Уголовные риски при работе с персональными данными (152-ФЗ)
Нарушения в сфере персональных данных влекут уголовную ответственность по статье 137 УК РФ с санкцией до четырёх лет лишения свободы при использовании служебного положения — это не административный штраф. По состоянию на май 2026 года число уголовных дел, связанных с утечками баз данных, увеличилось в три раза относительно 2022 года. Для директора, ИТ-директора и главного администратора баз данных наступление уголовной ответственности зависит от конкретного умысла и организационных мер, принятых в компании.
Оценим уголовные риски вашей системы обработки персональных данных до того, как это сделает следователь.
Почему 152-ФЗ превратился в источник уголовных рисков для бизнеса
Нарушения в сфере персональных данных до 2019 года рассматривались преимущественно как административный вопрос. Поправки к Федеральному закону № 152-ФЗ «О персональных данных» и параллельное ужесточение санкций статьи 13.11 КоАП РФ сдвинули риски вверх по шкале серьёзности. Сегодня следствие применяет статью 137 УК РФ к случаям, которые пять лет назад закрывались предписанием Роскомнадзора.
Ключевой перелом — масштабные утечки данных 2022–2024 годов. По данным МВД РФ, число возбуждённых дел по статьям, связанным с незаконным оборотом персональных данных, в 2024 году превысило 1 200 в год против 380 в 2021 году. Следственный комитет и МВД активно применяют совокупность составов: статью 137 УК РФ в связке со статьями 272 и 183.
Для бизнеса это означает следующее: утечка клиентской базы — это не только репутационный урон и штраф. Это потенциальное уголовное дело в отношении конкретного физического лица — директора, системного администратора, DBA или менеджера по продажам, передавшего список клиентов конкуренту.
Какие статьи УК РФ применяются при нарушениях 152-ФЗ в 2026 году?
Уголовная ответственность за нарушения в сфере персональных данных охватывает три основных состава Уголовного кодекса. Статья 137 УК РФ (нарушение неприкосновенности частной жизни) — базовый состав: санкция по части 1 — до двух лет лишения свободы, по части 2 с использованием служебного положения — до четырёх лет. Статья 272 УК РФ (неправомерный доступ к компьютерной информации) применяется, когда утечка сопровождалась взломом или несанкционированным копированием баз данных. Санкция по части 3 — до четырёх лет.
| Статья УК РФ | Состав | Санкция (максимум) | Квалифицирующий признак |
|---|---|---|---|
| Ст. 137, ч. 1 | Незаконный сбор / распространение сведений о частной жизни | 2 года л/с | Умысел + нарушение согласия |
| Ст. 137, ч. 2 | То же с использованием служебного положения | 4 года л/с | Должностной доступ |
| Ст. 272, ч. 1 | Неправомерный доступ к охраняемой компьютерной информации | 2 года л/с | Копирование / блокировка |
| Ст. 272, ч. 3 | То же группой лиц или из корыстных побуждений | 4 года л/с | Группа / корысть |
| Ст. 183, ч. 2 | Незаконное использование сведений коммерческой тайны | 3 года л/с | Использование / разглашение |
| Ст. 183, ч. 3 | То же с тяжкими последствиями | 5 лет л/с | Тяжкие последствия |
Административная ответственность по статье 13.11 КоАП РФ не исключает уголовной — они применяются к разным субъектам. Штраф до 500 000 рублей получает организация-оператор. Уголовное дело возбуждается в отношении физического лица, чьё конкретное действие образовало состав. На практике следствие возбуждает административное производство как первичное, собирает доказательную базу, а затем материалы передаются в уголовный суд.
Граница между административным делом и уголовным нередко определяется на стадии доследственной проверки — до возбуждения дела. Именно в этот период наиболее эффективна работа защиты.
Кто в компании несёт уголовную ответственность за персональные данные?
Уголовная ответственность за нарушения в сфере персональных данных является персональной: привлекается не организация, а конкретное физическое лицо, чьё действие образует состав преступления. Следствие разграничивает три категории фигурантов в зависимости от их роли в обработке данных и полномочий доступа.
Директор (генеральный директор). Несёт ответственность по части 2 статьи 137 УК РФ в случаях, когда персональные данные сотрудников или клиентов переданы третьим лицам с его ведома или когда он установил организационные практики, фактически исключающие защиту данных. Квалифицирующий признак «использование служебного положения» применим, если директор имел доступ к базе данных именно как руководитель.
Системный администратор / DBA. Наиболее уязвимая категория. Технический сотрудник, имеющий root-доступ к базам данных, по умолчанию является субъектом статьи 272 УК РФ при несанкционированном копировании. Следствие квалифицирует действия DBA по совокупности со статьёй 137, если скопированные данные содержат персональные сведения.
Главный бухгалтер. Обрабатывает персональные данные сотрудников (зарплатная ведомость, СНИЛС, паспортные данные). Передача этих сведений третьим лицам — коллекторам, контрагентам, супругам — образует состав статьи 137 УК РФ при наличии умысла.
Что подготовить для снижения персональной уголовной ответственности
- Приказ о назначении ответственного за обработку персональных данных с чётко описанным кругом полномочий
- Матрица доступа к базам данных с журналом аудита — кто, когда, какие записи просматривал
- Подписанные соглашения о конфиденциальности с каждым сотрудником, имеющим доступ к ПДн
- Технические меры защиты по приказу ФСТЭК № 21 — документальное подтверждение их внедрения
- Регламент реагирования на инциденты и уведомления Роскомнадзора в 24-часовой срок
Как следствие доказывает умысел при утечке персональных данных?
Умысел — обязательный элемент состава статьи 137 УК РФ. Следствие должно доказать, что лицо осознавало незаконность своих действий и желало их совершить или сознательно допускало наступление последствий. На практике доказывание умысла строится на четырёх блоках цифровых доказательств, каждый из которых требует специальной экспертизы.
Логи систем доступа. Следователь запрашивает журналы СУБД и систем документооборота: когда пользователь обращался к таблицам с персональными данными, какие запросы выполнял, были ли попытки экспорта. Нестандартный паттерн активности — массовая выборка записей в нерабочее время — интерпретируется как признак умысла.
Переписка в мессенджерах. Следствие получает переписку через судебное решение об обыске мобильного устройства или запрос к провайдеру. Переговоры о цене базы данных, обсуждение конкретных клиентов и передача файлов образуют прямые доказательства умысла.
Движение файлов. Компьютерно-техническая экспертиза восстанавливает историю копирования файлов: на USB-накопитель, в облачное хранилище, через корпоративную почту. Метаданные файлов фиксируют дату и время операции.
Свидетельские показания. Коллеги, руководители, покупатели данных — их показания о характере переданных сведений и мотивах передачи используются для квалификации умысла как прямого или косвенного.
Практика 2024–2025 годов: как разворачиваются дела о персональных данных
Уголовная практика по делам об утечках персональных данных в России сформировалась в 2022–2025 годах. Значимая черта периода — переход от единичных дел к системному применению статьи 137 УК РФ в связке с составами главы 28 УК РФ (преступления в сфере компьютерной информации). Следствие всё чаще возбуждает дела не по заявлению потерпевшего, а по результатам собственного мониторинга даркнет-площадок, где торгуются похищенные базы.
DBA технологической компании, Свердловская область, выручка ~320 млн ₽
После предъявления обвинения по статье 137 части 2 УК РФ у стороны защиты есть, как правило, 48–72 часа до выбора судом меры пресечения. Промедление с привлечением защитника на этом этапе существенно сужает процессуальные возможности.
Менеджер микрофинансовой организации, Санкт-Петербург, выручка ~180 млн ₽
Как снизить уголовные риски при обработке персональных данных: стратегия защиты
Уголовные риски в сфере персональных данных делятся на два уровня: риск привлечения к ответственности за действия сотрудников и риск прямого привлечения руководителя. Стратегия защиты различается в зависимости от стадии — превентивная или уже при наличии уголовного дела.
Превентивный уровень. Ключевой инструмент — разграничение доступа и ведение аудит-логов. Если каждое обращение к таблицам с персональными данными фиксируется с идентификатором пользователя и временной меткой, следствие может точно установить конкретное лицо. Это снижает риск привлечения руководителя по «размытому» умыслу. Внешний уголовно-правовой аудит позволяет выявить точки уязвимости до инцидента.
При доследственной проверке. Нарушения 152-ФЗ проходят стадию доследственной проверки по статьям 144–145 УПК РФ: следователь или дознаватель изучает материалы до принятия решения о возбуждении дела. На этой стадии защита может представить документальные доказательства принятых организационных мер — это основание для отказа в возбуждении или для квалификации по административной, а не уголовной статье.
После возбуждения дела. Направление работы защиты — оспаривание умысла и квалифицирующих признаков. Переквалификация с части 2 на часть 1 статьи 137 УК РФ (без служебного положения) существенно меняет перспективу дела. Примирение с потерпевшими по статье 76 УК РФ доступно, если преступление относится к категории небольшой или средней тяжести.
- Защита по уголовному делу — защита директора и сотрудников по статьям 137, 272 УК РФ
- Уголовно-правовой аудит — превентивный анализ рисков в сфере персональных данных
15 пунктов: разграничение доступа, аудит-логи, регламенты уведомления, соглашения о конфиденциальности. Проверьте систему до того, как это сделает следователь.
Напишите «152-ФЗ риски» в Telegram @nk_vitvet или WhatsApp — пришлём сразу.
Граница между административным делом и уголовным в сфере персональных данных определяется умыслом конкретного сотрудника и документальными доказательствами организационных мер компании. Обе переменные поддаются управлению — до инцидента превентивными мерами, после — позицией защиты.
«Ветров. 49» специализируется на уголовной защите бизнеса с 2017 года. Рейтинг Право·300, Best Lawyers 2021, более 1 000 проектов. Конфиденциальность по соглашению.