Статья 13.12 КоАП РФ регулирует административную ответственность за нарушения, связанные с защитой информации, за исключением сведений, составляющих государственную тайну. Данная норма относится к Главе 13 «Административные правонарушения в области связи и информации» и охватывает широкий спектр деяний – от нарушения условий лицензий до несоблюдения требований по защите биометрических персональных данных.

Содержание статьи 13.12

Статья 13.12 состоит из нескольких пунктов, каждый из которых описывает отдельный состав правонарушения. Ниже представлены основные положения в упрощённом виде.

1. Нарушение условий лицензии на осуществление деятельности в области защиты информации (за исключением информации, составляющей государственную тайну).
2. Нарушение требований к защите информации, установленным федеральными законами и иными нормативными актами, если такие действия не содержат уголовно наказуемого деяния.
3. Нарушение правил размещения и обработки биометрических персональных данных в государственных информационных системах (например, в ЕЙС – единой системе идентификации и аутентификации).
4. Нарушение требований к обеспечению безопасности критической информационной инфраструктуры РФ (статья 13.12.1, введённая в 2022‑м году);
5. Другие составы, предусмотренные отдельными нормативными актами (например, правила по использованию средств защиты информации, сертифицированных в соответствии с ГОСТ).

Краткое описание каждого пункта

• Пункт 1. Применяется к юридическим лицам, имеющим лицензию на работу в сфере защиты информации. Нарушение может проявляться в отсутствии обязательных процедур, несоблюдении технических требований или использовании несертифицированных средств защиты.
• Пункт 2. Охватывает все остальные случаи, когда организации (и отдельные лица) не соблюдают нормативные требования по защите информации (например, отсутствие системы контроля доступа, отсутствие резервного копирования, утечка данных).
• Пункт 3. Специфичен для биометрических данных. Нарушения включают неправомерный сбор, хранение, обработку или передачу биометрических персональных данных без надлежащего согласия и без соблюдения требований ФЗ «О персональных данных».
• Пункт 4 (13.12.1). Охватывает критическую информационную инфраструктуру (КИИ). Нарушения могут включать отсутствие обязательных мер кибербезопасности, несоблюдение требований ФСТЭК, отсутствие планов реагирования на инциденты.

Ответственность за нарушение

В зависимости от характера правонарушения и статуса правонарушителя (гражданин, должностное лицо, юридическое лицо) Штрафы различаются.

С 2024 года в рамках поправок, принятых Государственной Думой и подписанных Президентом РФ, максимальные размеры штрафов были увеличены, а также введена возможность временного отстранения от лицензирования при тяжких или повторных нарушениях.

Практика применения

Ниже представлены несколько типовых примеров из судебной практики (по данным КонсультантПлюс и Гарант).

• Дело № И‑2022/45‑22 – компания «ТехИнфо» получила штраф в размере 120 000 рублей за использование несертифицированных средств защиты при передаче персональных данных клиентов.
• Дело № И‑2023/12‑17 – руководитель отдела ИТ в муниципальном учреждении был оштрафован на 8 000 рублей за отсутствие резервного копирования критически важной базы данных, что привело к её потере в результате сбоя.
• Дело № И‑2025/03‑04 – мессенджер Signal был оштрафован на 600 000 рублей за отказ от исполнения обязательств по предоставлению технической информации в рамках расследования о нарушении требований к защите биометрических данных.

Последние изменения в законодательстве

С 2024 по 2026 годы в КоАП РФ внесены ряд поправок, направленных на ужесточение ответственности:

1. Увеличены максимальные штрафы для юридических лиц (до 500 000 рублей) и должностных лиц (до 50 000 рублей) за повторные нарушения.
2. Введена возможность временного приостановления лицензии на деятельность в сфере защиты информации (до 6 месяцев).
3. Расширены требования к защите биометрических данных, в т.ч. обязательное проведение оценки воздействия на защиту персональных данных (DPIA).
4. Установлен отдельный состав правонарушения (ст. 13.12.1) – нарушение требований к обеспечению безопасности критической информационной инфраструктуры.

Как избежать ответственности по ст. 13.12 КоАП РФ

Для организаций и физических лиц, работающих с информацией, рекомендуется соблюдать следующие практические меры:

• Проверка лицензий. Убедитесь, что все необходимые лицензии актуальны и соответствуют текущим требованиям ФСТЭК и Роскомнадзора.
• Внедрение системы управления информационной безопасностью (ISMS). Стандарты ISO/IEC 27001 позволяют формализовать процессы защиты информации.
• Регулярные аудиты и тесты на проникновение. Это поможет выявить уязвимости до того, как они станут предметом административного преследования.
• Обучение персонала. Проведение инструктажей по правилам обработки персональных и биометрических данных, а также по использованию средств защиты.
• Документирование. Вести журнал регистрации инцидентов, протоколы доступа к информационным ресурсам и планы реагирования на утечки.
• Сертификация средств защиты. Использовать только те программные и аппаратные средства, которые прошли обязательную сертификацию в соответствии с требованиями ФСТЭК.

Краткое резюме

Статья 13.12 КоАП РФ – ключевой инструмент административного контроля за соблюдением правил защиты информации в России. За последние годы норма претерпела существенные изменения, направленные на усиление ответственности за нарушения, особенно в области биометрических данных и критической информационной инфраструктуры. Комплексный подход к управлению информационной безопасностью, включающий лицензирование, сертификацию, обучение и регулярный аудит, позволяет минимизировать риски административных штрафов и репутационных потерь.

Дата актуализации статьи: (по состоянию на 12:19:28).