуация, когда согласие на обработку ПД оформлено, но не в виде отдельного документа (а вписано в иной документ), и др.
Если после получения предупреждения организация не устранит нарушение и не подаст уведомление об этом в Роскомнадзор, то штраф все-таки взыщут.
Когда штраф для организации окажется даже ниже написанного в КоАП РФ
Вы, наверное, заметили, что большинство штрафов за нарушения в работе с ПД в КоАП РФ указаны в виде вилки «от» и «до». Но есть исключительные случаи, когда штраф может быть даже ниже.
Дело в том, что при назначении административного наказания организации в виде штрафа учитываются (ч. 3 ст. 4.1):
- характер совершенного административного правонарушения;
- имущественное и финансовое положение организации;
- обстоятельства, смягчающие и отягчающие административную ответственность (ст. 4.2, 4.3).
Итак, штраф может быть менее минимального размера, предусмотренного соответствующей статьей кодекса:
-
если минимальный размер штрафа по ней составляет 100 000 рублей и более (ч. 3.2 ст. 4.1 КоАП РФ);
- при этом размер штрафа не может опуститься ниже половины его нижней планки, указанной в соответствующей статье КоАП РФ (ч. 3.3 ст. 4.1 КоАП РФ).
После существенного повышения штрафов за ошибки в работе с ПД
в ст. 13.11 КоАП РФ почти все штрафы для организаций начинают стартовать со 100 000 рублей или более высокой планки. Исключение составляют только 4 из 18 частей этой статьи: ч. 3, 4, 5, 6.
А вот самые грандиозные штрафы (в т.ч. % с годового оборота организации), предусмотренные за повторные нарушения, которые могут просто разорить компанию, содержатся в ч. 15 и 18 ст. 13.11 КоАП РФ – см. Таблицу.
Таблица. Санкции за повторную крупную утечку ПД (от 1000 субъектов ПД или от 10 000 идентификаторов 2), а также за повторную учетку биометрических ПД или ПД специальных категорий
Состав нарушения
(с указанием номера части
ст. 13.11 КоАП РФ) |
Размер штрафа |
для
граждан |
для ИП |
для должностных лиц |
для
организаций |
15. Нарушение ч. 12–14 лицом, ранее наказанным за нарушение ч. 12–14, 16–18 ст. 13.11 |
от 400 000 до 600 000 рублей |
от 1% до 3% от выручки за предыдущий календ. год, но не менее 20 000 000 и не более 500 000 000 рублей |
от 800 000 до 1 200 000 рублей |
от 1% до 3% от выручки за предыдущий календ. год,
но не менее 20 000 000 и не более 500 000 000 рублей |
18. Совершение административного правонарушения по ч. 16 или 17 ст. 13.11 лицом, подвергнутым наказанию по ч. 12–18 ст. 13.11 |
от 500 000 до 800 000 рублей |
от 1% до 3% от выручки за предыдущий календ. год,
но не менее 25 000 000 и не более 500 000 000 рублей |
от 1 500 000 до 2 000 000 рублей |
от 1% до 3% от выручки за предыдущий календ. год,
но не менее 25 000 000 и не более 500 000 000 рублей |
Видимо, поэтому за такие повторные нарушения ввели возможность уменьшать штрафы добросовестным организациям – назначать их в размере 1/10 минимального размера, но не менее 15 000 000 рублей и не более 50 000 000 рублей в случае выполнения организацией до момента вынесения постановления о наложении административного штрафа одновременно следующих условий (ч. 3.4-2 ст. 4.1 КоАП РФ):
- ежегодные расходы организации в течение 3 календарных лет, предшествующих году выявления правонарушения, на мероприятия по обеспечению информационной безопасности, проводимые имеющей лицензию компанией, составляли не менее 1/10% годового совокупного размера суммы выручки, полученной от реализации всех товаров (работ, услуг), либо размера собственных средств (капитала) кредитной организации;
- организация соблюдала требования к защите ПД при их обработке в информационных системах при условии документального подтверждения указанного факта, проведенного в течение 12 месяцев, предшествующих моменту выявления правонарушения;
- отсутствовали обстоятельства, отягчающие административную ответственность, которые предусмотрены примечанием 5 к ст. 13.11 КоАП РФ.
Поблажки есть и для субъектов малого и среднего предпринимательства 7, которые внесены в реестр МСП 8. При совершении нарушения в области обработки ПД впервые субъекты МСП получают предупреждение, а не штраф (ч. 3 ст. 3.4 КоАП РФ).
При назначении штрафа субъектам МСП, отнесенным к малым предприятиям, в т.ч. к микропредприятиям, его размер:
- будет равен размеру, назначаемому для индивидуальных предпринимателей 9 (ч. 1 ст. 4.1.2 КоАП РФ);
- если санкцией статьи не установлен штраф для ИП, то штраф, предусмотренный для такого предприятия, уменьшается на 50%, т.е. если он в статье КоАП РФ (ч. 2–3 ст. 4.1.2 КоАП РФ):
- фиксированный – то берется его половина;
- имеет вилку «от» и «до» – то на 50% уменьшаются его нижний и верхний пределы и уже в рамках этого уменьшенного диапазона судьи будут выбирать конкретный размер штрафа для малой организации.
При этом размер штрафа не может составлять менее минимального размера штрафа, предусмотренного этой статьей (ее частью) для должностного лица.
