Ст. 137 УК РФ: нарушение персональных данных в компании (3-й выпуск)
Статья 137 Уголовного кодекса РФ устанавливает ответственность за незаконный сбор или распространение сведений о частной жизни лица без его согласия. По состоянию на май 2026 года санкция части первой — лишение свободы до двух лет, части второй (с использованием служебного положения) — до четырёх лет. Для бизнеса это означает: HR-директор, передавший медицинские данные сотрудника, и системный администратор, выгрузивший клиентскую базу, рискуют уголовным преследованием — а не только административным штрафом по КоАП РФ.
Проверьте, создаёт ли ваш внутренний регламент обработки данных уголовные риски для сотрудников.
Состав преступления по статье 137 УК РФ: что нужно знать директору
Статья 137 Уголовного кодекса РФ охраняет неприкосновенность частной жизни и устанавливает уголовную ответственность за три формы незаконного обращения с персональными данными: незаконный сбор, незаконное хранение и распространение сведений о частной жизни лица без его согласия. Объективная сторона требует доказанных умышленных действий, распространения или использования сведений, а также наличия субъекта — физического лица старше шестнадцати лет. Юридическое лицо субъектом уголовного преступления не является.
Состав формальный — для привлечения к ответственности достаточно самого факта незаконного распространения, реальный имущественный ущерб не требуется. Это принципиальное отличие от большинства экономических составов, где ущерб является обязательным квалифицирующим признаком. Размер санкции зависит от наличия квалифицирующих обстоятельств.
| Часть ст. 137 УК РФ | Квалифицирующий признак | Максимальное лишение свободы | Дополнительное наказание |
|---|---|---|---|
| Часть 1 | Основной состав | 2 года | Штраф до 200 000 ₽ или лишение права занимать должности до 3 лет |
| Часть 2 | С использованием служебного положения | 4 года | Штраф от 100 000 до 300 000 ₽ или лишение права занимать должности до 5 лет |
| Часть 3 | Несовершеннолетний потерпевший, публичное СМИ или интернет | 5 лет | Лишение права занимать должности до 6 лет |
На практике по делам в корпоративном секторе наиболее часто применяется часть вторая — через признак «использование служебного положения». Под него подпадают все категории сотрудников, имеющих доступ к персональным данным в силу должностных обязанностей: HR-специалисты, системные администраторы, бухгалтеры, сотрудники службы безопасности. Это существенно расширяет круг потенциальных обвиняемых внутри одной компании.
Торговая компания, Приволжский ФО, выручка около 800 млн ₽
Сотрудник уже под проверкой или получил повестку? На этапе доследственной проверки ещё есть возможность скорректировать позицию до возбуждения дела.
Конкретный состав действий и допустимые инструменты защиты зависят от стадии, должности обвиняемого и характера переданных данных. Разобраться в ситуации можно на первичной консультации.
Чем уголовная ответственность за персональные данные отличается от административной?
Уголовная ответственность по статье 137 УК РФ и административная по статье 13.11 КоАП РФ разграничиваются по двум критериям: наличию умысла и характеру нарушенного блага. Административный состав фиксирует сам факт нарушения порядка обработки данных — например, обработку без согласия субъекта или хранение данных дольше установленного срока, — тогда как уголовный состав требует доказанного прямого умысла на нарушение неприкосновенности частной жизни конкретного человека.
Ключевые разграничения по объекту: КоАП РФ защищает установленный государством порядок работы с данными (публичный интерес), статья 137 УК РФ — частную жизнь конкретного физического лица (частный интерес). Отсюда важное процессуальное следствие: административное дело возбуждается по инициативе Роскомнадзора, уголовное — как правило, по заявлению потерпевшего.
Для директора и собственника это создаёт двойной риск при одном инциденте: компания получает административный штраф до 500 000 рублей, ответственный сотрудник — уголовное дело. Два производства идут параллельно и требуют раздельных процессуальных позиций, поскольку показания по административному делу могут быть использованы следствием по уголовному. Это частая ошибка: компания «признаётся» в административном деле ради скорейшего урегулирования с Роскомнадзором — и тем самым формирует доказательную базу против своего же сотрудника.
Какие конкретные действия сотрудников создают уголовный риск по статье 137 УК РФ?
Уголовный риск по статье 137 УК РФ в корпоративной среде возникает при умышленной передаче, публикации или использовании персональных данных без согласия их субъекта в целях, не предусмотренных трудовым договором или должностной инструкцией. Следственная практика выделяет несколько устойчивых паттернов, которые регулярно становятся основанием для возбуждения дел.
Три сценария по должностным ролям:
Собственник или генеральный директор: указание подчинённым собрать компромат на увольняемого топ-менеджера — медицинские сведения, переписку, данные о кредитных обязательствах. Формально директор не «распространяет» данные сам, однако организация незаконного сбора квалифицируется как соучастие (статья 33 УК РФ).
Директор по персоналу или HR-менеджер: передача кадровых досье кандидатов конкурирующему работодателю; разглашение сведений о состоянии здоровья сотрудника при аттестации без его письменного согласия; направление информации о дисциплинарных взысканиях в отраслевую ассоциацию.
Системный администратор или ИТ-директор: выгрузка клиентской базы с контактами и платёжными данными «для личного использования» при увольнении; предоставление доступа к персональным аккаунтам сотрудников третьим лицам без судебного решения. При наличии признаков неправомерного доступа к компьютерной информации дело дополнительно квалифицируется по статье 272 УК РФ — это создаёт совокупность и увеличивает итоговое наказание.
- Зафиксировать перечень должностей, имеющих доступ к персональным данным
- Проверить наличие письменных согласий субъектов на каждый вид обработки
- Убедиться, что должностные инструкции описывают допустимые операции с данными
- Ввести журнал выгрузок и экспорта данных из ключевых систем
- Установить порядок действий сотрудника при запросе данных третьими лицами
Как расследуются дела по статье 137 УК РФ и чего ожидать обвиняемому?
Расследование уголовного дела по статье 137 УК РФ, как правило, начинается с доследственной проверки по заявлению потерпевшего в порядке статей 144–145 УПК РФ продолжительностью до тридцати суток. Ключевое следственное действие — компьютерно-техническая экспертиза, которая устанавливает факт и время передачи данных, использованные каналы (почта, мессенджеры, внешние носители) и авторство действий. Именно экспертиза определяет реальный срок расследования: от трёх месяцев при бесспорных цифровых следах до восьми месяцев при сложной инфраструктуре.
Следователи в подавляющем большинстве дел производят обыск по месту работы и в жилище подозреваемого — изымают рабочие компьютеры, телефоны, внешние накопители и корпоративную переписку. Отдельно запрашиваются сведения у провайдеров и мессенджеров в рамках оперативно-розыскных мероприятий (ОРМ). Если данные передавались через иностранные сервисы, получение сведений затягивается, но принципиально картину не меняет — следствие работает с логами на стороне российских получателей.
Судебная практика по делам об уголовном нарушении персональных данных демонстрирует устойчивую тенденцию к назначению наказания, не связанного с реальным лишением свободы, при первом привлечении, наличии смягчающих обстоятельств и возмещении морального вреда потерпевшему до судебного разбирательства. По данным Судебного департамента при Верховном суде РФ, vsrf.ru, удельный вес реального лишения свободы по статье 137 УК РФ не превышает 10–12% от числа обвинительных приговоров.
Технологическая компания, Северо-Западный ФО, выручка около 350 млн ₽
Описанные сценарии показывают: на стадии следствия ещё есть инструменты для изменения квалификации и предотвращения совокупности составов. После передачи дела в суд процессуальные возможности сужаются.
Если уголовное дело уже возбуждено или ожидается — оценить перспективы переквалификации и допустимые процессуальные шаги можно в рамках первичной консультации.
Как снизить уголовные риски компании при работе с персональными данными?
Превентивная защита от уголовных рисков по статье 137 УК РФ строится на трёх элементах: разграничении прав доступа к данным, документировании согласий субъектов и выработке регламента действий при инцидентах. Ни один из этих элементов не исключает уголовное преследование полностью — его могут инициировать только потерпевший и следственные органы, — но существенно сужает возможности обвинения доказать умысел и использование служебного положения.
Матрица рисков по должностям и инструментам защиты:
| Должность | Типичный риск | Инструмент защиты | Срок внедрения |
|---|---|---|---|
| Директор по персоналу | Разглашение мед. данных, кадровых досье | Политика ограниченного доступа + согласия | 2–3 недели |
| Системный администратор | Выгрузка баз данных при увольнении | Журнал выгрузок + лишение доступа при уведомлении об уходе | 1 неделя |
| Бухгалтер | Разглашение зарплат и банковских реквизитов | NDA + регламент ответа на запросы третьих лиц | 1–2 недели |
| Служба безопасности | Несанкционированный мониторинг переписки сотрудников | Регламент мониторинга + уведомление сотрудников | 2–4 недели |
Ключевой инструмент на стадии инцидента — разделение процессуальных позиций компании и физического лица. Компания как оператор данных несёт административную ответственность и взаимодействует с Роскомнадзором. Сотрудник — потенциальный субъект уголовной ответственности, и его позиция требует самостоятельной юридической поддержки. Совмещение этих позиций в одном юридическом лице (корпоративный юрист представляет и компанию, и сотрудника) создаёт конфликт интересов и в большинстве случаев работает против физического лица.
Пошаговый алгоритм действий компании и сотрудника в первые 48 часов после обнаружения утечки — до прихода следователя.
Напишите «Регламент 137» в Telegram @nk_vitvet или WhatsApp — пришлём сразу.
- Защита по уголовному делу — защита при предъявлении обвинения и в суде
- Уголовно-правовой аудит — превентивный анализ рисков для бизнеса
Уголовная ответственность за нарушение персональных данных по статье 137 УК РФ — не абстрактный риск: дела возбуждаются регулярно, в том числе в компаниях со зрелыми процессами и формальными политиками конфиденциальности. Формальный документооборот не защищает от обвинения, если он не подкреплён реальным разграничением прав доступа и регламентом действий при инциденте.
Ветров. 49 специализируется на уголовной защите бизнеса — рейтинг Право·300 с 2017 года, более 1000 проектов. Если сотрудник уже под следствием или компания ожидает проверки, первичная консультация позволяет понять реальный объём риска и допустимые инструменты защиты.