Штраф за повторное нарушение 152-ФЗ: как рассчитывается и можно ли его оспорить

Когда компания уже сталкивалась с ответственностью за персональные данные и получает новое постановление, на кону обычно не только деньги. Репутация, отношения с контрагентами, доверие клиентов тоже под давлением. В законодательстве предусмотрен штраф за повторное нарушение 152-ФЗ, и его размер чаще всего выше, чем при первом эпизоде. Чтобы правильно оценить риски и перспективы защиты, важно понимать, как формируется состав правонарушения, по каким правилам считается повторность и в каких случаях удается опровергнуть саму квалификацию повторности либо снизить санкции.

Почему повторные нарушения персональных данных опасны для бизнеса

Роскомнадзор рассматривает обработку персональных данных системно. Если выявлено несоблюдение требований, регулятор запрашивает документы по нескольким направлениям: правовые основания обработки, уведомление в реестр операторов, локализация баз на территории РФ, безопасность ИСПДн, выполнение запросов субъектов. Повторность нарушения ПДн влечет не только увеличенный размер штрафа, но и повышенное внимание к процедурам компании. Ошибка, которую при первом эпизоде сочтут формальной, при втором нередко оценивается строже как подтверждение недостаточного контроля.

Для бизнеса это прямые издержки и косвенные последствия. Предписания об устранении нарушений требуют времени и ресурсов, а публикации о привлечении к ответственности могут осложнять переговоры и комплаенс-проверки со стороны партнеров. Особенно чувствительны к этому компании с большим массивом кадровых и клиентских данных, медицинские и образовательные организации, онлайн-сервисы.

Своевременное выстраивание процессов снижает вероятность претензий. В части постоянного сопровождения вопросов обработки и защиты данных помогает комплексный формат абонентского юридического обслуживания, когда регламент и документы обновляются без пауз между проверками.

Нормативная основа: 152-ФЗ, КоАП РФ и «повторность»

Обязанности оператора персональных данных закреплены в Федеральном законе № 152-ФЗ. Ключевые положения содержатся в статьях о принципах и основаниях обработки (ст. 5 и 6), о специальных категориях и биометрии (ст. 9 и 10), о трансграничной передаче (ст. 12), об обязанностях оператора (ст. 18.1), о мерах безопасности (ст. 19) и об уведомлении Роскомнадзора (ст. 22). Административная ответственность за несоблюдение этих требований установлена в ст. 13.11 КоАП РФ. В ней предусмотрены разные составы, а также отдельные части для случаев «совершения правонарушения повторно».

Понятие повторности для целей КоАП РФ опирается на два элемента. Во-первых, конкретная часть статьи должна прямо указывать, что повышенная санкция применяется при повторном совершении. Во-вторых, действует общий срок для признания повторности. По ст. 4.6 КоАП РФ лицо считается подвергнутым наказанию в течение одного года со дня исполнения постановления о назначении административного наказания, и в этот период новый схожий состав может квалифицироваться как повторный. Применяя это правило к персональным данным, суды и регулятор сверяют даты: когда вступило в силу и когда исполнено предыдущее постановление, а также к какой именно части ст. 13.11 относится новое событие.

Важно, что не любое новое выявленное несоответствие формально станет основанием для «повторного» состава. Сопоставляется тождественность состава, а также характер поведения. Например, если инкриминируется «длящееся» нарушение, то речь часто идет о едином акте правонарушения, и квалификация как повторного здесь неочевидна. Эта грань требует правового анализа по материалам конкретного дела.

Что такое штраф за повторное нарушение 152-ФЗ и откуда берутся суммы

Штраф за повторное нарушение 152-ФЗ назначается по частям ст. 13.11 КоАП РФ, в которых прямо закреплена повышенная ответственность при повторности. Диапазоны сумм в разных составах различаются. Увеличение санкции объясняется тем, что законодатель исходит из недостаточности предыдущих мер воздействия и стремится побудить оператора к корректировке процессов обработки и защиты данных.

Чтобы определить конкретный коридор санкции, правоприменитель отвечает на три вопроса. Первый: какой именно состав нарушен, поскольку в ст. 13.11 несколько самостоятельных норм, охватывающих, к примеру, отсутствие правового основания обработки, невыполнение обязанности уведомить Роскомнадзор, несоблюдение требований к локализации баз граждан РФ, игнорирование прав субъектов данных, недостаточные меры безопасности. Второй: подпадает ли событие под квалификацию «совершено повторно» и соблюден ли срок для признания повторности. Третий: есть ли смягчающие обстоятельства и доказательства добросовестности, влияющие на размер штрафа в пределах санкции.

В типичных кейсах штраф за повторное нарушение 152-ФЗ выглядит как повышенная планка по той же части статьи, по которой ранее компания уже наказывалась. Если же новое событие относится к иной части ст. 13.11, говорить о повторности нельзя, и применяется санкция «как за первичное» по соответствующему составу.

Отдельного внимания заслуживают случаи, где законодатель установил особенно жесткие последствия для повторной несоблюдения, к примеру по вопросам локализации баз. Здесь работает общий принцип: при повторном событии санкция ощутимо возрастает, а суды при назначении учитывают продолжительность нарушения, объем затронутых персональных данных и принятые меры на стороне оператора.

Как фиксируют повторность: эпизод, субъект, база данных, длящееся нарушение

Квалификация «повторно» всегда завязана на факты. Устанавливается, что:

• предыдущее постановление вступило в силу и исполнено, и с этой даты не истек годовой период по ст. 4.6 КоАП РФ;
• новое событие относится к той же части ст. 13.11, что и предыдущее;
• субъект ответственности тот же оператор, а не иная организация внутри группы компаний;
• нарушение не является продолжением одного и того же длящегося деяния, когда речь идет об одной неизменной ситуации без перерыва.

Именно на этих позициях строится как аргументация Роскомнадзора, так и возражения со стороны компании. Например, если новый протокол описывает события, которые фактически предшествовали вступлению в силу первого постановления, а регулятор просто выявил их позднее, оснований для повторной квалификации может не быть. Аналогично при изменении состава правонарушения: несоблюдение процедур согласия субъекта и, скажем, нарушение правил трансграничной передачи относятся к разным частям ст. 13.11, поэтому «повторность» не возникает.

Корректное установление дат критично. В материалах должны быть подтверждения, когда и как было исполнено первое постановление, к примеру платежные документы об уплате штрафа или сведения о выполнении предписания. От этого напрямую зависит, возможен ли штраф за повторное нарушение 152-ФЗ в конкретном деле.

Доказательства и документы при проверке и в суде

Правильный комплект документов — базис для защиты по персональным данным. На практике запрашиваются и оцениваются:

• локальные акты об обработке ПДн, политика конфиденциальности, порядок взаимодействия с субъектами и обработки обращений;
• основания обработки по ст. 6 152-ФЗ, формы согласий и фиксация их получения, правовые конструкции «договорных» и «законных интересов» там, где это уместно;
• уведомление в реестр операторов персональных данных и актуальность сведений, а также ответы на запросы Роскомнадзора;
• меры безопасности по ст. 19 152-ФЗ: приказы, назначение ответственного, модели угроз и уровни защищенности для ИСПДн, регламенты реагирования на инциденты;
• доказательства локализации баз граждан РФ на территории России, договоры и технические сведения по размещению данных;
• подтверждения исполнения ранее вынесенного постановления и предписания, включая дату оплаты штрафа и сообщения регулятору о выполненных мерах.

Если речь идет о споре в суде, то к протоколу и постановлению прилагают и анализируют служебные записки, переписку с Роскомнадзором, журнал инцидентов, скриншоты интерфейсов, логи сервисов, договоры с подрядчиками, которые допущены к обработке данных. В делах о повторности ценность имеют также документы о внутренних проверках и корректирующих мерах, проведенных после первой санкции. Они помогают показать, что у оператора не было намерения повторять нарушение, а допущенные несоответствия были устранены.

В кадровом контуре нагрузка по персональным данным особенно высока. Чтобы предупредить претензии регулятора, в том числе в части повторности, полезен разовый или регулярный кадровый аудит с проверкой трудовых договоров, локальных актов и процедур обработки персональных данных работников и кандидатов.

Оспаривание: когда возможно снизить или отменить штраф за повторное нарушение 152-ФЗ

Штраф за повторное нарушение 152-ФЗ подлежит проверке на всех стадиях. Сначала оценивается законность протокола и правильность квалификации по соответствующей части ст. 13.11. Затем анализируется, есть ли основания говорить о повторности с учетом срока для признания повторности. Если квалификация подтверждается, остается вопрос размера. В рамках санкции суд может назначить нижнюю границу и учесть смягчающие обстоятельства.

Смягчающими часто признаются добровольное и оперативное устранение нарушений, компенсационные меры для субъектов данных, отсутствие вредных последствий и активное содействие проверке. Если компания после первого постановления утвердила новые регламенты, провела обучение персонала, модернизировала ИСПДн и исправила процессы, это весомый аргумент и против самой повторной квалификации, и в пользу меньшего наказания.

Если речь о предписании Роскомнадзора (отдельно от протокола по КоАП), его можно обжаловать как ненормативный акт. В большинстве бизнес-кейсов компетентен арбитражный суд по правилам главы 24 АПК РФ. Общий срок — три месяца со дня, когда организация узнала или должна была узнать о нарушении своих прав предписанием. Одновременно со спором о предписании нередко идет и дело об административном правонарушении, где рассматривается штраф за повторное нарушение 152-ФЗ, однако процессуальные режимы этих дел различаются.

Порядок и сроки обжалования штраф за повторное нарушение 152-ФЗ

Постановление по делу об административном правонарушении обжалуется по главе 30 КоАП РФ. Срок подачи жалобы — десять суток со дня вручения или получения копии постановления. Если постановление вынес судья, жалоба направляется в вышестоящий суд. Если постановление вынесло должностное лицо, жалоба подается в районный суд по месту рассмотрения дела. В жалобе фокус на фактах и правовых доводах: отсутствие тождественности составов, истечение срока для признания повторности, неправильное определение периода длящегося нарушения, недоказанность состава и вины, несоразмерность санкции обстоятельствам дела.

Аргументы должны подтверждаться документами. Ключевые приложения: копия предыдущего постановления с отметками о вступлении в силу и исполнении, платежные документы по штрафу, материалы, подтверждающие устранение ранее выявленных нарушений, технические и правовые сведения, указывающие на иной состав события. Если удалось доказать расхождение по части ст. 13.11 или прерванный временной интервал (год истек), оспаривание повторного штрафа имеет реальные шансы на успех.

На что смотрят при назначении санкции и как обосновывается «вилка»

Даже когда квалификация «повторно» подтверждена, у суда есть пространство для выбора внутри санкции. Важны:

• длительность нарушения, его масштаб и количество затронутых субъектов данных;
• последствия для субъектов и факты обращения граждан с жалобами;
• действия по устранению нарушений после первого постановления и до второго протокола;
• уровень внедренных организационных и технических мер, реальность изменений в процессах, а не только формальные документы;
• наличие смягчающих по ст. 4.2 КоАП РФ и отсутствие отягчающих по ст. 4.3 КоАП РФ, помимо самой повторности.

В споре стоит отдельно разобрать, действительно ли компании вменяется тот же самый состав. Если первое дело касалось отсутствия уведомления в реестр, а второе — неисполнения прав субъекта данных, это разные части ст. 13.11. В такой ситуации штраф за повторное нарушение 152-ФЗ применяться не должен, что напрямую влияет на сумму.

Компании среднего и крупного масштаба часто выстраивают систему комплаенса по персональным данным как часть общей правовой функции бизнеса. Такой подход облегчает защиту в суде и снижает вероятность взысканий. В некоторых кейсах уместно подключать команду по общим юридическим услугам для бизнеса, если задача выходит за рамки только персональных данных и затрагивает ИТ, договоры с подрядчиками и корпоративное управление.

Какие ошибки чаще всего приводят к «повторному» составу

Анализ практики показывает, что многие случаи повторности возникают из-за того, что оператор устраняет нарушения частично либо формально. Например, политика обработки обновлена, но порядки взаимодействия с субъектами данных не изменились, сроки ответов не соблюдаются. Или локализация заявлена на бумаге, а по факту привлекаются иностранные сервисы хранения без корректных договоров и без гарантии размещения баз в России.

Еще одна типичная проблема — недооценка внутреннего контроля. Протоколы обучения сотрудников, актуализация ролей и доступов, аудит обработки у подрядчиков, методика фиксации согласий и логирование действий пользователей являются не просто «бумагами для проверки». Это основа доказательств добросовестности. Если компания предъявляет живую систему, а не шаблонные регламенты, вероятность, что штраф за повторное нарушение 152-ФЗ будет на верхней планке, снижается. В части кадровых процедур уязвимость создают устаревшие локальные акты, неунифицированные формы согласий и разрозненная практика хранения личных дел.

Элементы квалификации: что доказывает орган и чем отвечает оператор

Чтобы увидеть, как именно формируется вывод о повторности, удобно разложить ключевые элементы по сторонам процесса. Это помогает спланировать сбор доказательств и оценить перспективы. Ниже — краткая схема с опорой на устойчивые вопросы из деловой практики.

Элемент	Что доказывает орган	Чем отвечает компания
Состав по ст. 13.11 КоАП РФ	Наличие конкретного нарушения требований 152-ФЗ и его отнесение к нужной части статьи	Показывает иной состав, отсутствие события или вины, исправление до проверки
Повторность	Ранее было постановление по той же части и не истек год с момента исполнения	Иной состав, пропуск срока для признания повторности, длящееся нарушение без перерыва
Лицо, подлежащее ответственности	Именно этот оператор обрабатывал ПДн и несет обязанности	Отсутствие статуса оператора, обработка у независимого лица, договорные разграничения
Размер санкции	Обоснование выбора величины штрафа в пределах санкции	Смягчающие обстоятельства, принятые меры, минимизация последствий

При верном фокусе на фактах и нормах удается как исключить квалификацию «повторно», так и добиться меньшего наказания даже при подтвержденном составе. Если хотя бы по одному элементу у органа недоказанность, штраф за повторное нарушение 152-ФЗ назначаться не должен.

Как подготовиться к проверке и не довести ситуацию до «повторной»

Профилактика всегда дешевле и надежнее. Практически это означает инвентаризацию процессов, актуализацию правовых оснований, пересмотр договоров с подрядчиками, корректировку пользовательских соглашений и политик, обновление регламентов реагирования на инциденты. Для компаний с высокой интенсивностью обработки и регулярными релизами ИТ-систем работает цикличная модель: аудит — план мер — внедрение — повторная проверка. Она позволяет контролировать риски до появления претензий.

Своевременная реакция на запросы Роскомнадзора тоже снижает вероятность эскалации. Ответы должны быть точными, с приложением документов и технических подтверждений. Если в ходе первой проверки выявлены нарушения и предписание выполнено, это важно зафиксировать письменно. Иначе при следующем визите регулятор будет исходить из того, что несоответствия сохраняются, а значит, усиленная санкция закономерна.

Компании, где персональные данные затрагивают и клиентов, и сотрудников, обычно нуждаются в корректных, но удобных для работы шаблонах документов. Такой баланс проще поддерживать при регулярном внешнем сопровождении. В рамках юридического аутсорсинга удобнее обновлять формы согласий, порядок ответов субъектам, политику по cookies и договариваться с ИТ-службой о логике журналирования и хранения логов.

Практические акценты при защите в суде

В спорах по персональным данным техника защиты строится вокруг состава, повторности и размера. Важно ранжировать доводы. Сначала — квалификация. Если доказать, что новый эпизод относится к другой части ст. 13.11, штраф за повторное нарушение 152-ФЗ невозможен. Далее — временная рамка: когда исполнено первое постановление и вписывается ли новое событие в годичный промежуток. Третий слой — наличие длящегося нарушения и его хронология. И только затем переход к смягчающим обстоятельствам и обсуждению «вилки» санкции.

Есть смысл собирать и представлять суду фактические шаги по исправлению: распоряжения, платежные документы по приобретению лицензий для защиты ИСПДн, подтверждения локализации, новые формы согласий, изменения в пользовательских интерфейсах, обучение персонала. Это работает лучше общих заявлений о добросовестности. Если часть претензий утратила актуальность еще до привлечения к ответственности, суды учитывают это при оценке опасности деяния и назначении наказания.

При комплексных проектах по защите персональных данных удобно привлекать команду, которая закрывает и публично-правовые споры, и договорную часть, и ИТ-компонент. Это повышает управляемость процесса. Если одновременно идет спор по предписанию в арбитражном суде и обжалование постановления по КоАП, аргументы и доказательства должны быть согласованы, чтобы не возникло противоречий.

Повторим ключевое. Штраф за повторное нарушение 152-ФЗ применяется не автоматически. Он возможен, когда соблюдена тождественность составов, не истек срок для признания повторности и подтвержден статус оператора. В иных случаях правовая позиция строится на исключении повторной квалификации либо на смягчении наказания с учетом принятых мер. Если дело затрагивает кадровые процессы, удобнее готовить защиту вместе с теми, кто понимает нюансы трудового документооборота и внутреннего комплаенса, а при необходимости — подключать коллег по спорам.

Если вам нужна надежная команда юристов с большим практическим опытом, обращайтесь в ООО ЮК Шмелева и партнеры. Заявку можно оставить на сайте нашей юридической компании или позвонить по телефону 8 (800) 201 56 52. Отзывы о нашей работе можно посмотреть на Яндекс.Картах.