Найдено 7 нарушений на 4 млн рублей? Почему это не значит, что вам выпишут 4 млн
Марк Голдин, юрист ·
Отчёты некоторых сервисов выглядят так: «найдено 7 нарушений, суммарный риск 8 360 000 ₽». Цифра пугает, и на это она и рассчитана. Но так наказание не считают. Разбираем, что на самом деле говорит КоАП, когда правило «не складывается» работает, когда нет, и как оценить реальный риск.
Как считают калькуляторы
Возьмём типичный небольшой сайт с формой заявки и личным кабинетом. Проверка нашла семь пунктов, по каждому — статья и вилка штрафа для организации:
| Что нашли | Статья | Максимум для юрлица |
|---|---|---|
| Нет политики обработки данных | ч. 3 ст. 13.11 | 60 000 ₽ |
| Форма без согласия, где оно обязательно | ч. 2 ст. 13.11 | 700 000 ₽ |
| База заявок на зарубежном сервере | ч. 8 ст. 13.11 | 6 000 000 ₽ |
| Не подано уведомление в Роскомнадзор | ч. 10 ст. 13.11 | 300 000 ₽ |
| Счётчики без согласия на cookie | ч. 1 ст. 13.11 | 300 000 ₽ |
| Google Analytics без уведомления о трансграничной передаче | ч. 1 ст. 13.11 | 300 000 ₽ |
| Вход только через Google | ст. 13.55 | 700 000 ₽ |
| «Суммарный риск» по калькулятору | 8 360 000 ₽ | |
Выглядит убедительно. Но последняя строка — арифметика продавца, а не расчёт юриста.
Что говорит КоАП
Общее правило — часть 1 статьи 4.4 КоАП РФ: за каждое правонарушение назначается своё наказание. Но у этого правила прямо названы исключения, и для проверок они главные.
Часть 5 статьи 4.4. Если при проведении одного контрольного (надзорного) мероприятия выявлены два и более правонарушения, ответственность за которые предусмотрена одной и той же статьёй (частью статьи), наказание назначается как за одно правонарушение. Пять форм без согласия — это одно наказание по ч. 2 ст. 13.11, а не пять.
Часть 6 статьи 4.4. Если в одном контрольном мероприятии выявлены правонарушения по разным статьям или разным частям статьи, применяются правила частей 2–4: наказание назначается в пределах санкции, предусматривающей более строгое наказание, — при условии, что дела рассматривает один и тот же судья, орган или должностное лицо.
Как это выглядит на примере
Если все семь пунктов из таблицы выявлены в одной проверке и рассматриваются вместе, наказание назначат одно — в пределах самой строгой санкции. Здесь это ч. 8 ст. 13.11 (локализация): от 1 до 6 миллионов рублей. Не 8,36 миллиона, а одно наказание в пределах этой вилки. Остальные нарушения при этом не исчезают — их учтут при выборе суммы внутри вилки, и их всё равно нужно устранить.
А если сервер в России и база заявок тоже, самая строгая санкция в этом наборе — уже 700 тысяч рублей. Разница между «8 миллионов» и реальной картиной — в один пункт, который проверяется за минуту.
Когда суммы всё-таки могут сложиться
Правило не универсальное, и говорить «никогда не складываются» тоже нечестно:
- Разные проверки. Части 5 и 6 статьи 4.4 работают для нарушений, выявленных в ходе одного контрольного мероприятия. Нарушения, найденные в разное время, рассматриваются как отдельные дела.
- Проверка не в рамках госконтроля. Если дело возбуждено по итогам прокурорской проверки или жалобы без контрольного мероприятия, применение частей 5 и 6 зависит от суда.
- Разные органы. Если одно нарушение рассматривает суд, а другое — другой орган, правило «в пределах более строгой санкции» не применяется.
- Компания и директор. Штраф организации не освобождает от ответственности должностное лицо: директора или ответственного могут оштрафовать отдельно, по своей, заметно меньшей вилке.
- Исключения в самом КоАП. Кодекс прямо допускает случаи, когда за каждое нарушение в одной проверке назначается отдельное наказание.
Как тогда оценивать риск
- Найдите самый дорогой пункт. Обычно это локализация данных (сервер за рубежом) или утечка. Если его нет — риск на порядок ниже.
- Отделите «нарушение» от «требует проверки». Признак — это ещё не нарушение: зарубежный IP сайта не значит, что база за рубежом.
- Проверьте, может ли штраф быть заменён предупреждением. За первое нарушение без вреда, выявленное при госконтроле, это возможно — условия и исключения.
- Исправьте дешёвое сразу. Политика, галочка у формы, баннер cookie и уведомление в РКН закрываются за день — после этого остаётся гораздо меньше поводов для разговора.
Почему наш отчёт не показывает «итоговую сумму»
Потому что такой суммы не существует. В нашем отчёте у каждого пункта своя статья и своя вилка, а в шапке прямо написано, что складывать их нельзя. Это часть методики: мы не называем признак нарушением и не рисуем огромную красную цифру. Как это выглядит — в примере отчёта. Суммы по всем составам — в статье про штрафы за персональные данные.
Проверьте свой сайт — девять проверок по 152-ФЗ, полный отчёт бесплатно и без регистрации.