Ст. 137 УК РФ: нарушение персональных данных в компании (4-й выпуск)
Статья 137 Уголовного кодекса Российской Федерации устанавливает уголовную ответственность за незаконный сбор и распространение сведений о частной жизни, составляющих личную или семейную тайну, без согласия субъекта. По состоянию на май 2026 года число уголовных дел по этому составу в коммерческом секторе растёт: Роскомнадзор за 2024–2025 годы зафиксировал свыше 300 крупных утечек персональных данных. Для бизнеса риск персональный: уголовное дело возбуждается не против компании, а против конкретного сотрудника или директора.
Оцените, есть ли уголовный риск в вашей ситуации — за 30 минут.
Суть состава: что именно запрещает статья 137 УК РФ
Статья 137 Уголовного кодекса Российской Федерации запрещает незаконный сбор или распространение сведений о частной жизни лица, составляющих его личную или семейную тайну, без его согласия, а равно распространение этих сведений в публичном выступлении, публично демонстрирующемся произведении или СМИ. Санкция по части первой — штраф до 200 000 рублей или лишение свободы до двух лет; по части второй (с использованием служебного положения) — штраф до 300 000 рублей или лишение свободы до четырёх лет. Именно часть вторая — основной риск для любого сотрудника, имеющего должностной доступ к базам данных клиентов или персонала.
Состав включает четыре обязательных элемента: незаконность действий (отсутствие согласия субъекта или иного правового основания); предмет — сведения о частной жизни, которые сам человек считает тайными; умысел; наступление или реальная угроза вреда охраняемым интересам потерпевшего. Отсутствие любого из элементов исключает уголовную квалификацию.
Предмет преступления — не любые персональные данные в смысле Федерального закона № 152-ФЗ «О персональных данных», а именно сведения, составляющие личную или семейную тайну: диагнозы, сведения о сексуальной жизни, финансовые обязательства, семейные конфликты, биографические факты, которые человек намеренно скрывает. Передача в открытый доступ ФИО и должности сотрудника по статье 137 не квалифицируется.
Когда действия сотрудника образуют состав преступления по статье 137 УК РФ?
Действия сотрудника компании образуют состав по статье 137 Уголовного кодекса, если он умышленно собирает или передаёт третьим лицам сведения о частной жизни конкретного человека, используя доступ, предоставленный ему по должности, и делает это без согласия субъекта и без законного основания. Ключевой критерий — умысел: случайная пересылка файла не образует состав, целенаправленная передача данных конкуренту или в СМИ — образует.
Наиболее частые корпоративные ситуации, при которых возбуждаются дела:
- HR-специалист передаёт сведения о состоянии здоровья или семейном положении уволенного работника его новому работодателю;
- менеджер по работе с клиентами «сливает» базу данных с медицинскими или финансовыми сведениями конкурирующей организации;
- сотрудник службы безопасности передаёт коллекторам данные о должниках, включая сведения об имуществе и семье;
- руководитель публично оглашает личную переписку или медицинский диагноз подчинённого в ходе трудового конфликта.
Разграничение с составом по статье 272 УК РФ (неправомерный доступ к компьютерной информации) проходит по субъекту и способу: статья 272 применяется при взломе или иных технических способах несанкционированного доступа к системе, тогда как статья 137 — при использовании законного доступа в незаконных целях. На практике оба состава могут вменяться одному лицу.
Разграничение составов и наличие умысла — ключевые вопросы защиты на стадии доследственной проверки. Позиция, выработанная до предъявления обвинения, существенно влияет на перспективы дела.
Как статья 137 УК РФ применяется в корпоративной практике 2024–2026 годов?
Правоприменение по статье 137 Уголовного кодекса в коммерческом секторе концентрируется вокруг трёх сценариев: трудовые конфликты с разглашением данных работников, целенаправленные «сливы» клиентских баз и использование личных сведений в корпоративных спорах. По данным Судебного департамента при Верховном суде Российской Федерации, ежегодно по статье 137 осуждается от 180 до 250 человек; доля оправдательных приговоров — менее 1%. Большинство осуждённых — физические лица, занимавшие должности, связанные с обработкой персональных данных.
Менеджер МФО, Приволжский ФО, клиентская база ~12 000 записей
Характерная черта дел по статье 137 в корпоративном контексте — активная роль Роскомнадзора. Ведомство выявляет утечки, составляет административные протоколы, а материалы проверки затем передаются в следственные органы. С 2023 года санкции по статье 13.11 КоАП существенно выросли: штраф для юридического лица за повторное нарушение при обработке биометрических данных достигает 500 000 рублей. Параллельно следователь проверяет наличие умысла у конкретного сотрудника — именно это открывает путь к уголовному составу.
Три сценария с разным уголовным риском:
| Субъект | Типичная ситуация | Норма | Риск |
|---|---|---|---|
| Собственник / директор | Санкционировал передачу данных сотрудников или клиентов третьей стороне | Ч. 2 ст. 137 УК РФ | до 4 лет |
| Наёмный директор | Выдал данные по устному указанию собственника без письменного основания | Ч. 1 или ч. 2 ст. 137 УК РФ | до 2–4 лет |
| Главный бухгалтер / HR | Передал справки о доходах или медицинские заключения по устному запросу | Ч. 2 ст. 137 УК РФ | до 4 лет |
Чем уголовный риск по статье 137 отличается от административной ответственности за персональные данные?
Уголовная ответственность по статье 137 Уголовного кодекса и административная по статье 13.11 КоАП различаются по субъекту, умыслу и последствиям. Административный состав предусматривает ответственность организации как оператора персональных данных — штраф до 500 000 рублей за отдельные нарушения. Уголовный состав адресован конкретному физическому лицу, действовавшему умышленно, и влечёт не штраф, а судимость, запрет занимать должности и реальное лишение свободы.
На практике административное и уголовное преследование нередко идут параллельно. Роскомнадзор составляет протокол в отношении компании; следователь, получив материалы, устанавливает конкретного сотрудника с умыслом и возбуждает уголовное дело. При этом факт уплаты компанией административного штрафа не освобождает виновное физическое лицо от уголовной ответственности.
Разграничение, принципиальное для защиты: статья 137 требует доказать умысел на раскрытие сведений именно о частной жизни, составляющих личную тайну. Передача служебных сведений о коммерческой деятельности конкурента квалифицируется по другим нормам — статьям 183 или 272 УК РФ. Поэтому первый вопрос защиты при возбуждении дела по статье 137: являются ли переданные сведения личной или семейной тайной конкретного потерпевшего — или это корпоративная информация.
Если компания уже получила предписание Роскомнадзора или следователь запросил документы об обработке персональных данных, время для выработки позиции ограничено. До предъявления требований о допросе важно понять, в каком статусе может оказаться директор или HR-специалист.
Как выстроить защиту при возбуждении дела по статье 137 УК РФ?
Защита по статье 137 Уголовного кодекса строится на трёх процессуальных направлениях: оспаривании умысла, исключении предмета преступления и достижении примирения с потерпевшим. Примирение (статья 25 УПК РФ) — наиболее реалистичный путь прекращения дела до приговора при первичном привлечении по части первой или части второй: необходимо возместить моральный вред и получить заявление потерпевшего об отсутствии претензий. Это условие выполнимо в большинстве корпоративных дел, где пострадавший — один или несколько сотрудников, а не неопределённый круг лиц.
Направления процессуальной защиты:
- Отсутствие умысла. Если передача данных произошла по ошибке, по устному указанию или в условиях неопределённости правового основания — это аргумент против прямого умысла, обязательного для состава статьи 137.
- Предмет не является личной тайной. Если переданные сведения — данные о коммерческой деятельности, публично известная информация или не составляющая личной тайны субъекта — состав статьи 137 отсутствует.
- Законное основание. Ряд операций с персональными данными допустим без согласия субъекта — в частности, передача данных государственным органам по запросу. Наличие такого основания исключает незаконность.
- Деятельное раскаяние (статья 28 УПК РФ): явка с повинной + устранение вреда + первичное привлечение. Применимо при части первой.
Главный врач частной клиники, Северо-Западный ФО, оборот 180 млн ₽
Превентивные меры: как снизить уголовный риск по статье 137 УК РФ в 2026 году?
Превентивная защита от уголовного преследования по статье 137 Уголовного кодекса включает организационные, технические и юридические меры, исключающие несанкционированный доступ к персональным данным и фиксирующие законные основания каждой операции с ними. Ключевой принцип: уголовный риск персонализирован — он лежит на конкретном сотруднике, а не на компании. Задача превентивных мер — сделать так, чтобы у следователя не было оснований для возбуждения дела против конкретного физического лица.
Что подготовить заранее: чек-лист для директора
- Реестр операторов и обработчиков данных — задокументировать, кто имеет доступ к каким категориям персональных данных и на каком основании.
- Политика обработки персональных данных — актуальный документ с перечнем целей, сроков хранения и порядком передачи третьим лицам; подписан директором.
- Инструктаж сотрудников — письменный под роспись, с описанием запрещённых действий и последствий нарушения. При возбуждении дела снимает с директора обвинение в соучастии.
- Журнал запросов — фиксировать каждый внешний запрос персональных данных с указанием основания, даты и ответственного исполнителя.
- Процедура реагирования на утечку — алгоритм действий при инциденте, включая уведомление Роскомнадзора в установленный срок (72 часа по Федеральному закону № 152-ФЗ).
Отдельное направление превентивной работы — аудит договоров с контрагентами, обрабатывающими персональные данные компании: колл-центры, рекламные агентства, аутсорсинговые бухгалтеры. Если такой контрагент допустит утечку данных клиентов вашей компании, следователь будет проверять, кто подписал договор поручения обработки и предусматривал ли он надлежащий контроль за обработчиком. Подробнее о структуре превентивных мер для бизнеса — в обзоре типовых корпоративных составов УК РФ.
Документ на 2 страницы: 12 триггеров, при которых административная ответственность компании перерастает в уголовное дело для директора или HR-специалиста. Со ссылками на нормы УК и КоАП.
Напишите «137 риски» в Telegram @nk_vitvet или WhatsApp — пришлём сразу.
- Защита по уголовному делу — сопровождение от проверки до приговора
- Уголовно-правовой аудит — оценка рисков до возбуждения дела
Статья 137 УК РФ — состав с относительно невысокими санкциями, но значительными последствиями: судимость, запрет на должности, репутационный ущерб для компании. Большинство дел прекращается до приговора при своевременно выработанной позиции. Ключевые инструменты защиты — примирение с потерпевшим, оспаривание умысла и исключение предмета из категории личной тайны — работают прежде всего на стадии расследования, а не в суде.
«Ветров. 49» специализируется на уголовной защите бизнеса. Рейтинг Право·300 с 2017 года, более 1 000 завершённых проектов. Команда анализирует доказательственную базу следствия, выстраивает позицию и сопровождает клиента на всех стадиях — от доследственной проверки до апелляции.