Уголовные риски при работе с персональными данными (152-ФЗ)
Нарушение режима обработки персональных данных — это не только административные штрафы до 6 млн ₽ по статье 13.11 КоАП РФ. С 2023 года правоохранительные органы всё чаще возбуждают уголовные дела по статьям 137 и 272 УК РФ в отношении конкретных должностных лиц. По состоянию на май 2026 года число возбуждённых дел, связанных с незаконным оборотом персональных данных, увеличилось в три раза по сравнению с 2021 годом. Директор, IT-руководитель и главный бухгалтер рискуют получить реальный срок — без надлежащего регламента и понимания уголовных рисков.
Проверьте, есть ли в вашей компании уголовные риски по персональным данным.
Почему работа с персональными данными по 152-ФЗ создаёт реальный уголовный риск?
Федеральный закон № 152-ФЗ «О персональных данных» устанавливает административную ответственность для оператора — юридического лица. Уголовный кодекс РФ, напротив, привлекает к ответственности конкретного человека: директора, IT-директора, системного администратора, главного бухгалтера. Административный штраф платит компания; реальный срок получает физическое лицо. Это принципиальное разграничение часто упускается при оценке рисков.
Роскомнадзор с 2022 года расширил практику передачи материалов в органы внутренних дел при выявлении признаков умышленных нарушений. Параллельно МВД России фиксирует устойчивый рост преступлений в сфере компьютерной информации: по данным официальной статистики, в 2024 году было зарегистрировано более 530 000 IT-преступлений, из которых значительная часть связана с незаконным оборотом персональных данных.
Типичная схема: Роскомнадзор фиксирует утечку данных, составляет протокол по статье 13.11 КоАП РФ в отношении организации и одновременно направляет материалы в органы внутренних дел или ФСБ — при наличии признаков умысла или значительного ущерба субъектам данных. Следователь возбуждает дело по статье 137 или 272 УК РФ в отношении конкретных должностных лиц.
Уголовный риск для бизнеса обостряется ещё одним обстоятельством: персональные данные сотрудников, клиентов и контрагентов обрабатываются практически в любой компании. Расчёт зарплаты, CRM-система, база покупателей — всё это данные субъектов по смыслу 152-ФЗ. Нарушение режима обработки даже одной записи технически образует объективную сторону состава.
Какие статьи УК РФ применяются при нарушении режима персональных данных?
Уголовная ответственность за нарушения при работе с персональными данными охватывает три основных состава: статью 137 УК РФ (нарушение неприкосновенности частной жизни), статью 272 УК РФ (неправомерный доступ к компьютерной информации) и статью 183 УК РФ (незаконное получение и разглашение охраняемой законом тайны). Выбор нормы зависит от способа нарушения, субъекта и наступивших последствий. Санкции варьируются от штрафа в 200 000 рублей до лишения свободы на срок до семи лет.
| Статья УК РФ | Описание состава | Максимальная санкция | Субъект |
|---|---|---|---|
| Ст. 137 ч. 1 | Незаконный сбор/распространение сведений о частной жизни | Лишение свободы до 2 лет | Общий |
| Ст. 137 ч. 2 | То же с использованием служебного положения | Лишение свободы до 4 лет | Должностное лицо |
| Ст. 272 ч. 1 | Неправомерный доступ к охраняемой компьютерной информации | Лишение свободы до 2 лет | Общий |
| Ст. 272 ч. 3 | То же с тяжкими последствиями или из корыстных побуждений | Лишение свободы до 7 лет | Организованная группа |
| Ст. 183 ч. 2 | Незаконное разглашение персональных данных, составляющих коммерческую тайну | Лишение свободы до 3 лет | Сотрудник с доступом |
| Ст. 138 ч. 1 | Нарушение тайны переписки, телефонных переговоров | Штраф до 80 000 ₽ / ограничение свободы до 1 года | Общий |
Статья 137 УК РФ — основной инструмент в делах, связанных с персональными данными физических лиц. Для её применения следствие должно доказать: (1) данные относятся к частной жизни субъекта; (2) сбор или распространение состоялись без согласия; (3) действия носили умышленный характер. Особую роль играет понятие «распространение»: достаточно передать данные одному лицу без законного основания.
Статья 272 УК РФ применяется, когда нарушение связано с компьютерными системами: несанкционированным доступом к базе данных, копированием, модификацией или уничтожением данных. Конкурирующие нормы (ст. 137 и ст. 272) могут применяться в совокупности — это увеличивает совокупное наказание.
Кто несёт уголовную ответственность: директор, IT-руководитель или бухгалтер?
Уголовная ответственность за нарушение режима персональных данных возлагается на физическое лицо, которое фактически совершило деяние или дало на него указание с использованием служебного положения. Юридическое лицо по УК РФ субъектом преступления не является. Следствие устанавливает конкретного исполнителя и организатора — для каждого из них квалификация может различаться.
На практике под уголовное преследование попадают три категории должностных лиц:
Директор (генеральный директор). Несёт ответственность по статье 137 части 2 УК РФ, если отдал приказ о передаче базы данных клиентов третьим лицам без согласия субъектов, либо организовал процесс обработки без надлежащего правового основания. Частая ошибка директора — подписание договора с контрагентом, которому передаются персональные данные, без проверки его статуса оператора по 152-ФЗ и без согласия субъектов.
IT-директор или системный администратор. Попадает под статью 272 УК РФ при несанкционированном доступе к базам данных, копировании и передаче информации. Особенно уязвима позиция сотрудника, который скопировал базу данных при увольнении или передал её конкурентам. Здесь нередко добавляется квалификация по статье 183 УК РФ — разглашение коммерческой тайны.
Главный бухгалтер. Несёт ответственность при незаконном раскрытии данных сотрудников (доходы, медицинские сведения, биометрические данные), обрабатываемых в рамках расчёта заработной платы. Объективная сторона формируется, если бухгалтер умышленно предоставил сведения третьим лицам — например, коллекторам, рейдерам или в ходе корпоративного конфликта.
Кейс 1 · 2024 · Розничная торговля
IT-директор сети магазинов, Приволжский ФО, выручка компании 280 млн ₽
Когда Роскомнадзор и следствие реально возбуждают дело: практика 2023–2026 годов?
Уголовное дело по статьям 137 или 272 УК РФ в сфере персональных данных возбуждается при одновременном наличии трёх факторов: умысла конкретного физического лица, значительного объёма затронутых данных и установленного ущерба субъектам или государственному регулированию. Административные нарушения без умысла — в сфере уголовного права нерелевантны. Именно этим объясняется, почему тысячи компаний платят штрафы по КоАП и не привлекаются к уголовной ответственности.
С 2023 года прослеживается три устойчивых сценария, предшествующих возбуждению уголовного дела:
Сценарий 1: Коммерческая продажа базы данных. Массовые утечки, когда персональные данные граждан появляются в открытом доступе или продаются на специализированных ресурсах — главный триггер для уголовного преследования. Следствие легко устанавливает умысел и корыстную цель. Суды квалифицируют такие действия по совокупности статей 137 и 272 УК РФ.
Сценарий 2: Корпоративный конфликт. Бывший директор или сотрудник передаёт базу клиентов конкурирующей структуре. Заявителем выступает компания-оператор. В этом случае добавляется квалификация по статье 183 УК РФ — разглашение коммерческой тайны. Срок по совокупности составов может достигать 7 лет.
Сценарий 3: Использование данных для мошенничества. Если утечка повлекла последующее мошенничество в отношении субъектов данных (например, звонки от имени банка), следствие квалифицирует исходную утечку как приготовление к мошенничеству по статье 159 УК РФ — в совокупности со статьёй 272. Это переводит дело в категорию тяжких и резко увеличивает санкцию.
Отдельного внимания заслуживает практика возбуждения дел по жалобам субъектов персональных данных. Гражданин, чьи данные были незаконно распространены — в интернете, через коллекторов, в ходе развода или корпоративного спора — вправе подать заявление в МВД напрямую. Следователь обязан провести проверку по статье 144 УПК РФ в течение 30 суток. Такие дела составляют около 20% от общего числа возбуждённых по статье 137 УК РФ.
Как снизить уголовные риски при обработке персональных данных по 152-ФЗ?
Снижение уголовных рисков при обработке персональных данных требует не просто соблюдения требований 152-ФЗ на бумаге, а создания реальной системы разграничения доступа и документирования правовых оснований для каждого действия с данными. Ключевое значение имеют три элемента: политика обработки, матрица доступа и регламент реагирования на инциденты — именно они становятся доказательствами отсутствия умысла при возбуждении дела.
Для трёх ключевых категорий должностных лиц уголовный риск различается:
| Субъект | Главный риск | Инструмент защиты |
|---|---|---|
| Директор | Ст. 137 ч. 2 УК РФ — указание на передачу данных | Приказы с правовым обоснованием; согласия субъектов |
| IT-директор / сисадмин | Ст. 272 УК РФ — несанкционированный доступ / копирование | Журналы доступа; NDA; DLP-системы |
| Главный бухгалтер | Ст. 137 ч. 2 УК РФ — разглашение данных сотрудников | Регламент раскрытия; запрос обоснования |
Что подготовить компании прямо сейчас:
- Актуальная политика обработки персональных данных с датой утверждения и подписями ответственных лиц
- Матрица доступа: кто из сотрудников, к каким данным, на каком основании имеет доступ
- Журнал инцидентов и регламент уведомления Роскомнадзора в течение 24/72 часов по Федеральному закону № 152-ФЗ
- NDA с сотрудниками, имеющими доступ к базам данных клиентов и персонала
- Договоры с обработчиками данных (аутсорсинговые компании, облачные сервисы) с условиями по безопасности
Превентивная работа кратно дешевле защиты по возбуждённому делу. Уголовно-правовой аудит обработки персональных данных позволяет выявить зоны риска до того, как Роскомнадзор или следователь сделают это первыми. Виталий Ветров неоднократно отмечал в комментариях: в большинстве дел, связанных с утечками данных, компании имели возможность устранить уголовный риск за несколько недель до инцидента — при наличии профессионального аудита.
Описанный подход применим к большинству операторов персональных данных. Конкретная стратегия зависит от отрасли, числа субъектов данных в базе, используемых систем хранения и уже имевших место инцидентов. Сформировать регламент под свою структуру можно в рамках уголовно-правового аудита.
Генеральный директор МФО, Северо-Западный ФО, выручка 95 млн ₽
- Уголовно-правовой аудит — проверка рисков по 152-ФЗ до возбуждения дела
- Защита по уголовному делу — ведение дела по ст. 137, 272, 183 УК РФ
15 пунктов проверки для оператора: правовые основания, матрица доступа, регламент инцидентов, договоры с обработчиками. Проверьте свою компанию за 30 минут.
Напишите «ПДн риски» в Telegram @nk_vitvet или WhatsApp — пришлём сразу.