Ст. 137 УК РФ: нарушение персональных данных в компании

Что именно криминализирует статья 137 УК РФ?

Статья 137 УК РФ запрещает два самостоятельных деяния: незаконное собирание сведений о частной жизни лица и их незаконное распространение — без согласия потерпевшего, совершённые из корыстной или иной личной заинтересованности, если это причинило вред правам и законным интересам гражданина. Оба деяния могут совершаться как в связке, так и раздельно. Для состава достаточно одного из них.

Понятие «сведения о частной жизни» в УК РФ прямо не раскрывается. Суды ориентируются на разъяснения Конституционного суда: это информация, которую лицо не намерено раскрывать неопределённому кругу лиц, — персональные данные, сведения о состоянии здоровья, семейные и имущественные обстоятельства, переписка, данные о местонахождении. Именно поэтому статья 137 пересекается с Федеральным законом № 152-ФЗ «О персональных данных»: закон № 152-ФЗ определяет режим обработки, а статья 137 УК РФ — уголовную ответственность за его нарушение с умыслом.

Ключевой элемент объективной стороны — незаконность действия. Если сотрудник получил данные законно (в рамках трудовых обязанностей, с согласия субъекта), но затем передал их третьим лицам без оснований — это уже незаконное распространение. Корыстная заинтересованность означает стремление к материальной выгоде; «иная личная» — месть, конкурентная борьба, давление на контрагента.

Состав материальный: для оконченного преступления необходимо доказать причинение вреда правам потерпевшего. Вред может быть репутационным, имущественным, психологическим — суды принимают широкий спектр доказательств.

Кто в компании рискует быть привлечён по статье 137 УК РФ?

Субъект преступления по части первой статьи 137 — общий: любое физическое лицо, достигшее 16 лет. Субъект части второй — специальный: лицо, использующее служебное положение для доступа к персональным данным или их распространения. Именно эта часть составляет основной риск для корпоративного сектора.

На практике под часть вторую подпадают:

• Руководители HR-подразделений — при передаче данных уволенных сотрудников конкурентам или коллекторам.
• Системные администраторы и ИТ-специалисты — при копировании баз данных клиентов, журналов переписки, медицинских или финансовых записей.
• Менеджеры по продажам — при уводе клиентской базы при увольнении (если база содержит персональные данные: Ф. И. О., телефоны, паспортные данные).
• Главные бухгалтеры — при раскрытии сведений о заработной плате, налоговых вычетах, счетах конкретных физических лиц.
• Генеральный директор — если давал прямые поручения на передачу данных либо лично участвовал в операции.

Три сценария риска:

• Собственник ООО: риск минимален, если он не участвовал лично в передаче данных. Но при корпоративном конфликте — когда партнёр передаёт клиентскую базу противоборствующей стороне — статья 137 часто сопровождает ст. 183 УК РФ (незаконное получение и разглашение коммерческой тайны).
• Наёмный директор: наибольший риск по части второй. Суды признают директора лицом, использующим служебное положение, даже если фактически передачу данных осуществлял подчинённый по его указанию.
• Главный бухгалтер: специфический риск — разглашение данных о зарплатах, налоговых выплатах, банковских реквизитах физических лиц при взаимодействии с контрагентами или в ходе корпоративного конфликта.

Описанное разграничение субъектов — базовое. Конкретный риск зависит от того, какой именно доступ был у сотрудника, какие данные переданы и кому. Оценить ситуацию до возбуждения дела значительно проще и дешевле, чем после.

Как следствие возбуждает и расследует дело по нарушению персональных данных?

Уголовные дела по статье 137 УК РФ в корпоративном контексте возбуждаются преимущественно по заявлению потерпевшего — физического лица (бывшего сотрудника, клиента, контрагента). Реже — по материалам Роскомнадзора, выявившего нарушение в ходе проверки. Следователь устанавливает: факт распространения, связь между субъектом и данными, умысел, причинённый вред.

Доказательственная база по таким делам стандартна и включает:

• Журналы доступа к информационным системам (СУБД, CRM, 1С).
• Электронную переписку и мессенджеры — изымаются при обыске или запрашиваются у операторов связи.
• Свидетельские показания коллег, получателей данных, самого потерпевшего.
• Трудовые договоры, должностные инструкции, соглашения о неразглашении — для установления объёма служебных полномочий.
• Экспертизу в области компьютерной информации — для восстановления маршрута передачи файлов.

Частая ошибка директора: давать объяснения по существу до получения правовой позиции защиты. На стадии доследственной проверки (статьи 144–145 УПК РФ) лицо ещё не является подозреваемым, но показания, данные на этом этапе, в дальнейшем используются обвинением. Право на отказ от дачи показаний по статье 51 Конституции РФ действует с первого контакта со следствием.

Многие недооценивают скорость, с которой следователь формирует доказательную базу по цифровым делам: запросы к облачным хранилищам, мессенджерам и корпоративным почтовым серверам исполняются операторами в течение 3–10 рабочих дней. К моменту первого допроса у следствия нередко уже есть полный массив переписки.

Типичные корпоративные ситуации: где статья 137 УК РФ применяется на практике

Анализ судебной практики по делам о нарушении персональных данных выявляет несколько устойчивых корпоративных паттернов. Большинство уголовных дел вырастает из одной из следующих ситуаций.

Увольнение с базой данных. Сотрудник при уходе копирует клиентскую базу — таблицы с именами, телефонами, историей покупок. Если база содержит персональные данные физических лиц, а не только юридических лиц-контрагентов, — это потенциальный состав по части первой или второй статьи 137 УК РФ. Суды квалифицируют подобные действия как незаконное собирание (если сотрудник делал копии в нарушение регламента доступа) или незаконное распространение (если передал базу конкуренту).

Корпоративный конфликт участников. Один из совладельцев ООО передаёт данные сотрудников или клиентов — медицинские карты, трудовые договоры, сведения о доходах — партнёру по переговорам или СМИ в качестве инструмента давления. Здесь иная личная заинтересованность выражена максимально явно.

Служба безопасности и слежка за сотрудниками. Руководство поручает службе безопасности собирать сведения о личной жизни работников — переписку в личных мессенджерах, данные геолокации, медицинские сведения. Даже если корпоративные устройства формально принадлежат компании, сбор сведений о частной жизни без согласия работника криминализирован.

Матрица рисков по типовым ситуациям в компании:

Как защититься от уголовного преследования по статье 137 УК РФ?

Защита по статье 137 УК РФ строится на трёх уровнях: превентивный комплаенс до инцидента, тактика при доследственной проверке и процессуальная стратегия после возбуждения дела. Чем раньше подключается защита, тем шире набор инструментов.

Превентивные меры. На уровне компании — ключевые элементы, снижающие риск возбуждения дела:

• Политика обработки персональных данных с чёткими ролями доступа (DLP-системы фиксируют факт копирования).
• Соглашения о неразглашении с указанием конкретного перечня защищаемых сведений и ответственности.
• Журналы доступа с регулярным аудитом — снимают презумпцию осведомлённости руководства о нарушении.
• Инструктаж сотрудников под подпись о правомерных пределах использования корпоративных данных.

Тактика на стадии проверки. При получении повестки на допрос или при появлении сотрудников полиции в офисе — немедленное обращение за юридической помощью, отказ от дачи объяснений до согласования позиции. Это не уклонение от следствия, а реализация конституционного права.

Процессуальная стратегия. После возбуждения дела — несколько векторов:

• Оспаривание умысла: если сотрудник действовал в рамках полученных полномочий или по указанию руководства, не осознавая незаконности — умысел не доказан.
• Примирение с потерпевшим (статья 25 УПК РФ, статья 76 УК РФ): реалистично по частям первой и второй при первом нарушении и компенсации вреда.
• Переквалификация: при отсутствии признаков служебного использования — с части второй на часть первую, что меняет санкцию и категорию тяжести.
• Истечение срока давности: по части первой — 6 лет, по части второй — также 6 лет (преступление средней тяжести).

Экономика решения: уголовно-правовой аудит политики обработки персональных данных обходится компании в фиксированную сумму. Защита по возбуждённому делу — на порядок дороже и не гарантирует того же результата, который превентивный комплаенс делал бы невозможным.

Статья 137 УК РФ в корпоративном контексте остаётся недооценённым риском: большинство компаний выстраивают защиту от административных санкций Роскомнадзора, но не учитывают уголовную составляющую. Между тем именно часть вторая — использование служебного положения — формирует личный риск для руководителя и ключевых сотрудников, который не страхуется и не делегируется.

«Ветров. 49» — юридический бутик с рейтингом Право·300 с 2017 года и более 1 000 проектов в области уголовной защиты бизнеса. Анализируем уголовный риск по конкретной ситуации: до возбуждения дела, на стадии проверки и в ходе расследования.