Уголовные риски IT-компании: топ-5 составов

Кто вы как субъект уголовной ответственности в IT

IT-компания в уголовно-правовом смысле — это не абстрактное юрлицо, а совокупность конкретных физических лиц: генеральный директор, технический директор, ведущий разработчик, руководитель проекта, главный бухгалтер. Уголовный кодекс РФ не предусматривает ответственности организаций — только людей. Именно поэтому при возбуждении уголовного дела против «компании» следователь в первую очередь определяет, кто принимал решения.

Роль в компании формирует профиль риска. Генеральный директор отвечает за корпоративные решения: с кем заключить договор, как построена финансовая модель, кто имеет доступ к клиентским базам данных. Технический директор и ведущий разработчик несут риск по компьютерным составам — статьям 272 и 273 УК РФ — если в продукте обнаружен функционал, расцениваемый следствием как вредоносный. Главный бухгалтер под ударом по налоговым составам (статья 199.1 УК РФ — неисполнение обязанностей налогового агента) и мошенничеству при завышении расходов.

Три базовых сценария уголовного преследования IT-компании: (1) корпоративный конфликт между участниками, при котором один инициирует уголовное дело против другого; (2) претензии клиента или партнёра, которые перерастают из гражданского спора в уголовный; (3) самостоятельная инициатива следствия — как правило, после налоговой проверки или оперативной разработки. Понимание этого позволяет выстроить превентивную защиту до, а не после наступления угрозы. Подробнее о профилях клиентов — в разделе бизнес-аналитики.

Чем грозит IT-компании статья 272 УК РФ о неправомерном доступе?

Неправомерный доступ к охраняемой компьютерной информации (статья 272 УК РФ) — наиболее частый состав в IT-уголовке. Он наступает при копировании, уничтожении, блокировании или модификации информации, доступ к которой не был разрешён правообладателем. Санкция по части 1 — до двух лет лишения свободы; по части 3, если деяние совершено группой или из корыстных побуждений, — до пяти лет.

На практике этот состав предъявляется в нескольких типичных ситуациях. Первая — парсинг конкурентных баз данных: компания собирает данные о клиентах или ценах с чужих платформ без согласия владельца. Вторая — доступ к инфраструктуре бывшего работодателя: уволившийся разработчик использует сохранённые учётные данные для копирования кода или клиентской базы. Третья — пен-тест без надлежащего юридического оформления: исполнитель формально получил задание, но договор не содержит чёткого разрешения на конкретные технические действия.

Разграничение с легальным доступом строится на одном критерии: наличие явного письменного разрешения правообладателя на конкретные технические действия в отношении конкретных систем. Устные договорённости, переписка в мессенджерах и общий договор на «работы по безопасности» — недостаточная защита. Верховный Суд РФ в обзоре судебной практики по делам о компьютерных преступлениях последовательно подтверждает: умысел устанавливается исходя из характера действий, а не из субъективных объяснений обвиняемого.

Описанная ситуация типична: корпоративный конфликт превращается в уголовное дело, когда у одной из сторон есть доступ к инфраструктуре. Как именно квалифицируются действия сотрудника — зависит от документальной базы компании. Своевременная проверка договорной документации и разграничения прав доступа позволяет устранить риск до его реализации.

Когда разработчика обвиняют по статье 273 УК РФ за написание кода?

Создание, распространение и использование вредоносных компьютерных программ (статья 273 УК РФ) — состав, который следствие предъявляет разработчикам, создавшим программный продукт с функционалом несанкционированного доступа, сбора данных или блокирования систем. Ключевой элемент: заведомость умысла — автор кода понимал деструктивный характер программы. Санкция по части 1 — до четырёх лет лишения свободы, по части 2 (тяжкие последствия) — до семи лет.

На практике грань между легальным и вредоносным кодом размывается в нескольких ситуациях. Коммерческий шпион: ПО для мониторинга сотрудников или родительского контроля — если оно работает в скрытом режиме без уведомления пользователя, суды признают его вредоносным вне зависимости от заявленного назначения. DDoS-инструментарий: программы для нагрузочного тестирования инфраструктуры формально легальны, но при отсутствии договора с заказчиком систематически признаются орудием преступления. Парсеры с обходом защиты: если продукт обходит CAPTCHA или rate limiting, следствие квалифицирует это как вредоносный функционал по статье 273.

Защитная стратегия для IT-компаний строится на трёх элементах: техническая документация с описанием архитектуры и назначения каждого модуля, договорная документация с заказчиком, прямо указывающая на цель использования, и внутренний комплаенс-регламент, запрещающий разработчикам создавать функционал с неочевидным назначением без письменного задания. Минимальный чек-лист для защиты разработчика — см. ниже.

Как в IT-секторе возникает мошенничество по статье 159 УК РФ?

Мошенничество (статья 159 УК РФ) в IT — не экзотика, а один из наиболее часто предъявляемых составов при конфликтах с заказчиками программных продуктов. Ответственность наступает при хищении чужого имущества путём обмана или злоупотребления доверием. Порог для части 3 — ущерб свыше 250 000 ₽, для части 4 (организованная группа или ущерб свыше 1 млн ₽) — до десяти лет лишения свободы. На практике важен момент: мошенничество в предпринимательской сфере (статья 159.4 УК РФ, до 2015 года) теперь квалифицируется по общей статье 159 с более строгими санкциями.

Три типичных сценария для IT-компаний. Первый — завышение объёма выполненных работ: акты приёмки подписаны, но реальный функционал вдвое меньше задокументированного. Если заказчик инициирует уголовное дело, следствие назначает программно-техническую экспертизу. Второй — предоплата без намерения исполнять: компания получила аванс за разработку, после чего прекратила работы. Следствие устанавливает момент возникновения умысла — если он существовал до получения денег, это мошенничество, а не гражданский спор. Третий — продажа несуществующего ПО или лицензий: SaaS-платформа обещала функционал, который не был реализован, и продолжала взимать плату.

Граница между гражданско-правовым неисполнением и мошенничеством проходит по умыслу и моменту его возникновения. Если компания столкнулась с техническими трудностями и добросовестно пыталась их преодолеть — это коммерческий спор. Если умысел на неисполнение существовал с момента подписания договора — следствие будет доказывать статью 159. Внутренняя переписка, переговорные позиции, история транзакций — всё это станет доказательной базой.

Узнать о специфике защиты по статье 159 УК РФ, включая судебную практику разграничения с гражданским спором, можно на странице уголовно-правового аудита бизнеса.

Что такое статья 183 УК РФ и кому она грозит в IT-компании?

Незаконное получение и разглашение сведений, составляющих коммерческую, налоговую или банковскую тайну (статья 183 УК РФ), — состав, который в IT применяется к сотрудникам, скопировавшим базы клиентов, алгоритмы, технические решения или финансовую отчётность при переходе к конкуренту. Санкция по части 2 (разглашение) — до трёх лет лишения свободы; по части 3, если деяние причинило крупный ущерб, — до пяти лет.

На практике статья 183 УК РФ работает в двух направлениях. Первое — IT-компания как потерпевшая: бывший разработчик или менеджер по продажам унёс базу данных клиентов и передал её конкуренту. Второе — IT-компания как обвиняемая: специалисты компании получили доступ к конфиденциальным данным клиента в ходе разработки или сопровождения и использовали их в коммерческих целях.

Многие недооценивают масштаб рисков по этому составу: статья 183 УК РФ в IT-делах нередко идёт в совокупности со статьёй 272 (неправомерный доступ), если сотрудник скопировал данные через несанкционированный доступ к корпоративным системам. Совокупность составов существенно увеличивает санкцию и затрудняет прекращение дела.

Какие налоговые риски наиболее критичны для IT-компании в 2025–2026 годах?

Налоговая уголовная ответственность (статья 199 УК РФ) наступает при недоимке свыше 18,75 млн ₽ за три финансовых года подряд (крупный размер, часть 1) или 56,25 млн ₽ (особо крупный, часть 2 — санкция до шести лет). ФНС передаёт материалы в Следственный комитет после завершения выездной налоговой проверки и вступления решения в силу. Срок давности по части 1 — шесть лет, по части 2 — десять лет.

IT-компании попадают под налоговые уголовные дела преимущественно через три механизма. Первый — злоупотребление IT-льготами: с 2021 года IT-компании получили пониженные ставки налога на прибыль и страховых взносов. Условие — аккредитация Минцифры и доля выручки от IT-деятельности свыше 70%. ФНС проверяет реальность IT-выручки: если компания формально аккредитована, но реально занимается дистрибуцией или консалтингом, льгота снимается с доначислением за весь период. Второй — дробление через ИП-разработчиков: компания работает с физлицами как с ИП, хотя фактически отношения трудовые. ФНС переквалифицирует договоры, доначисляет НДФЛ и страховые взносы — и если сумма превышает порог, материалы уходят в СК РФ. Третий — агрессивное налоговое планирование через офшоры: СИДН (соглашения об избежании двойного налогообложения) утратили силу с рядом юрисдикций, и схемы, работавшие до 2022 года, теперь генерируют налоговые долги.

Для компаний, работающих с зарубежными заказчиками, дополнительный риск — статья 193 УК РФ (уклонение от репатриации валютной выручки). С 2022 года требования валютного контроля изменились, и IT-компании, не успевшие адаптировать расчётные схемы, оказались под угрозой возбуждения дел.

Что подготовить IT-компании до возникновения уголовной угрозы

Превентивная защита обходится в 15–30 раз дешевле защиты по возбуждённому уголовному делу — как в денежном выражении, так и в потере управленческого ресурса. Уголовно-правовой аудит IT-компании охватывает пять направлений: договорную документацию на IT-проекты, режим коммерческой тайны, основания для IT-льгот, структуру работы с разработчиками и политику доступа к инфраструктуре.

Чек-лист: что подготовить до уголовной угрозы

• Договоры на пен-тесты и аудиты безопасности — проверить наличие конкретного перечня разрешённых действий и систем (защита по ст. 272 УК РФ)
• Локальный акт о коммерческой тайне и листы ознакомления сотрудников — введён ли режим в соответствии с ФЗ № 98-ФЗ
• Структура выручки по IT-деятельности — подтверждает ли она порог 70% для IT-льгот Минцифры
• Договоры с ИП-разработчиками — нет ли признаков трудовых отношений по критериям ФНС (регулярные выплаты, единственный заказчик, рабочее место в офисе)
• Политика доступа к системам — разграничены ли права, журналируются ли действия, отзываются ли доступы при увольнении

Если хотя бы по трём пунктам из пяти возникают сомнения — риск уголовного преследования выше среднего для IT-сектора. Экстренную помощь при уже поступившем вызове следователя или обыске можно получить через сервис «Красная кнопка 24/7».

Ситуация с IT-льготами остаётся зоной повышенного контроля ФНС в 2025–2026 годах. Доначисление налогов и последующая передача материалов в СК — двухлетний процесс, который начинается задолго до того, как директор получает первый вызов на допрос. Провести внутреннюю проверку обоснованности льготы можно в рамках уголовно-правового аудита.