Ст. 137 УК РФ: нарушение персональных данных в компании (6-й выпуск)
Статья 137 УК РФ устанавливает уголовную ответственность за незаконный сбор или распространение сведений о частной жизни лица без его согласия — в том числе персональных данных сотрудников и клиентов компании. По состоянию на май 2026 года ежегодно возбуждается более 1 200 уголовных дел по этой статье; значительная часть касается корпоративной среды. Для директора, кадровика или IT-администратора разница между административным штрафом и реальным сроком определяется умыслом и должностным положением.
Оцените уголовные риски для вашей компании — до того, как этим займётся следователь.
Что является составом преступления по статье 137 УК РФ?
Статья 137 УК РФ защищает конституционное право на неприкосновенность частной жизни (статья 23 Конституции РФ). Преступление образует умышленный незаконный сбор сведений о частной жизни лица без его согласия либо их распространение публично или в СМИ. Под «частной жизнью» суды понимают персональные данные в смысле Федерального закона № 152-ФЗ — сведения о состоянии здоровья, семейном положении, доходах, переписке, биометрические данные.
Объективная сторона состоит из двух самостоятельных деяний: сбор (получение любым способом без согласия) и распространение (передача третьим лицам, публикация). Достаточно одного из них. Субъективная сторона — только прямой умысел: виновный осознаёт незаконность, желает наступления результата. Неосторожная утечка (например, ошибочная рассылка) уголовного состава не образует — здесь применяется административная ответственность.
Часть первая — базовый состав, санкция до двух лет лишения свободы. Часть вторая применяется при использовании служебного положения: директор, кадровик, системный администратор, получившие доступ к данным именно в силу должности. Санкция — до четырёх лет. Часть третья — специальный состав: распространение сведений о несовершеннолетних, пострадавших по уголовному делу, — до пяти лет лишения свободы.
Чем уголовная ответственность за нарушение персональных данных отличается от административной?
Уголовная ответственность по статье 137 УК РФ и административная по статье 13.11 КоАП РФ защищают смежные интересы, но применяются к разным субъектам и при разных обстоятельствах. Административный состав — нарушение порядка обработки персональных данных: отсутствие согласия субъекта, нарушение сроков хранения, передача данных оператору без договора. Уголовный — умышленное распространение сведений о частной жизни конкретного человека без его согласия с осознанием незаконности.
Принципиальное различие — в субъекте ответственности. Административный штраф по статье 13.11 КоАП РФ назначается юридическому лицу (до 6 млн рублей при повторном нарушении с 2024 года). Уголовное преследование по статье 137 УК РФ — физическому лицу: директору, кадровику, IT-администратору. Оба состава применяются одновременно: компания платит административный штраф, её сотрудник становится фигурантом уголовного дела.
С 2023 года штрафы по КоАП за нарушения в сфере персональных данных существенно возросли. Поправки, вступившие в силу в 2024 году, ввели оборотные штрафы за утечку данных большого объёма — до 3% от годовой выручки компании. Это повышает стимул для следственных органов возбуждать уголовные дела параллельно с административными: крупная утечка теперь однозначно привлекает внимание как Роскомнадзора, так и МВД. Подробнее о смежных рисках при налоговых проверках — в материале «Налоговая проверка: что делать».
Граница между административным нарушением и уголовным составом нередко определяется на этапе доследственной проверки. Позиция, занятая сотрудниками компании в первые часы после запроса правоохранительных органов, во многом предопределяет исход.
Кто в компании рискует стать фигурантом дела по статье 137 УК РФ?
Уголовный риск по статье 137 УК РФ в корпоративной среде распределён неравномерно: часть вторая применяется только к лицам, использующим служебное положение, что на практике означает три категории сотрудников. Конкретный субъект определяется тем, кто принял решение о передаче данных, имел к ним законный служебный доступ и осознавал незаконность своих действий.
Директор и владелец бизнеса. Риск возникает при санкционировании передачи персональных данных сотрудников или клиентов третьим лицам — в том числе банкам, партнёрам, коллекторам — без надлежащего правового основания. Частая ошибка: руководитель передаёт базу данных клиентов новому партнёру при реструктуризации бизнеса, считая это «рабочим вопросом». Если клиенты не давали согласия на такую передачу, а среди данных есть сведения о состоянии здоровья или финансовом положении, — состав части второй статьи 137 УК РФ налицо.
Кадровик и HR-специалист. Передача трудовых книжек, справок о доходах, сведений о состоянии здоровья сотрудника третьим лицам без письменного согласия работника — типичный сценарий. Запросы от судебных приставов или банков исполнять обязательно; запросы от «знакомых» директора, адвокатов другой стороны в споре или от частных лиц — нет. На практике кадровики нередко выдают справки по устному указанию руководства, не проверяя законность основания.
IT-администратор и системный администратор. Выгрузка клиентской базы при увольнении, предоставление доступа к CRM третьим лицам, копирование персональных данных на внешние носители — всё это при наличии умысла образует состав части второй статьи 137 УК РФ. Суды квалифицируют подобные действия как «использование служебного положения», даже если IT-специалист действовал по указанию директора: соисполнительство не освобождает от ответственности.
Что подготовить сотрудникам, работающим с персональными данными:
- Локальный акт о порядке обработки персональных данных с перечнем лиц, имеющих доступ
- Журнал запросов на предоставление данных третьим лицам с указанием правового основания
- Форма согласия субъекта персональных данных, охватывающая конкретные цели передачи
- Регламент действий сотрудника при получении запроса от правоохранительных органов
Директор торговой сети, выручка 380 млн ₽
Как складывается судебная практика по статье 137 УК РФ в 2024–2026 годах?
По данным Судебного департамента при Верховном суде РФ, ежегодно по статье 137 УК РФ осуждается от 150 до 250 человек, однако реальное число возбуждённых дел значительно выше — большинство прекращается на досудебном этапе либо завершается примирением сторон. Доля обвинительных приговоров среди дел, дошедших до суда, превышает 85%, что соответствует общей тенденции по уголовным делам в России.
Характерная черта корпоративных дел по части второй статьи 137 УК РФ — возбуждение на волне трудовых конфликтов. По наблюдениям из практики, значительная часть заявлений поступает от уволенных сотрудников, бывших деловых партнёров или конкурентов, располагающих сведениями о незаконных передачах данных. Следствие использует корпоративный конфликт как точку входа для широкой доследственной проверки, нередко совмещая её с обысками в офисе.
Тенденция 2024–2026 годов: увеличение числа дел, связанных с утечками клиентских баз данных. Рост оборотных штрафов по КоАП создал для потерпевших (клиентов компаний) стимул подавать уголовные заявления в отношении конкретных сотрудников, ответственных за утечку. Параллельно Роскомнадзор активнее направляет материалы проверок в МВД при выявлении признаков умысла. Смежные риски при работе с персональными данными в контексте налоговых и корпоративных дел разобраны в материале «Составы преступлений в сфере бизнеса».
Особенность квалификации в корпоративных делах: суды устанавливают «использование служебного положения» расширительно. Достаточно, чтобы виновный имел доступ к данным в силу должности — не требуется, чтобы он официально был назначен оператором данных. IT-специалист, администрирующий CRM, признаётся субъектом части второй, даже если в его должностной инструкции нет упоминания персональных данных.
Как защититься: превентивные меры и стратегия при возбуждённом деле?
Защита по статье 137 УК РФ строится на двух уровнях: превентивном (до возбуждения дела) и процессуальном (после). Превентивный уровень значительно дешевле и эффективнее: устранение условий для обвинения обходится в разы меньше, чем защита на стадии следствия или в суде. Центральный элемент превентивной защиты — документальное подтверждение законного основания каждой операции с персональными данными.
На стадии доследственной проверки критически важно установить, какие именно сведения квалифицируются следствием как «частная жизнь». Не все персональные данные охраняются статьёй 137 УК РФ — только те, что относятся к частной жизни лица. Защита нередко строится на доказательстве того, что переданные сведения не являлись сведениями о частной жизни в уголовно-правовом смысле, либо что согласие субъекта имелось в иной форме (например, в условиях пользовательского соглашения).
Три сценария в зависимости от статуса в компании:
| Субъект | Типичный риск | Инструмент защиты | Срок реакции |
|---|---|---|---|
| Собственник / директор | Санкция передачи базы клиентов без согласия | Доказательство законного основания: договор поручения, согласие в оферте | До возбуждения дела |
| Главный бухгалтер / кадровик | Передача справок о доходах по устному указанию | Письменный приказ руководства как основание; отказ без письменного поручения | Немедленно при запросе |
| IT-администратор | Выгрузка БД при увольнении / доступ третьих лиц | Журнал доступа, разграничение прав, протокол уничтожения данных при увольнении | Постоянный режим |
При уже возбуждённом деле центральные направления защиты: оспаривание наличия умысла (неосторожная утечка — не уголовный состав); доказательство законного основания передачи данных; установление отсутствия предмета преступления (переданные сведения не относились к «частной жизни»). По части первой статьи 137 УК РФ возможно прекращение дела за примирением сторон (статья 76 УК РФ) при возмещении вреда потерпевшему. Это наиболее быстрый путь завершить дело без судимости.
Подробнее о тактике при обыске в офисе и допросе сотрудников читайте в разделе «Аналитика» — следственные действия.
Системный администратор, штат 80 человек
Чек-лист из 12 пунктов: что документировать, кому давать доступ и как реагировать на запросы правоохранительных органов.
Напишите «137 регламент» в Telegram @nk_vitvet или WhatsApp — пришлём сразу.
- Защита по уголовному делу — сопровождение с доследственной проверки до суда
- Уголовно-правовой аудит — превентивный анализ рисков по персональным данным
Уголовная ответственность по статье 137 УК РФ в корпоративном контексте — не абстрактный риск: возбуждение дела против директора или ключевого сотрудника компании нередко становится инструментом в корпоративном конфликте или следствием утечки данных, на которую компания не обратила должного внимания. Превентивный аудит занимает один-два рабочих дня и выявляет конкретные уязвимые точки в процессах обработки данных.
«Ветров. 49» входит в рейтинг Право·300 с 2017 года, реализовал свыше 1 000 проектов в сфере уголовной защиты бизнеса. По делам, связанным с персональными данными и информационными составами, практика включает сопровождение на стадии доследственной проверки, защиту при обысках и опросах, а также уголовно-правовой аудит процессов хранения и передачи данных.