Уголовные риски при работе с персональными данными (152-ФЗ)
Уголовная ответственность за нарушения в сфере персональных данных в России наступает не по самому 152-ФЗ, а по статьям 137, 272 и 183 УК РФ — в зависимости от характера деяния. По состоянию на май 2026 года число уголовных дел, связанных с утечками данных, ежегодно растёт: Роскомнадзор зафиксировал свыше 300 значимых утечек в 2024 году, часть из которых переданы в СК РФ. Для бизнеса, обрабатывающего большие базы клиентских данных, персональная уголовная ответственность сотрудников и руководителей стала реальным, а не теоретическим риском.
Оцените уголовные риски вашей системы работы с персональными данными до проверки Роскомнадзора.
Почему 152-ФЗ не наказывает уголовно — но практика давления на бизнес всё жёстче
Федеральный закон № 152-ФЗ «О персональных данных» устанавливает обязанности операторов: собирать данные с согласия, хранить на российских серверах, уведомлять Роскомнадзор об утечках. Но санкции самого закона носят отсылочный характер — за конкретные нарушения отвечают КоАП РФ и УК РФ. Уголовный кодекс применяется не за технические нарушения порядка обработки данных, а за умышленные деяния: сбор сведений о частной жизни без согласия, продажу клиентских баз, взлом корпоративных систем. Разница принципиальна: административное дело — штраф для организации, уголовное — судимость для физического лица.
Роскомнадзор с 2022 года последовательно ужесточает правоприменение. В 2023–2024 годах ведомство передало в правоохранительные органы материалы по ряду крупных утечек — торговых сетей, страховых компаний, банков. Число возбуждённых уголовных дел по статье 137 УК РФ (нарушение неприкосновенности частной жизни) выросло, по данным Судебного департамента при Верховном суде РФ, с 382 в 2021 году до более 500 в 2024 году. Значительная часть этих дел связана с незаконным оборотом персональных данных в коммерческих целях.
Для бизнеса ключевая проблема — «серая зона» между административным и уголовным правом. Компания нарушила порядок хранения данных — административный штраф. Сотрудник продал клиентскую базу конкуренту — уголовное дело. Но граница между этими ситуациями на практике размыта: следствие нередко квалифицирует системные нарушения как свидетельство умысла руководства.
Какие статьи УК РФ применяются при нарушениях с персональными данными?
Уголовная ответственность за нарушения с персональными данными наступает по трём основным статьям Уголовного кодекса: статье 137 (нарушение неприкосновенности частной жизни), статье 272 (неправомерный доступ к компьютерной информации) и статье 183 (незаконное получение и разглашение сведений, составляющих коммерческую, налоговую или банковскую тайну). Выбор статьи зависит от способа совершения деяния и категории пострадавших данных.
| Статья УК РФ | Деяние | Санкция (макс.) | Квалифицирующий признак |
|---|---|---|---|
| Ст. 137 ч. 1 | Незаконный сбор или распространение сведений о частной жизни | 2 года л/с | Умысел + нарушение тайны |
| Ст. 137 ч. 2 | То же, с использованием служебного положения | 4 года л/с | Должностной статус субъекта |
| Ст. 137 ч. 3 | В отношении несовершеннолетнего | 5 лет л/с | Категория субъекта данных |
| Ст. 272 ч. 1 | Неправомерный доступ к охраняемой компьютерной информации | 2 года л/с | Последствия: копирование, уничтожение |
| Ст. 272 ч. 2 | То же, из корыстного интереса или с крупным ущербом | 4 года л/с | Ущерб свыше 1 млн ₽ |
| Ст. 183 ч. 2 | Разглашение или использование сведений коммерческой тайны | 4 года л/с | Нарушение конфиденциальности |
| Ст. 183 ч. 3 | То же с причинением крупного ущерба или из корыстного интереса | 5 лет л/с | Ущерб свыше 1,5 млн ₽ |
Статья 137 УК РФ — наиболее часто применяемая в делах, связанных с клиентскими базами. Статья применима только при наличии умысла: следствие должно доказать, что лицо осознавало противоправность сбора или передачи сведений. Случайная или технически обусловленная утечка под статью не подпадает — это административная плоскость.
Статья 272 УК РФ применяется параллельно, когда данные получены посредством взлома, использования чужих учётных данных или обхода систем аутентификации. Совокупность статей 137 и 272 — типичная квалификация при продаже баз данных конкурентам или мошенникам.
Кто реально оказывается под следствием при утечке персональных данных?
Уголовное преследование при нарушениях с персональными данными направлено против физических лиц, а не против юридического лица. Под следствие попадают три категории сотрудников — в зависимости от роли в инциденте и организационного статуса.
Операционный исполнитель: менеджер по продажам, аналитик данных, сотрудник кол-центра, системный администратор. Именно эта категория чаще всего оказывается фигурантом дел по части первой статьи 137 УК РФ. Следствие доказывает факт передачи данных третьим лицам и осведомлённость о незаконности действий.
Руководитель подразделения или IT-директор: привлекается при доказанной осведомлённости о систематических нарушениях или при наличии указаний, выданных подчинённым. Квалификация — часть вторая статьи 137 УК РФ (использование служебного положения). Санкция — до четырёх лет лишения свободы.
Генеральный директор: привлекается редко, но практика есть. Условие — следствие должно доказать, что директор лично принимал решения о незаконной обработке или знал о системных нарушениях и не принял мер. Частая ошибка директора — подписание договоров с контрагентами, предусматривающих передачу клиентских баз без правового основания.
Менеджер микрофинансовой организации, Новосибирская область, выручка компании 480 млн ₽
Изложенные сценарии — не исчерпывающий перечень. Конкретная ситуация зависит от архитектуры данных в компании, характера договоров с контрагентами и того, какие документы уже были изучены Роскомнадзором или следователем.
Как следствие доказывает умысел при утечке персональных данных?
Умысел — центральный элемент состава по статье 137 УК РФ. Следствие доказывает его косвенными и прямыми доказательствами: перепиской в мессенджерах и корпоративной почте, транзакциями по счетам при возмездной передаче данных, показаниями покупателей баз данных, логами доступа к серверам. Без доказанного умысла состав преступления рассыпается — деяние квалифицируется как административное нарушение по статье 13.11 КоАП РФ.
Типичная доказательственная конструкция следствия строится следующим образом. Роскомнадзор фиксирует утечку и устанавливает источник — конкретное лицо или подразделение. Затем оперативники ОЭБиПК получают сведения об операциях по счетам (при возмездной передаче) или переписке. На этом этапе уже могут проводиться ОРМ (оперативно-розыскные мероприятия): прослушивание, наблюдение, контрольная закупка. После возбуждения дела следователь назначает компьютерно-техническую экспертизу — она устанавливает, кто и когда скопировал данные из корпоративной системы.
Параллельно с уголовным делом Роскомнадзор выносит предписание об устранении нарушений и возбуждает дело об административном правонарушении. Материалы административного дела — акт проверки, протокол, объяснения должностных лиц — передаются следователю и используются как доказательства осведомлённости компании о нарушениях. Дача объяснений Роскомнадзору без участия защитника несёт существенный риск: в дальнейшем эти объяснения могут быть использованы против объяснявшегося лица в уголовном деле.
Как бизнесу снизить уголовные риски при работе с персональными данными?
Снижение уголовных рисков в сфере персональных данных строится на трёх уровнях: организационном, техническом и правовом. Превентивная работа кратно дешевле защиты по возбуждённому уголовному делу — и начинается не с IT-инфраструктуры, а с разграничения ответственности между сотрудниками.
Ключевое направление — ролевое разграничение доступа к данным. Следствие значительно сложнее доказывает умысел, когда каждый сотрудник имел доступ строго к тем данным, которые необходимы для выполнения его функций, а не ко всей базе. Журналы доступа должны вестись и храниться не менее одного года — они же служат основным средством защиты при обвинении в утечке.
Что подготовить заранее:
- Политика обработки персональных данных с актуальными сведениями об операторе и перечне обрабатываемых данных (статья 18.1 152-ФЗ).
- Соглашения о конфиденциальности с каждым сотрудником, имеющим доступ к персональным данным, — с указанием санкций за нарушение.
- Журналы событий безопасности (логи доступа) с регламентом хранения не менее 12 месяцев.
- Договоры с контрагентами, получающими данные (поручение на обработку по статье 6 152-ФЗ), с явным перечнем разрешённых действий.
- Регламент уведомления Роскомнадзора об утечке с назначенным ответственным и алгоритмом действий в течение 24 часов.
Правовой уровень — это регламент поведения при проверке Роскомнадзора. Сотрудники, дающие объяснения проверяющим, должны понимать: их слова фиксируются и могут быть использованы в уголовном деле. Участие защитника при даче объяснений — не паранойя, а управление рисками. По делам, где компания заранее выстроила систему взаимодействия с регулятором, уголовное преследование прекращается значительно раньше — нередко на стадии доследственной проверки по статье 144 УПК РФ.
Если уголовное дело уже возбуждено, задача защитника — атаковать доказательственную базу умысла. Часто компьютерно-техническая экспертиза содержит методологические ошибки: неверная интерпретация логов, некорректное установление времени событий, ошибки в идентификации учётной записи. Оспаривание экспертизы — один из ключевых инструментов защиты по делам о неправомерном доступе к данным.
Директор по маркетингу торговой сети, Самарская область, выручка компании 1,2 млрд ₽
Приведённые кейсы демонстрируют: исход дела во многом определяется не фактом утечки, а качеством доказательственной базы и своевременностью привлечения защиты. Промедление с привлечением юриста после получения запроса Роскомнадзора или вызова на допрос существенно сужает процессуальные возможности защиты.
- Защита по уголовному делу — защита при обвинении по статьям 137, 272, 183 УК РФ
- Уголовно-правовой аудит — оценка рисков до проверки Роскомнадзора или СК РФ
12 контрольных точек для оценки системы обработки данных компании: роли доступа, логи, договоры с контрагентами, регламент уведомления Роскомнадзора. Подготовлен для собственника, IT-директора и юриста компании.
Напишите «152-ФЗ риски» в Telegram @nk_vitvet или WhatsApp — пришлём сразу.
Уголовные риски при работе с персональными данными — не абстрактная угроза: дела по статьям 137 и 272 УК РФ возбуждаются, а Роскомнадзор планомерно передаёт материалы в СК РФ. Граница между административным и уголовным преследованием определяется умыслом — а умысел доказывается в том числе по тем объяснениям, которые сотрудники дали регулятору без защитника.
«Ветров. 49» — юридический бутик с опытом в делах об экономических преступлениях, включая составы по статьям 137, 272 и 183 УК РФ. Рейтинг Право·300 с 2017 года, более 1 000 проектов. Работаем с собственниками, директорами и главными бухгалтерами на этапе превентивного аудита и в рамках уголовной защиты.