Четвертый арбитражный апелляционный суд
            улица Ленина, дом 145, Чита, 672007, http ://4 aas. arbitr. ru

                                    П О С Т А Н О В Л Е Н И Е

г. Чита                                                             Дело № А19-25808/2025

Резолютивная часть постановления объявлена 11 августа 2026 года.
Постановление в полном объеме изготовлено 14 августа 2026 года.

Четвертый арбитражный апелляционный суд в составе:
председательствующего судьи Басаева Д.В.,
судей Сидоренко В.А., Галицкой А.А.,
при ведении протокола судебного заседания секретарем судебного заседания Черкашиной С.Л.,
при участии в судебном заседании представителей общества с ограниченной
ответственностью «Орион Телеком» ФИО(доверенность от 19.01.2026),
Управления Федеральной службы по надзору в сфере связи, информационных технологий
и массовых коммуникаций по Иркутской области ФИО1 (доверенность от 17.10.2025),
рассмотрев в открытом судебном заседании с использованием систем вебконференции информационной системы «Картотека арбитражных дел» (онлайн заседание) апелляционную жалобу общества с ограниченной ответственностью «Орион
Телеком» на решение Арбитражного суда Иркутской области от 12 мая 2026 года по делу № А19-25808/2025,
                                               установил:
28.10.2025 в Арбитражный суд Иркутской области из Кировского районного суда г.Иркутска по подсудности поступило дело по заявлению Управления Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Иркутской области (ОГРН 1043801026500, ИНН 3808108956, далее - Управление Роскомнадзора по Иркутской области, Управление) о привлечении к административной ответственности общества с ограниченной ответственностью «Орион Телеком» (ОГРН 1122468002898, ИНН 2466247790, далее - ответчик, ООО «Орион Телеком», общество) по части 13 статьи 13.11 Кодекса Российской Федерации об административных правонарушениях (далее – КоАП РФ).
 Решением Арбитражного суда Иркутской области от 12 мая 2026 года по делу №А19-25808/2025 ООО «Орион Телеком» привлечено к административной ответственности, предусмотренной ч. 13 ст. 13.11 КоАП РФ, с назначением наказания в виде предупреждения.
 Ответчик обратился в суд с апелляционной жалобой, в которой просит отменить обжалуемый судебный акт по мотивам, изложенным в жалобе.
В обоснование апелляционной жалобы Общество приводит доводы о том, что обжалуемое решение вынесено ненадлежащим судом. В судебном заседании ответчиком было заявлено ходатайство о передаче дела по подсудности. Судом отказано в удовлетворении заявленного ходатайства, при этом судом был отдан приоритет нормам процессуального права (Арбитражный процессуальный кодекс), а не нормам Конституции России о праве на рассмотрение дела судом, к подсудности которого дело отнесено законом. Закон отнес рассмотрение дел по статье 13.11 КоАП РФ к исключительной подсудности судов общей юрисдикции. Суд ограничил право ответчика на защиту, отказав в удовлетворении ходатайства о назначении по делу судебной экспертизы, а также привлечения специалистов в сфере связи и компьютерных технологий. При этом ответчик предпринимал меры для экономии процессуальных сроков и направлял предварительные запросы в экспертные организации и предложил список специалистов. Таким образом, нарушены принцип состязательности в арбитражном процессе (статья 9 Арбитражного процессуального кодекса РФ). Судом не дана правовая оценка имеющимся по делу доказательствам в контексте статьи 49 Конституции Российской Федерации. А именно, не учтен тот факт, что обвиняемый не обязан доказывать свою невиновность, а неустранимые сомнения в виновности лица толкуются в его пользу. Кроме того, требуют оценки имеющиеся в деле доказательства с точки зрения статьи 51 Конституции Российской Федерации. Вынесение решения исключительно на основе представленных ответчиком сведений, не подтвержденных иными доказательствами по делу, является недопустимым, особенно в условиях, когда сообщенные ранее сведения не были подтверждены ответчиком в судебном заседании.
 В дополнении к апелляционной жалобе Общество указывает, что Арбитражным судом Иркутской области была неправильно дана квалификация деяния в части действия закона во времени (статья 1.7 КоАП РФ). Суд первой инстанции квалифицировал действия Общества по части 13 статьи 13.11 КоАП РФ (в редакции Федерального закона от 30.11.2024 № 420-ФЗ). Данная норма вступила в силу 30 мая 2025 года. Однако, согласно представленным материалам дела, а именно отчету ООО «БИЗон» о расследовании инцидента в инфраструктуре ООО «Орион телеком» от 16.07.2025, следует, что самая ранняя активность злоумышленников на сервере barcode (использовался для сканирования бумажных документов и имел сетевую связанность как с внешними сетями, так и с внутренней инфраструктурой) атакующие скомпрометировали этот сервер 30.05.2025, зайдя с него с использованием учетной записи, принадлежащей работнику, уволенному в 2022 году. При вынесении решения Арбитражным судом Иркутской области не был принят во внимание отчет об анализе файлов с данными абонентов ООО «Орион телеком», выполненный ООО «БИЗон» от 20.01.2026, согласно которому наиболее поздняя дата и время создания записи о субъекте персональных данных – 24.05.2025 в 09 часов 25 минут, то есть до 30.05.2025 года. Представленными материалами установлено, что следующее изменение в базе хранения данных субъектов персональных данных было осуществлено 26.05.2025 в 07:57, когда был заведен новый абонент id 6344802, данные о котором отсутствуют в опубликованном в сети интернет файле. Согласно правовой позиции Верховного Суда РФ и сложившейся арбитражной практике, противоправное деяние считается оконченным в момент нарушения установленного режима (неправомерного доступа), а не в момент последующей публикации данных третьими лицами в сети Интернет. В соответствии с частями 1 и 2 статьи 1.7 КоАП РФ лицо подлежит ответственности на основании закона, действовавшего во время совершения административного правонарушения. Поскольку на дату несанкционированного доступа в период с 16:25 24.05.2025 до 07:57 26.05.2025 часть 13 в статье 13.11 КоАП РФ отсутствовала, ее применение судом недопустимо. Действия Общества могли быть квалифицированы исключительно по части 1 статьи 13.11 КоАП РФ в редакции, действовавшей на момент инцидента. Кроме того, Общество указывает, что по факту утечки персональных данных абонентов от всех обществ группы компаний были поданы уведомления в региональные управления. На сегодняшний день в Арбитражном суде Красноярского края рассмотрены материалы по факту совершения операторами связи административного правонарушения, предусмотренного частью 13 статьи 13.11 КоАП РФ, по которым суд переквалифицировал действия указанных операторов связи с части 13 на часть 1 статьи 13.11 КоАП РФ. Судами принято во внимание, что распространение данных хакерами группировки ВО Team в Telegram-канале является следствием ранее совершенного несанкционированного доступа в период с 16:25 24.05.2025 до 07:57 26.05.2025, а значит, применению подлежит закон, действовавший во время совершения первоначального нарушения. Общество также указывает, что причиной компрометации базы данных стала целенаправленная кибератака со стороны профессиональной группировки ВО Team. Обществом приняты все зависящие от него меры организационного и технического характера, предусмотренные статьями 18.1 и 19 Федерального закона № 152-ФЗ «О персональных данных»: утверждена модель угроз, внедрена сертифицированная система защиты информации класса КЗ, проводится регулярный аудит. Предотвратить атаку такого уровня сложности путем использования стандартных средств защиты объективно невозможно.
 Управление Роскомнадзора по Иркутской области в отзыве с доводами жалобы не согласилось.
 Кроме того, в дополнении к отзыву на апелляционную жалобу Управление указывает, что санкцией части 13 статьи 13.11 КоАП РФ не предусмотрено административное наказание в виде предупреждения. С учетом установленных по делу обстоятельств, а также доказанного факта нарушения прав субъектов персональных данных вследствие действия (бездействия) ООО «ОРИОН ТЕЛЕКОМ», за совершение административного правонарушения, предусмотренного частью 13 статьи 13.11 КоАП РФ, ООО «ОРИОН ТЕЛЕКОМ» должно было быть назначено административное наказание в виде административного штрафа. В связи с этим Управление просит изменить решение Арбитражного суда Иркутской области по делу № А19-25808/2025 в части назначенного административного наказания.
 Определением Четвертого арбитражного апелляционного суда от 30 июня 2026 года судебное разбирательство отложено на 11 час. 00 мин. 21 июля 2026 года.
 Определением Четвертого арбитражного апелляционного суда от 21 июля 2026 года, с учетом определения от 28 июля 2026 года об опечатке, судебное разбирательство отложено на 11 час. 00 мин. 11 августа 2026 года.
 Определением Четвертого арбитражного апелляционного суда от 28 июля 2026 года произведена замена судьи Будаевой Е.А. на судью Сидоренко В.А.
 Определением Четвертого арбитражного апелляционного суда от 07 августа 2026 года произведена замена судьи Леонтьева И.В. на судью Галицкую А.А.
 Информация о времени и месте судебного заседания по апелляционной жалобе размещена на официальном сайте апелляционного суда в сети «Интернет» 03.06.2026, 01.07.2026, 22.07.2026, 29.07.2026. Таким образом, о месте и времени судебного заседания лица, участвующие в деле, извещены надлежащим образом в порядке, предусмотренном главой 12 Арбитражного процессуального кодекса Российской Федерации (далее - АПК РФ).
 Дело рассматривается в порядке, предусмотренном главой 34 АПК РФ.
 Изучив материалы дела, доводы апелляционной жалобы, дополнения к
апелляционной жалобе, отзыва на жалобу, дополнений к отзыву на жалобу, заслушав пояснения представителей общества и Управления, проверив соблюдение судом первой инстанции норм материального и процессуального права, суд апелляционной инстанции приходит к следующим выводам.
 Как следует из материалов дела и установлено судом первой инстанции, ООО «Орион Телеком» зарегистрировано в качестве юридического лица за основным государственным регистрационным номером 1122468002898. Общество осуществляет деятельность в области связи на базе проводных технологий, имеет действующие лицензии на услуги связи. Общество включено в реестр субъектов малого и среднего предпринимательства 10.08.2018.
 В Управление Роскомнадзора по Иркутской области 11.07.2025 поступило письмо Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций от 10.07.2025 №08-318178, содержащее информацию о признаках неправомерной или случайной передачи Обществом персональных данных, повлекшей
нарушение прав субъектов персональных данных, в объеме: фамилия, имя, отчество, серия и номер паспорта, дата рождения, адрес, номер телефона.
 14.06.2025 на основании пункта 1 части 3.1 статьи 21 Закона № 152-ФЗ в Роскомнадзор поступило уведомление о факте неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов персональных данных, от ООО «Орион Телеком». Уведомление об инциденте сформировано Оператором на портале Роскомнадзора (направлено 13.06.2025 в 07 ч. 33 мин., присвоен номер 9614382, ключ 12202361), из которого следует, что в результате DDOS-атаки неустановленных лиц на инфраструктуру Оператора, произошедшей 12.06.2025 в 01:13, были нарушены права субъектов персональных данных, обрабатываемых Оператором. Характеристики персональных данных: фамилия, имя, отчество, серия/номер паспорта, дата рождения, адрес. Количество скомпрометированных строк – 25 065.
 14.06.2025 согласно пункту 2 части 3.1 статьи 21 Закона № 152-ФЗ от Оператора в Роскомнадзор поступило Уведомление об инциденте (направлено 14.06.2025 в 16 ч.35 мин., присвоен номер 9618022, ключ 15357912), содержащее результаты внутреннего расследования выявленного инцидента. Согласно представленной информации дата и время выявления инцидента: 12.06.2025 01:13. Причиной, повлекшей нарушение прав субъектов персональных данных, является то, что в результате атаки злоумышленники получили доступ к сетевому оборудованию, физическим серверам и виртуальной инфраструктуре. Первоначальная точка проникновения и информация по используемым тактикам/техникам атакующих на момент подачи Уведомления об инциденте от 14.06.2025 неизвестны, происходит восстановление инфраструктуры, расследование инцидента продолжается. Сведения о лицах, действия которых стали причиной выявленного инцидента, не известны. Характеристики персональных данных: фамилия, имя, отчество, серия/номер паспорта, дата рождения, адрес. Количество скомпрометированных строк – 25 065.
 30.07.2025 Оператором направлено в Роскомнадзор Уведомление об инциденте (сформировано на портале Роскомнадзора, направлено 30.07.2025 в 15 ч. 05 мин., присвоен номер 9804438, ключ 68689975), согласно которому ранее скомпрометированные данные были выложены в открытый доступ. Предполагаемый вред, нанесенный правам субъектов персональных данных: утечка персональных данных,
неправомерное использование, незаконный доступ, распространение. Характеристики персональных данных: данные абонентов (фамилия, имя, отчество, номер телефона, данные документов, удостоверяющих личность). Количество скомпрометированных строк – 25065.
 01.08.2025 Оператором направлено в Роскомнадзор Уведомление об инциденте (сформировано на портале Роскомнадзора, направлено 01.08.2025 в 13 ч. 19 мин., присвоен номер 9810571, ключ 14252523), согласно которому им был установлен факт того, что ранее скомпрометированные данные были выложены в открытый доступ, дату и время выявления в открытом доступе скомпрометированной информации Оператор указал 29.07.2025 в 21.55. Характеристики персональных данных – данные абонентов (ФИО, номер телефона, данные документов, удостоверяющих личность) 25065 записей.
 В результате указанных действий база данных Оператора, содержащая
персональные данные, распространена неустановленными лицами 29.07.2025 на сайте в сети Интернет по адресу: https://t.me/BO_Team_UA/.
 Для выяснения всех обстоятельств административного правонарушения главным специалистом-экспертом отдела по защите прав субъектов персональных данных Управления вынесено определение от 28.07.2025 № 10695-05/38 о возбуждении дела об
административном правонарушении, предусмотренного частью 13 статьи 13.11 КоАП РФ, и проведении административного расследования.
 В рамках проведения административного расследования вынесены определения от 28.07.2025 № 10700-05/38 и от 15.08.2025 № 11697-05/38 об истребовании следующих сведений, необходимых для выяснения всех обстоятельств административного правонарушения: сведения о содержании баз данных, с использованием которых Оператором осуществляется обработка персональных данных; сведения об информационных системах персональных данных Оператора; сведения о содержании базы данных (ее части) Оператора, содержащей обрабатываемые Оператором персональные данные и ставшей доступной неограниченному кругу лиц в результате неправомерного доступа и последующего распространения персональных данных;
сведения о результатах внутреннего расследования, проведенного Оператором, по факту выявленного неправомерного доступа и последующего распространения персональных данных; выгрузка базы данных (ее части) Оператора, содержащей персональные данные и ставшей доступной неограниченному кругу лиц.
 Письмами ООО «Орион Телеком» от 07.08.2025 № ИСХ-ОТ790-2025-000071 и от 29.08.2025 № ИСХ-ОТ790-2025-000075 на определения об истребовании сведений от 28.07.2025 №10700-05/38 и от 15.08.2025 № 11697-05/38 представлена запрашиваемая информация.
 Письмом Оператора от 29.08.2025 №ИСХ-ОТ790-2025-000075 представлена информация об использовании базы данных – сервис «Abonents», которая является частью Billing-системы, зарегистрированной в Реестре программ для ЭВМ 03.06.2021 за №2021618001. В указанной базе данных хранятся персональные данные: фамилия, имя, отчество абонента либо представителя контрагента, дата рождения, место рождения, данные документа, удостоверяющего личность, номер телефона, адрес электронной почты, адрес регистрации. В базе данных хранятся и обрабатываются персональные данные 36544 субъектов персональных данных. В скомпрометированной базе данных содержится 552 445 уникальных строк, из которых 36544 принадлежат физическим лицам и являются персональными данными абонентов ООО «Орион Телеком».
 Оператором письмами от 07.08.2025 № ИСХ-ОТ790-2025-000071 и от 29.08.2025 №ИСХ-ОТ790-2025-000075 подтвержден факт неправомерного доступа к базе данных – сервису «Abonents», которая является частью Billing-системы, зарегистрированной в Реестре программ для ЭВМ 03.06.2021 за № 2021618001, в результате которого
неограниченному кругу лиц стали доступны персональные данные 36544 субъектов персональных данных абонентов ООО «Орион Телеком» без соответствующих правовых оснований.
 Таким образом, в результате проведения административного расследования установлен факт неправомерного доступа к информационным системам персональных данных Оператора, повлекшего за собой распространение неограниченному кругу лиц персональных данных абонентов Оператора, а именно 36544 субъектов персональных данных, путем их размещения на сайте в сети Интернет по адресу:https://t.me/BO_Team_UA/, с нарушением требований части 1 статьи 6, статьи 7 Закона №152-ФЗ.
 По факту выявленных нарушений Управлением Роскомнадзора в отношении ООО «Орион Телеком» составлен протокол об административном правонарушении от 26.09.2025 № АП-38/03/327.
 На основании статьи 23.1, статьи 25.11 КоАП РФ Роскомнадзор обратился в арбитражный суд с заявлением о привлечении общества к административной ответственности за совершение правонарушения, предусмотренного частью 13 статьи 13.11 КоАП РФ.
 Согласно части 6 статьи 205 АПК РФ при рассмотрении дела о привлечении к административной ответственности арбитражный суд в судебном заседании устанавливает, имелось ли событие административного правонарушения и имелся ли факт его совершения лицом, в отношении которого составлен протокол об административном
правонарушении, имелись ли основания для составления протокола об административном правонарушении и полномочия административного органа, составившего протокол, предусмотрена ли законом административная ответственность за совершение данного правонарушения и имеются ли основания для привлечения к административной ответственности лица, в отношении которого составлен протокол, а также определяет меры административной ответственности.
 Частью 5 указанной статьи также предусмотрено, что по делам о привлечении к административной ответственности обязанность доказывания обстоятельств, послуживших основанием для составления протокола об административном правонарушении, не может быть возложена на лицо, привлекаемое к административной ответственности.
 Управление Роскомнадзора по Иркутской области (далее - Управление) на основании пункта 7.1.4.1 Положения об Управлении Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Иркутской области, утвержденного приказом Роскомнадзора от 25.01.2016 № 15, осуществляет функции по контролю и надзору за соответствием обработки персональных данных требованиям законодательства Российской Федерации в области персональных данных на территории Иркутской области.
 Отношения, связанные с обработкой персональных данных, осуществляемой федеральными органами государственной власти, органами государственной власти субъектов Российской Федерации, иными государственными органами, органами местного самоуправления, иными муниципальными органами, юридическими лицами и физическими лицами регулируется Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее - Закон № 152-ФЗ, Закон о персональных данных).
 Согласно пунктам 1 - 3 статьи 3 Закона № 152-ФЗ персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).
 Положениями пункта 2 статьи 3 Закона № 152-ФЗ установлено, что оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.
 Согласно пункта 3 статьи 3 Закона № 152-ФЗ обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
 Случаи, при которых допускается обработка персональных данных субъекта, закреплены статьей 6 Закона № 152-ФЗ. Согласно пункту 1 части 1 статьи 6 Закона № 152- ФЗ обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных.
 Предоставление персональных данных - это действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.
 Под распространением персональных данных понимаются действия, направленные на раскрытие персональных данных неопределенному кругу лиц.
 Согласно положениями статьи 7 Закона № 152-ФЗ операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено Федеральным законом.
 В силу части 1 статьи 18.1 Закона №152-ФЗ оператор обязан принимать меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных настоящим Федеральным законом и принятыми в соответствии с ним нормативными правовыми актами. Оператор самостоятельно определяет состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных настоящим Федеральным законом и принятыми в соответствии с ним нормативными правовыми актами, если иное не предусмотрено настоящим Федеральным законом или другими федеральными законами. К таким мерам, в частности, относятся применение правовых, организационных и технических мер по обеспечению безопасности персональных данных в соответствии со статьей 19 настоящего Федерального закона;
осуществление внутреннего контроля и (или) аудита соответствия обработки персональных данных настоящему Федеральному закону и принятым в соответствии с ним нормативным правовым актам, требованиям к защите персональных данных,
политике оператора в отношении обработки персональных данных, локальным актам оператора; оценка вреда в соответствии с требованиями, установленными уполномоченным органом по защите прав субъектов персональных данных, который может быть причинен субъектам персональных данных в случае нарушения настоящего Федерального закона, соотношение указанного вреда и принимаемых оператором мер, направленных на обеспечение выполнения обязанностей, предусмотренных настоящим Федеральным законом.
 При этом согласно части 1 статьи 19 Закона № 152-ФЗ оператор при обработке персональных данных обязан принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.
 Обеспечение безопасности персональных данных достигается, в частности определением угроз безопасности персональных данных при их обработке в информационных системах персональных данных; применением организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, необходимых для выполнения требований к защите персональных данных, исполнение которых обеспечивает установленные Правительством Российской Федерации уровни защищенности персональных данных; обнаружением фактов несанкционированного доступа к персональным данным и принятием мер, в том числе мер по обнаружению, предупреждению и ликвидации последствий компьютерных атак на информационные системы персональных данных и по реагированию на компьютерные инциденты в них;
контролем за принимаемыми мерами по обеспечению безопасности персональных данных и уровня защищенности информационных систем персональных данных (часть 2 статьи 19 Закона № 152-ФЗ).
 В силу положений постановления Правительства РФ от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных» безопасность персональных данных при их обработке в информационной системе обеспечивается с помощью системы защиты персональных данных, нейтрализующей актуальные угрозы, определенные в соответствии с частью 5 статьи 19 Федерального закона «О персональных данных».
 Под актуальными угрозами безопасности персональных данных понимается совокупность условий и факторов, создающих актуальную опасность несанкционированного, в том числе случайного, доступа к персональным данным при их обработке в информационной системе, результатом которого могут стать уничтожение, изменение, блокирование, копирование, предоставление, распространение персональных данных, а также иные неправомерные действия (п. 6 постановления Правительства РФ от 01.11.2012 № 1119).
 Федеральным законом от 30.11.2024 № 420-ФЗ «О внесении изменений в Кодекс Российской Федерации об административных правонарушениях» введена в действие часть 13 статьи 13.11 КоАП РФ, предусматривающая ответственность за Действия (бездействие) оператора, повлекшие неправомерную передачу (предоставление, распространение, доступ) информации, включающей персональные данные от десяти тысяч до ста тысяч субъектов персональных данных и (или) от ста тысяч до одного миллиона идентификаторов, если эти действия (бездействие) не содержат признаков уголовно наказуемого деяния.
 Непосредственным объектом вменяемого правонарушения является общественные отношения в сфере персональных данных.
 Объективная сторона правонарушения заключается в невыполнении оператором связи возложенных на него законодательством обязанностей, повлекших неправомерную передачу (предоставление, распространение, доступ), информации, включающей персональные данные 36544 субъектов персональных данных, путем их размещения на сайте в сети Интернет по адресу: https :// t. me / BO _ Team _ UA /.
 Субъектом данного административного правонарушения является юридическое лицо ООО «Орион Телеком».
 Субъективная сторона данного правонарушения характеризуется тем, что у ООО «Орион Телеком» имелась возможность для соблюдения правил и норм, за нарушение которых КоАП РФ или законами субъекта Российской Федерации предусмотрена административная ответственность, но данным лицом не были приняты все зависящие от
него меры по соблюдению требований части 1 статьи 6, статьи 7 Закона № 152-ФЗ.
 Состав данного правонарушения является материальным, поскольку в результате действий (бездействия) предусматривает наступление вредных последствий - неправомерную передачу (предоставление, распространение, доступ) информации, включающей персональные данные от 10000 до 100000 субъектов персональных данных и (или) от 100000 до 1000000 идентификаторов.
 Правонарушение считается оконченным в момент неправомерной передачи (предоставления, распространения, доступа) информации.
 Как установлено судом и следует из материалов дела, в результате проведения административного расследования Управлением установлен факт неправомерного доступа к ИСПДн оператора, повлекшего за собой распространение неограниченному кругу лиц персональных данных абонентов оператора, а именно 36544 субъектов
персональных данных, путем их размещения на сайте в сети Интернет по адресу: https :// t. me / BO _ Team _ UA /, в связи с чем суд первой инстанции пришел к выводу о том, что в действиях Общества содержится событие административного правонарушения,
предусмотренного частью 13 статьи 13.11 Кодекса Российской Федерации об административных правонарушениях.
 Довод Общества о том, что правонарушение совершено до вступления в силу части 13 статьи 13.11 КоАП РФ (30.05.2025), в связи с чем подлежит применению часть 1 статьи 13.11 КоАП РФ в ранее действовавшей редакции, является необоснованным.
 Состав правонарушения, предусмотренный частью 13 статьи 13.11 КоАП РФ, является материальным. Правонарушение считается оконченным в момент наступления вредных последствий – неправомерной передачи (предоставления, распространения, доступа) информации, включающей персональные данные. В соответствии с пунктом 5 статьи 3 Закона № 152-ФЗ под распространением персональных данных понимаются действия, направленные на раскрытие персональных данных неопределенному кругу лиц.
 Судом установлено и материалами дела подтверждено, что распространение персональных данных неограниченному кругу лиц имело место 29 июля 2025 года в 21:55 путем размещения на сайте в сети «Интернет» по адресу: https://t.me/BO_Team_UA/. Дата совершения правонарушения – 29 июля 2025 года – наступила после вступления в силу части 13 статьи 13.11 КоАП РФ (30 мая 2025 года).
 В соответствии с частью 1 статьи 1.7 КоАП РФ лицо, совершившее административное правонарушение, подлежит ответственности на основании закона, 13 действовавшего во время совершения административного правонарушения. Поскольку правонарушение окончено 29.07.2025, то есть после вступления в силу части 13 статьи
13.11 КоАП РФ, суд первой инстанции правомерно применил указанную норму.
 Ссылка Общества на дату несанкционированного доступа к инфраструктуре (24–26 мая 2025 года) не имеет правового значения для квалификации, поскольку момент распространения персональных данных является моментом окончания правонарушения.
 Само по себе проникновение в информационную систему не образует состава административного правонарушения, предусмотренного статьей 13.11 КоАП РФ, ответственность по которой наступает за неправомерную передачу (предоставление, распространение, доступ) персональных данных. Факт создания записи в базе данных либо несанкционированного доступа к информационной системе не является
распространением персональных данных, а представляет собой лишь подготовительные действия, которые не образуют объективную сторону состава административного правонарушения, предусмотренного статьей 13.11 КоАП РФ.
 Представленный Обществом отчет ООО «БИЗон» о расследовании инцидента в инфраструктуре ООО «Орион Телеком» от 16.07.2025, на который Общество ссылается в обоснование довода о более ранней дате совершения правонарушения, не опровергает выводы суда. Как указано в данном отчете, самая ранняя активность злоумышленников на сервере началась 30.05.2025. Отчет не содержит информации о доступе злоумышленников к инфраструктуре ООО «Орион Телеком» ранее 30.05.2025. Представленный Обществом отчет об анализе файлов с данными абонентов от 20.01.2026, согласно которому наиболее поздняя дата и время создания записи о субъекте персональных данных – 24.05.2025, также не свидетельствует о совершении правонарушения в указанную дату, поскольку факт создания записи в базе данных сам по себе не является распространением персональных данных.
 Ссылка Общества на практику Арбитражного суда Красноярского края и Арбитражного суда Республики Хакасия по другим делам не является обязательной для суда по настоящему делу, поскольку каждое дело рассматривается на основании конкретных доказательств и обстоятельств. Кроме того, как следует из материалов дела, по указанным Обществом делам суды переквалифицировали действия операторов связи с части 13 на часть 1 статьи 13.11 КоАП РФ, принимая во внимание, что распространение данных являлось следствием ранее совершенного несанкционированного доступа. Вместе с тем в настоящем деле судом установлено, что распространение персональных данных имело место 29.07.2025, то есть после вступления в силу части 13 статьи 13.11 КоАП РФ.
 Кроме того, в рамках уголовного дела №12501040048126361, возбужденного в 14 отношении неустановленных лиц, ООО «Орион Телеком» признано потерпевшим, что подтверждает факт противоправных действий третьих лиц, а не освобождает Общество от административной ответственности за непринятие мер по обеспечению безопасности персональных данных.
 Таким образом, суд первой инстанции правомерно квалифицировал действия Общества по части 13 статьи 13.11 КоАП РФ. Довод апелляционной жалобы в указанной части подлежит отклонению.
 Довод Общества о том, что дело подлежало рассмотрению судом общей юрисдикции, а не арбитражным судом, является несостоятельным.
 В соответствии с частью 3 статьи 23.1 КоАП РФ (в редакции, действовавшей на момент обращения Управления в суд – 02.10.2025) дела об административных правонарушениях, предусмотренных статьей 13.11 КоАП РФ, рассматриваются судьями арбитражных судов. Федеральным законом от 30.11.2024 № 420-ФЗ «О внесении изменений в Кодекс Российской Федерации об административных правонарушениях», вступившим в силу 30.05.2025, абзац четвертый части 3 статьи 23.1 КоАП РФ дополнен указанием на статью 13.11 КоАП РФ.
 Таким образом, в период с 30.05.2025 по 31.12.2025 включительно рассмотрение заявлений о привлечении к административной ответственности по статье 13.11 КоАП РФ относилось к компетенции арбитражного суда.
 Заявление Управления поступило в Кировский районный суд г. Иркутска 02.10.2025. Определением судьи Кировского районного суда г. Иркутска материал о привлечении ООО «ОРИОН ТЕЛЕКОМ» к административной ответственности в силу части 3 статьи 23.1 КоАП РФ (в редакции, действовавшей на момент обращения заявителя в суд) передан на рассмотрение Арбитражного суда Иркутской области. Определением Арбитражного суда Иркутской области от 27.10.2025 заявление Управления принято к производству с соблюдением правил подсудности.
 Согласно части 1 статьи 39 АПК РФ дело, принятое арбитражным судом к своему производству с соблюдением правил подсудности, должно быть рассмотрено им по существу, хотя бы в дальнейшем оно стало подсудным другому суду. Аналогичное правило сформулировано в абзаце первом пункта 17 постановления Пленума Верховного Суда РФ от 23.12.2021 № 46 «О применении Арбитражного процессуального кодекса Российской Федерации при рассмотрении дел в суде первой инстанции».
 Рассмотрение спора по статье 13.11 КоАП РФ стало относиться к компетенции суда общей юрисдикции только в редакции Федерального закона № 561 от 29.12.2025 (действие редакции – 01.01.2026), которым из абзаца четвертого части 3 статьи 23.1 КоАП 15 РФ указание на статью 13.11 исключено. Однако на момент принятия заявления к производству (27.10.2025) действовала редакция, относившая рассмотрение таких дел к компетенции арбитражных судов.
 Таким образом, дело правомерно рассмотрено Арбитражным судом Иркутской области. Указанный довод апелляционной жалобы подлежит отклонению.
 Довод Общества о нарушении судом права на защиту в связи с отказом в удовлетворении ходатайств о назначении судебной экспертизы и привлечении специалистов является необоснованным.
 В соответствии со статьей 82 АПК РФ для разъяснения возникающих при рассмотрении дела вопросов, требующих специальных знаний, арбитражный суд назначает экспертизу по ходатайству лица, участвующего в деле, или с согласия лиц,
участвующих в деле. Назначение экспертизы является правом, а не обязанностью суда.
 Суд назначает экспертизу в случаях, когда вопросы права нельзя разрешить без оценки фактов, для установления которых требуются специальные познания.
 Суд первой инстанции, рассмотрев ходатайство Общества о назначении судебной экспертизы, пришел к обоснованному выводу об отсутствии необходимости проведения экспертного исследования, поскольку сформулированные Обществом вопросы носили правовой характер (определение степени вины Общества), что относится к компетенции суда, а не эксперта. Определение степени вины юридического лица в совершении административного правонарушения осуществляется судом на основе оценки всех представленных доказательств и не требует специальных познаний.
 В соответствии с частью 1 статьи 55.1 АПК РФ специалистом в арбитражном суде является лицо, обладающее необходимыми знаниями по соответствующей специальности, осуществляющее консультации по касающимся рассматриваемого дела вопросам. Частью
1 статьи 87.1 АПК РФ предусмотрено, что в целях получения разъяснений, консультаций и выяснения профессионального мнения лиц, обладающих теоретическими и практическими познаниями по существу разрешаемого арбитражным судом спора, арбитражный суд может привлекать специалиста. По смыслу указанных положений, привлечение специалиста является правом, а не обязанностью суда. Необходимость его участия в деле оценивается судом в каждом конкретном случае с учетом фактических обстоятельств дела и представленных доказательств.
 Суд первой инстанции, оценив достаточность имеющихся в деле доказательств, не усмотрел необходимости в привлечении специалистов. Отказ в удовлетворении ходатайства о привлечении специалистов не может рассматриваться как ограничение права Общества на защиту и нарушение принципа состязательности, установленного 16 статьей 9 АПК РФ.
 Довод Общества о том, что суд не дал оценку доказательствам в контексте статей 49 и 51 Конституции Российской Федерации, опровергается материалами дела.
 Суд первой инстанции в решении подробно проанализировал все представленные доказательства, включая отчет ООО «БИЗон» о расследовании инцидента от 16.07.2025, уведомления Общества об инцидентах, и пришел к обоснованному выводу о виновности Общества.
 В соответствии с частью 2 статьи 2.1 КоАП РФ юридическое лицо признается виновным в совершении административного правонарушения, если будет установлено, что у него имелась возможность для соблюдения правил и норм, за нарушение которых КоАП РФ или законами субъекта Российской Федерации предусмотрена
административная ответственность, но данным лицом не были приняты все зависящие от него меры по их соблюдению.
 Судом установлено, что Общество крайне пренебрежительно относилось к требованиям информационной безопасности: своевременно не изменяло пароли учетных записей пользователей, не деактивировало учетные записи уволенных сотрудников, использовало программное обеспечение, имеющее критические уязвимости, а также
использовало некорректную конфигурацию системы безопасности в операционной системе, чем создавало угрозу утечки персональных данных большого количества пользователей. Данные выводы подтверждаются отчетом ООО «БИЗон» о расследовании инцидента от 16.07.2025.
 Доказательств невозможности соблюдения Обществом указанных требований в силу чрезвычайных событий и обстоятельств, которые оно не могло предвидеть и предотвратить при соблюдении той степени заботливости и осмотрительности, которая от него требовалась, в материалах дела не имеется, что свидетельствует о наличии вины Общества во вмененном ему правонарушении согласно части 2 статьи 2.1 КоАП РФ.
 Ссылка Общества на то, что причиной компрометации базы данных стала целенаправленная кибератака со стороны профессиональной группировки, не освобождает Общество от административной ответственности, поскольку наличие внешнего противоправного воздействия не снимает с оператора обязанности по принятию необходимых и достаточных мер для обеспечения безопасности персональных данных, предусмотренных статьей 19 Закона № 152-ФЗ. Как следует из отчета ООО «БИЗон», злоумышленники смогли получить доступ к инфраструктуре Общества в том числе по причине некорректной конфигурации системы безопасности, использования программного обеспечения с критическими уязвимостями, неисполнения обязанности по 17 деактивации учетных записей уволенных сотрудников и своевременной смене паролей.
 Нарушений принципа презумпции невиновности, предусмотренного статьей 1.5 КоАП РФ и статьей 49 Конституции Российской Федерации, судом не допущено.
 Следовательно, довод апелляционной жалобы подлежит отклонению.
 Суд апелляционной инстанции признает обоснованной позицию Управления Роскомнадзора о том, что назначение судом первой инстанции наказания в виде предупреждения не соответствует требованиям действующего законодательства.
 Санкцией части 13 статьи 13.11 КоАП РФ предусмотрено административное наказание для юридических лиц в виде административного штрафа в размере от пяти миллионов до десяти миллионов рублей. Назначение наказания в виде предупреждения данной санкцией не предусмотрено.
 В соответствии с частью 1 статьи 4.1.1 КоАП РФ за впервые совершенное административное правонарушение, выявленное в ходе осуществления государственного контроля (надзора), муниципального контроля, в случаях, если назначение административного наказания в виде предупреждения не предусмотрено  соответствующей статьей раздела II КоАП РФ или закона субъекта Российской Федерации об административных правонарушениях, административное наказание в виде административного штрафа подлежит замене на предупреждение при наличии обстоятельств, предусмотренных частью 2 статьи 3.4 КоАП РФ.
 Согласно части 2 статьи 3.4 КоАП РФ предупреждение устанавливается за впервые совершенные административные правонарушения при отсутствии причинения вреда или возникновения угрозы причинения вреда жизни и здоровью людей, объектам животного и растительного мира, окружающей среде, объектам культурного наследия (памятникам
истории и культуры) народов Российской Федерации, безопасности государства, угрозы чрезвычайных ситуаций природного и техногенного характера, а также при отсутствии имущественного ущерба.
 С учетом взаимосвязанных положений части 2 статьи 3.4 и части 1 статьи 4.1.1 КоАП РФ возможность замены наказания в виде административного штрафа предупреждением допускается при наличии совокупности всех обстоятельств, указанных в части 2 статьи 3.4 КоАП РФ.
 В соответствии с пунктом 33 Обзора судебной практики Верховного Суда Российской Федерации № 3 (2025), утвержденного Президиумом Верховного Суда Российской Федерации 8 октября 2025 года, при решении вопроса о замене административного наказания в виде административного штрафа на предупреждение суду следует устанавливать всю совокупность условий для такой замены. При этом ссылка на 18 отнесение общества к категории «микропредприятие» как одно из оснований для замены административного наказания в виде штрафа на предупреждение не может быть признана правомерной, поскольку с 25 июля 2022 года положения части 1 статьи 4.1.1 КоАП РФ относятся ко всем видам организаций.
 Кроме того, утечка персональных данных 36 544 субъектов сама по себе является существенным нарушением прав граждан на неприкосновенность частной жизни (статьи 23, 24 Конституции Российской Федерации). Распространение паспортных данных, адресов, номеров телефонов неограниченному кругу лиц свидетельствует о реальном нарушении прав субъектов персональных данных и создании угрозы причинения вреда охраняемым законом интересам, в том числе безопасности государства, поскольку персональные данные могут быть использованы в противоправных целях.
 Применительно к настоящему делу объектом посягательства являются
общественные отношения в сфере персональных данных, и утечка такого значительного объема персональных данных (36 544 субъектов) создает реальную угрозу безопасности государства и правам граждан.
 С учетом изложенного, совокупность условий для замены административного штрафа на предупреждение, предусмотренная статьями 3.4 и 4.1.1 КоАП РФ, в рассматриваемом деле отсутствует. Назначение судом первой инстанции наказания в виде предупреждения является необоснованным.
 В соответствии с частью 1 статьи 4.5 КоАП РФ постановление по делу об административном правонарушении не может быть вынесено по истечении одного года со дня совершения административного правонарушения за нарушение законодательства Российской Федерации о персональных данных.
 Как установлено судом, дата совершения административного правонарушения – 29 июля 2025 года. Соответственно, последним днем срока давности привлечения к административной ответственности является 29 июля 2026 года.
 В соответствии с пунктом 14 Постановления Пленума Верховного Суда Российской Федерации от 24.03.2005 № 5 «О некоторых вопросах, возникающих у судов при применении Кодекса Российской Федерации об административных правонарушениях» (в редакции Постановления Пленума Верховного Суда РФ от 19.12.2013 № 40) длящимся является такое административное правонарушение (действие или бездействие), которое выражается в длительном непрекращающемся невыполнении или ненадлежащем выполнении предусмотренных законом обязанностей.
 В пункте 14 Постановления Пленума Верховного Суда РФ от 24.03.2005 № 5 также указано, что невыполнение предусмотренной правовыми актами обязанности к 19 установленному сроку свидетельствует о том, что административное правонарушение не является длящимся.
 Аналогичное разъяснение содержится в абзаце третьем пункта 19 Постановления Пленума Высшего Арбитражного Суда Российской Федерации от 27.01.2003 № 2 «О некоторых вопросах, связанных с введением в действие Кодекса Российской Федерации об административных правонарушениях» (в редакции Постановления Пленума ВАС РФ от 10.11.2011 № 71), согласно которому под длящимся административным правонарушением следует понимать действие (бездействие), выражающееся в длительном непрекращающемся невыполнении или ненадлежащем выполнении возложенных на лицо
обязанностей и характеризующееся непрерывным осуществлением противоправного деяния. При этом административные правонарушения, выражающиеся в невыполнении обязанности к конкретному сроку, не могут быть рассмотрены в качестве длящихся.
 В рассматриваемом случае объективная сторона правонарушения, предусмотренного частью 13 статьи 13.11 КоАП РФ, не выражается в длительном непрекращающемся невыполнении обязанности. Правонарушение имеет единый момент окончания – 29.07.2025 (момент распространения персональных данных). После наступления указанных последствий правонарушение считается оконченным и не продолжается во времени. Обществу вменяется не невыполнение длящейся обязанности (например, обязанность обеспечить защиту персональных данных в течение длительного периода), а конкретное событие – распространение персональных данных 29.07.2025.
 Таким образом, правонарушение, предусмотренное частью 13 статьи 13.11 КоАП РФ, выражающееся в распространении персональных данных, не является длящимся.
 Следовательно, срок давности привлечения к административной ответственности исчисляется со дня совершения правонарушения (часть 1 статьи 4.5 КоАП РФ), а не со дня его обнаружения (часть 2 статьи 4.5 КоАП РФ).
 Данный вывод подтверждает правильность исчисления срока давности – с 29.07.2025 по 29.07.2026.
 На момент рассмотрения настоящего дела в суде апелляционной инстанции (11 августа 2026 года) установленный частью 1 статьи 4.5 КоАП РФ срок давности привлечения к административной ответственности истек, с чем также согласилась представитель Роскомнадзора.
 В силу пункта 6 части 1 статьи 24.5 КоАП РФ истечение сроков давности привлечения к административной ответственности является обстоятельством, исключающим производство по делу об административном правонарушении.
 Согласно разъяснениям, содержащимся в пункте 13.1 постановления Пленума 20 Высшего Арбитражного Суда Российской Федерации от 02.06.2004 № 10 «О некоторых вопросах, возникших в судебной практике при рассмотрении дел об административных правонарушениях», при проверке законности и обоснованности решения о привлечении к административной ответственности суд не вправе выходить за пределы установленного срока давности и обсуждать вопрос о назначении более строгого наказания, если на момент пересмотра дела этот срок истек.
 Истечение срока давности привлечения к административной ответственности на момент рассмотрения апелляционной жалобы влечет невозможность изменения решения суда первой инстанции в сторону ухудшения положения лица, привлекаемого к ответственности. Вместе с тем истечение срока давности само по себе не является основанием для отмены решения суда первой инстанции, если оно является законным и обоснованным по существу (пункт 4 части 1 статьи 30.7 КоАП РФ, пункт 2 статьи 269 АПК РФ).
 При таких обстоятельствах, учитывая, что решение суда первой инстанции в части установления события правонарушения, вины Общества и квалификации его действий по части 13 статьи 13.11 КоАП РФ является законным и обоснованным, а назначенное наказание в виде предупреждения не соответствует требованиям закона, однако в связи с истечением срока давности привлечения к административной ответственности суд апелляционной инстанции лишен возможности изменить решение в указанной части, в связи с чем обжалуемое решение подлежит оставлению без изменения.
 Настоящее постановление выполнено в форме электронного документа, подписанного усиленной квалифицированной электронной подписью судьи, в связи с чем направляется лицам, участвующим в деле, посредством его размещения на официальном сайте суда в сети «Интернет» по адресу https://kad.arbitr.ru/.
 По ходатайству указанных лиц копии постановления на бумажном носителе могут быть направлены им в пятидневный срок со дня поступления соответствующего ходатайства заказным письмом с уведомлением о вручении или вручены им под расписку.
 Четвертый арбитражный апелляционный суд, руководствуясь статьями 268-271 Арбитражного процессуального кодекса Российской Федерации,

                                    П О С Т А Н О В И Л:
решение Арбитражного суда Иркутской области от 12 мая 2026 года по делу №А19-25808/2025 оставить без изменения, а апелляционную жалобу – без удовлетворения.
 Постановление вступает в законную силу с момента его принятия и может быть обжаловано в Арбитражный суд Восточно-Сибирского округа через арбитражный суд первой инстанции в срок, не превышающий двух месяцев с даты принятия.

Председательствующий                                                Д.В. Басаев
Судьи                                                                          В.А. Сидоренко
                                                                                   А.А. Галицкая

Источник: https://kad.arbitr.ru/Document/Pdf/5ad2480b-6558-4e00-92cb-442df1718d84/7f9f2cd6-8ccb-408f-ac6e-70f4dac73ad5/A19-25808-2025_20260814_Reshenija_i_postanovlenija.pdf?isAddStamp=True