Внедрение института оборотных штрафов стало одним из самых значимых событий в российском административном праве последних лет. Данный механизм ответственности, заимствованный из международной практики (в частности, Генерального регламента ЕС по защите данных, GDPR), принципиально меняет подход к наказанию за серьезные нарушения: сумма штрафа больше не является фиксированной, а привязывается к финансовому потенциалу нарушителя — его годовой выручке.

Ниже представлен подробный обзор нормативной базы, правил расчета и сфер применения оборотных штрафов на 28 сентября 2026 года.

Сущность оборотного штрафа

Оборотный штраф, это административное наказание, размер которого определяется в процентах от выручки (оборота) юридического лица или индивидуального предпринимателя за определенный период, а не устанавливается в жестко фиксированной денежной сумме.

• Цель: обеспечить реальную превентивность наказания для крупных корпораций, для которых фиксированные штрафы (даже в миллионы рублей) не являются существенным финансовым бременем.
• Принцип справедливости: чем больше компания и чем выше ее доходы, тем более чувствительным должно быть наказание за системные нарушения.

Ключевое законодательное изменение 2024 года: Персональные данные

Законопроект № 502104-8 и Федеральный закон от

На протяжении 2024 года Госдума работала над законопроектом «О внесении изменений в Кодекс РФ об административных правонарушениях (в части усиления ответственности за нарушение порядка обработки персональных данных)». 30 ноября 2024 года закон подписан Президентом РФ и опубликован.

Статья 13.11 КоАП РФ (Часть 18) — Повторная утечка персональных данных

Главная новизна — введение части 18 статьи 13.11 КоАП РФ, устанавливающей оборотный штраф за повторное совершение административного правонарушения в сфере персональных данных (утечка ПД).

Важное уточнение: максимальный размер фиксированного штрафа за утечку (в иных частях ст. 13.11) составляет 15 млн руб. Оборотный штраф вступает в силу только при рецидиве, что делает его инструментом борьбы с системной небезопасностью, а не с разовыми инцидентами.

Методология расчета: Статья 3.5 КоАП РФ

Единые правила исчисления базы для оборотных штрафов закреплены в пункте 3 части 1 статьи 3.5 КоАП РФ. Данная норма введена для унификации подхода как в антимонопольном, так и в «персональном» законодательстве.

Период расчета выручки:

1. Основной вариант: выручка за календарный год, предшествующий году, в котором было выявлено административное правонарушение.
2. Альтернативный вариант: если на момент выявления нарушения не истек календарный год, предшествующий году выявления, берется выручка за предшествующую дате выявления часть календарного года.

Спорные моменты и судебная практика (на 2026 г.):

• Выручка всей группы или отдельного юрлица? В антимонопольном праве (ст. 14.31 КоАП РФ) установлено, что оборотный штраф зависит от выручки на соответствующем товарном рынке, а не от оборота всей группы компаний. По утечкам ПД (ст. 13.11) речь идет о выручке самого оператора, однако разъяснений по консолидированной отчетности пока не дано.
• Срок давности: Суды указывают, что при исчислении срока давности привлечения к ответственности законодатель исходил не из факта выявления правонарушения, а из момента его совершения/установления, что может создавать коллизии с периодом взятия выручки.

Антимонопольный контекст: Статья 14.31 КоАП РФ

До введения оборотных штрафов за ПД, данный институт давно успешно применялся в антимонопольном законодательстве.

Злоупотребление доминирующим положением (ч. 1 ст. 14.31 КоАП РФ)

• Основание: установление монопольно высоких/низких цен, отказ в заключении договора, установление неравных условий и др.
• Расчет: штраф составляет от 0,1% до 15% от выручки от реализации товара на соответствующем товарном рынке, где было совершено нарушение.
• Специфика: база расчета — не общий оборот компании, а выручка именно по тому продукту/рынку, где зафиксировано злоупотребление. Это ключевое отличие от штрафа за утечки ПД.

Международный опыт: GDPR как эталон

Как отмечает Александра Орехович, директор по правовым инициативам ФРИИ, данный вид ответственности напрямую заимствован из Генерального регламента ЕС по защите данных (GDPR, ст. 83).

• В ЕС штрафы могут достигать 2% или 4% от глобального годового оборота компании (в зависимости от тяжести нарушения).
• Российский законодатель пошел по пути мягче: верхний предел 3% (против 4% в ЕС) и жесткий абсолютный потолок в 500 млн руб. (в ЕС потолка в абсолютных цифрах нет).

Кто под ударом и как подготовиться (Чек-лист для бизнеса)

Оборотный штраф за ПД применяется ко всем операторам без исключения (крупный бизнес, СМСП, ИП). Единственное условие — повторность нарушения.

Пошаговые меры защиты для минимизации рисков:

1. Аудит текущего состояния: инвентаризация систем хранения ПД, оценка уязвимостей (пентестинг, сканирование).
2. Технические средства защиты (СЗИ): внедрение DLP-систем, шифрование баз данных, контроль доступа (RBAC/ABAC), SIEM/IRP для мониторинга инцидентов.
3. Организационные меры: утверждение локальных актов (Политика конфиденциальности, Регламент обработки ПД, Инструкция по инцидентам), назначение ответственного за обработку ПД.
4. Обучение персонала: регулярные тренинги по информационной безопасности, фишинг-тесты, ознакомление с регламентами под роспись.
5. Регистрация в Роскомнадзоре: своевременное уведомление об обработке ПД (для неисключенных категорий).
6. Регламент реагирования на инцидент: Критически важно: документ должен быть написан и согласован ЗАРАНЕЕ. В момент инцидента времени на составление процедур нет. Нужно четко знать: кто делает что за первые 15 минут, 1 час, 24 часа (уведомление Роскомнадзора, субъектов ПД, расследование, ликвидация последствий).
7. Страхование кибер-рисков: рассмотрение полиса, покрывающего расходы на расследование, уведомление, юристов и, потенциально, штрафы (где это допустимо законом).

Процедура обжалования и защита прав компании

Несмотря на строгость норм, у бизнеса есть процессуальные гарантии:

• Возражения работают до вынесения постановления: все аргументы, доказательства добросовестности, отсутствия вины или несоразмерности штрафа необходимо подать в ходе рассмотрения дела в Роскомнадзоре/ФАС или суде до принятия решения.
• Снижение размера штрафа: суд вправе назначить штраф ниже нижнего предела (20 млн руб. или 0,1%), если установят, что в силу исключительных обстоятельств назначение минимального штрафа несоразмерно тяжести правонарушения (ч. 1.1 ст. 3.5 КоАП РФ).
• Доказательство отсутствия повторности: ключевая линия защиты — доказать, что текущее нарушение не является повторным (например, предыдущее дело закрыто, не вступило в силу, или нарушение иного характера);

Резюме: Что изменилось к 2026 году

и готовность к инциденту до его наступления.

Статья подготовлена на основе открытых нормативных актов (КоАП РФ, ФЗ от ), материалов Госдумы, комментариев экспертов ФРИИ и судебной практики на . Данная информация носит справочный характер и не является правовым консультированием.