Ст. 137 УК РФ: нарушение персональных данных в компании (5-й выпуск)

В чём состав преступления по статье 137 УК РФ?

Статья 137 УК РФ защищает неприкосновенность частной жизни: незаконный сбор или распространение сведений о частной жизни лица без его согласия образует состав преступления при наличии прямого умысла. Часть первая предусматривает штраф до 200 000 рублей или лишение свободы до двух лет. Часть вторая — та же деятельность с использованием служебного положения — влечёт лишение свободы до четырёх лет и запрет занимать должности на срок до пяти лет.

Предмет преступления — «сведения о частной жизни»: медицинские диагнозы, семейное положение, финансовое состояние, сексуальная жизнь, религиозные убеждения, переписка. В корпоративном контексте под эту категорию подпадают персональные данные сотрудников и клиентов, которые компания обрабатывает как оператор в рамках Федерального закона № 152-ФЗ «О персональных данных».

Обязательный признак субъективной стороны — прямой умысел: виновный осознаёт незаконность своих действий и желает раскрыть именно те сведения, которые составляют частную жизнь конкретного человека. Это принципиально отличает уголовный состав от административного, где умысел не требуется.

Важно учитывать, что диспозиция статьи охватывает как активные действия — незаконный сбор, то есть получение данных без согласия субъекта — так и распространение: передачу третьим лицам, публикацию, использование в коммерческих целях. Хранение персональных данных само по себе состава по статье 137 не образует — только активное противоправное действие с ними.

Как статья 137 разграничивается с административной ответственностью по статье 13.11 КоАП РФ?

Административная ответственность за нарушение персональных данных по статье 13.11 КоАП РФ и уголовная по статье 137 УК РФ существуют параллельно, но имеют принципиально разные основания. Административный состав фиксирует процедурные нарушения оператора персональных данных — отсутствие политики конфиденциальности, обработку данных без согласия, нарушение требований локализации. Максимальный штраф для юридического лица по статье 13.11 КоАП РФ достигает 500 000 рублей.

Уголовный состав по статье 137 УК РФ требует трёх дополнительных условий. Первое — конкретный потерпевший: преступление совершается в отношении определённого физического лица, а не абстрактного «субъекта персональных данных». Второе — незаконность действия: отсутствие правового основания для сбора или передачи сведений. Третье — прямой умысел: осознанное желание нарушить право конкретного человека на частную жизнь.

На практике важно учитывать, что административное и уголовное преследование не исключают друг друга. Роскомнадзор фиксирует нарушение и штрафует организацию, а параллельно материалы могут быть переданы в органы внутренних дел для проверки наличия признаков состава по статье 137 УК РФ в действиях конкретных сотрудников.

Кто реально попадает под уголовное преследование по статье 137 УК РФ в корпоративном контексте?

Анализ судебной практики показывает три устойчивых типа обвиняемых в корпоративных делах по статье 137 УК РФ: бывший сотрудник, забравший клиентскую базу при увольнении; менеджер, передавший персональные данные коллеги или клиента третьим лицам в личных целях; и директор, отдавший распоряжение раскрыть медицинские или финансовые сведения о работнике.

Наиболее уязвимая категория — системные администраторы и сотрудники HR-служб. Они имеют технический доступ к полным базам персональных данных в силу служебных обязанностей, и любая несанкционированная выгрузка или передача данных формально подпадает под часть вторую статьи 137 — с квалифицирующим признаком использования служебного положения.

Три характерных сценария уголовного преследования:

• Собственник ООО: дал указание юридическому отделу раскрыть сведения о бывшем партнёре контрагентам с целью дискредитации — риск части второй статьи 137 УК РФ.
• Наёмный директор: организовал передачу базы данных клиентов конкурирующей структуре при смене работодателя — риск части второй в совокупности со статьёй 183 УК РФ (незаконное получение и разглашение коммерческой тайны).
• Главный бухгалтер: передал сведения о заработных платах сотрудников третьему лицу без их согласия — риск части первой или второй в зависимости от умысла и способа передачи.

Отдельную категорию составляют дела, связанные с передачей персональных данных в рамках корпоративных конфликтов. Один из акционеров или партнёров раскрывает конфиденциальные сведения о другом — деловые связи, финансовое положение, личную жизнь — в целях давления или дискредитации. Такие дела квалифицируются по статье 137 УК РФ, а в ряде случаев в совокупности со статьёй 159 (мошенничество) или статьёй 163 (вымогательство).

Квалификация действий по части первой или второй существенно влияет на стратегию защиты и вероятность прекращения дела. Ошибка на этапе первых допросов нередко лишает обвиняемого возможности добиться переквалификации.

Как следствие строит доказательную базу по делам о нарушении персональных данных?

Следователи по делам статьи 137 УК РФ формируют доказательную базу из трёх ключевых источников: цифровые следы (журналы доступа к базам данных, метаданные файлов, электронная переписка), показания потерпевшего и свидетелей, а также заключения компьютерно-технических экспертиз. Именно экспертиза носителей информации определяет, был ли доступ к данным санкционирован и когда произошла выгрузка.

На практике важно учитывать, что следователь вправе изъять серверное оборудование, рабочие компьютеры и смартфоны сотрудников в рамках обыска по статье 182 УПК РФ. Компании без настроенных систем логирования доступа оказываются в особенно уязвимом положении: при отсутствии журналов доступа следствие интерпретирует любой контакт с базой данных в пользу обвинения.

Срок расследования по стандартному делу статьи 137 УК РФ составляет от двух до шести месяцев. При назначении компьютерно-технической экспертизы дело нередко расследуется до восьми месяцев. Срок давности по части первой — два года, по части второй — шесть лет с момента совершения деяния.

Частая ошибка директора или владельца бизнеса — попытка самостоятельно «урегулировать» ситуацию: переговоры с потерпевшим без адвоката, удаление данных с корпоративных серверов после возбуждения дела. Уничтожение доказательств после начала расследования квалифицируется как отдельное деяние и существенно ухудшает позицию обвиняемого.

Стратегия защиты и превентивные меры для бизнеса

Стратегия защиты по делам статьи 137 УК РФ строится на двух направлениях: оспаривание умысла и переквалификация на административный состав либо прекращение дела в связи с возмещением ущерба. Доказать отсутствие прямого умысла — то есть то, что сотрудник действовал по ошибке или в рамках служебных полномочий, — означает вывести ситуацию из уголовно-правового поля в административное.

Ключевой инструмент защиты на досудебном этапе — письменные соглашения о возмещении вреда потерпевшему. По части первой статьи 137 УК РФ (небольшая тяжесть) дело может быть прекращено судом по основаниям статьи 76 УК РФ — примирение с потерпевшим при условии возмещения причинённого вреда. Это наиболее реалистичный результат при отсутствии отягчающих обстоятельств и первичном привлечении к ответственности.

Превентивные меры для компании, снижающие риск уголовного преследования сотрудников:

• Ввести ролевую модель доступа к базам персональных данных: каждый сотрудник имеет доступ только к тем данным, которые необходимы для выполнения его функций.
• Настроить системы логирования всех операций с персональными данными с хранением журналов не менее 12 месяцев.
• Внедрить регламент работы с запросами третьих лиц на предоставление сведений о сотрудниках или клиентах.
• Провести обучение HR-службы и ИТ-отдела по правовым основаниям обработки персональных данных согласно Федеральному закону № 152-ФЗ.
• Разработать внутреннюю процедуру реагирования на инциденты — утечки и несанкционированный доступ — с фиксацией всех шагов.

После того как стратегия защиты выработана на этапе предварительного следствия, важно не допустить ухудшения позиции в суде. Отказ от признания вины в сочетании с возмещением ущерба потерпевшим — наиболее сбалансированная тактика при наличии технических доказательств вины. Признание умысла без юридической необходимости нередко исключает возможность переквалификации.

Превентивный аудит системы обработки персональных данных занимает от двух до четырёх недель и стоит кратно меньше, чем защита по возбуждённому делу. На этапе следствия цена промедления — не деньги, а процессуальные возможности.

Уголовное преследование по статье 137 УК РФ в корпоративном контексте строится на цифровых доказательствах — журналах доступа, метаданных файлов, переписке. Без своевременного вмешательства защитника следствие формирует картину обвинения, которую впоследствии крайне сложно оспорить. Превентивный аудит и правильная позиция в первые дни проверки — ключевые инструменты снижения риска.

«Ветров. 49» специализируется на уголовной защите бизнеса с 2017 года. Рейтинг Право·300, более 1000 проектов. Практика охватывает как превентивный аудит систем обработки данных, так и защиту на всех стадиях уголовного дела — от доследственной проверки до кассации.