Уголовные риски при работе с персональными данными (152-ФЗ)
Обработка персональных данных регулируется Федеральным законом № 152-ФЗ «О персональных данных», однако нарушения режима их защиты влекут не только административные санкции, но и уголовную ответственность по статьям 137, 272, 274.1 УК РФ. По состоянию на май 2026 года число уголовных дел, связанных с утечками данных и неправомерным доступом к информационным системам, ежегодно прирастает на 18–20% по данным МВД России. Материал — для директора, ИТ-руководителя и владельца бизнеса, работающего с данными пользователей, клиентов или сотрудников.
Получите оценку уголовных рисков для вашей компании — бесплатно, конфиденциально.
Топ-5 уголовных рисков для операторов персональных данных
Уголовная ответственность за нарушения в сфере персональных данных возникает при наличии умысла или грубой халатности, повлёкшей существенный ущерб субъектам данных. По состоянию на май 2026 года следствие чаще всего возбуждает дела по пяти сценариям: утечка базы данных клиентов через сотрудника, продажа данных конкурентам, неправомерный доступ к корпоративным системам, передача данных третьим лицам без согласия субъектов и нарушение режима критической информационной инфраструктуры. Каждый из этих сценариев влечёт разные составы УК РФ — от административного проступка до лишения свободы на срок до 10 лет.
Риск 1. Утечка базы данных клиентов. Если сотрудник скопировал и продал клиентскую базу — следствие рассматривает это как незаконный сбор и распространение сведений о частной жизни (статья 137 УК РФ) либо как кражу (статья 158 УК РФ), если данные обладают коммерческой ценностью. Руководителя могут привлечь по части 2 статьи 137 за ненадлежащий контроль, если он знал о нарушении или создал условия для него.
Риск 2. Продажа данных конкурентам или брокерам. Целенаправленная передача персональных данных за вознаграждение квалифицируется по статье 137 УК РФ и — при наличии договорённости нескольких лиц — по части 2 или 3 как деяние, совершённое группой лиц по предварительному сговору. Санкция по части 3 — лишение свободы до 5 лет.
Риск 3. Неправомерный доступ к информационной системе. Статья 272 УК РФ применяется, когда сотрудник или внешнее лицо получает доступ к базам данных, защищённым техническими средствами, без соответствующих прав. Квалифицирующий признак — причинение ущерба свыше 1 млн ₽ (крупный размер по части 3).
Риск 4. Передача данных за рубеж без уведомления Роскомнадзора. Трансграничная передача данных без соответствующего уведомления по статье 12 Федерального закона № 152-ФЗ сама по себе — административное нарушение. Уголовная составляющая возникает, если передача осуществлялась с умыслом нанести вред субъектам данных или связана с деятельностью иностранного агента.
Риск 5. Нарушение безопасности критической информационной инфраструктуры (КИИ). Компании из финансового сектора, телекома, здравоохранения, транспорта и энергетики подпадают под Федеральный закон № 187-ФЗ «О безопасности КИИ». Статья 274.1 УК РФ предусматривает лишение свободы на срок до 10 лет за создание условий для нарушения работы объектов КИИ.
Какие составы УК РФ применяются при нарушениях 152-ФЗ?
Уголовный кодекс не содержит отдельной статьи «за нарушение 152-ФЗ» — следствие применяет смежные составы в зависимости от характера деяния. Центральные нормы: статья 137 УК РФ (нарушение неприкосновенности частной жизни), статья 272 УК РФ (неправомерный доступ к охраняемой компьютерной информации) и статья 274.1 УК РФ (неправомерное воздействие на КИИ). Для дел с признаком организованной группы или получения дохода применяется и статья 159 УК РФ (мошенничество), если данные использовались для хищения.
| Состав | Норма | Максимальная санкция | Типичный субъект |
|---|---|---|---|
| Незаконный оборот персональных данных | Ст. 137 УК РФ, ч. 2–3 | До 5 лет | Директор, сотрудник HR / CRM |
| Неправомерный доступ к базам данных | Ст. 272 УК РФ, ч. 3–4 | До 7 лет | ИТ-директор, системный администратор |
| Нарушение безопасности КИИ | Ст. 274.1 УК РФ, ч. 4–5 | До 10 лет | Руководитель объекта КИИ |
| Мошенничество с использованием данных | Ст. 159 УК РФ, ч. 4 | До 10 лет | Директор, топ-менеджер |
| Разглашение коммерческой тайны | Ст. 183 УК РФ, ч. 2 | До 3 лет | Менеджер по продажам, ИТ |
Разграничение административного и уголовного деяния — ключевой вопрос защиты. Уголовный кодекс Российской Федерации требует доказать умысел и существенный ущерб. Если этих элементов нет — деяние остаётся административным по КоАП РФ. Задача защиты на ранней стадии — закрепить доказательную базу, подтверждающую отсутствие умысла.
Технологическая компания, Новосибирск, выручка 380 млн ₽
Как следствие возбуждает дела по персональным данным: типичный сценарий
Дело по статьям 137 и 272 УК РФ в сфере персональных данных редко возбуждается по инициативе самого следователя. Типичный сценарий: Роскомнадзор фиксирует факт утечки или нарушения режима обработки → передаёт материал в СК РФ в порядке статьи 144 УПК РФ → следователь проводит доследственную проверку (срок — 30 суток с продлением до 30 суток) → возбуждает дело или выносит отказ. Параллельно оперативное сопровождение ведёт Управление «К» МВД России.
Именно на стадии доследственной проверки у бизнеса есть наибольший процессуальный ресурс. После возбуждения дела следствие, как правило, проводит обыски в офисе и изымает серверное оборудование, что парализует работу компании на срок от нескольких недель до нескольких месяцев.
Второй канал возбуждения — жалобы субъектов данных. Если пострадавший от утечки гражданин подаёт заявление в полицию или СК напрямую, проверка начинается вне зависимости от позиции Роскомнадзора. Третий — оперативные разработки Управления «К» МВД: в рамках оперативно-розыскных мероприятий (ОРМ) проверяются маркетплейсы данных, теневые форумы и базы, выставленные на продажу.
Приведённый сценарий — базовый. Конкретный порядок действий следствия зависит от статуса компании как оператора, наличия объектов КИИ и масштаба утечки. Оценить персональные риски для вашей ситуации можно на предварительной консультации.
Кто несёт уголовную ответственность: директор, ИТ-директор или сотрудник?
Уголовная ответственность в делах о персональных данных персональна: привлекают конкретных физических лиц, а не юридическое лицо. Следствие выстраивает цепочку: кто принял решение об обработке данных, кто настроил системы защиты, кто допустил к данным неуправомоченное лицо. Директор как оператор по статье 18.1 Федерального закона № 152-ФЗ несёт ответственность за организацию режима обработки — это делает его уязвимым субъектом по части 2 статьи 137 УК РФ.
ИТ-директор и системный администратор — первые, кого следствие допрашивает как подозреваемых по статье 272 УК РФ. Их действия по предоставлению доступа, настройке прав и реагированию на инциденты документируются в ходе технической экспертизы. Главный бухгалтер попадает под риск в сценариях, связанных с передачей данных о зарплатах и выплатах третьим лицам.
На практике важно учитывать следующее: если компания имела утверждённую политику обработки персональных данных, провела инструктаж сотрудников и зафиксировала технические меры защиты, — это существенно сужает основания для привлечения директора. Суд учитывает этот факт при оценке умысла по части 2 статьи 137 УК РФ.
- Утверждённая политика обработки персональных данных (актуальная редакция)
- Журнал инструктажей сотрудников с подписями
- Матрица прав доступа к информационным системам
- Уведомление Роскомнадзора о статусе оператора
- Протокол реагирования на инциденты (IR-план)
Как «Ветров. 49» выстраивает защиту по делам с персональными данными
Защита по делам о нарушениях режима персональных данных строится вокруг двух задач: не допустить возбуждения дела или добиться его прекращения до суда, и — если дело возбуждено — обеспечить переквалификацию на менее тяжкий состав. Оба направления требуют раннего включения: чем позже привлечён защитник, тем меньше процессуального пространства для манёвра.
На стадии доследственной проверки — сопровождение при допросах должностных лиц, оспаривание оснований для изъятия серверного оборудования, подготовка мотивированного объяснения об отсутствии умысла и наличии систем защиты данных. На этой стадии возможно прекращение в порядке пункта 2 части 1 статьи 24 УПК РФ (отсутствие состава преступления).
После возбуждения дела — работа с технической экспертизой: оспаривание методики, привлечение независимого эксперта, опровержение квалифицирующих признаков (крупный ущерб, организованная группа). Параллельно — ходатайство об изменении меры пресечения, возврате изъятого оборудования и обеспечении непрерывности бизнеса клиента.
Частая ошибка директора — участие в допросах без защитника, полагая, что компания «всё сделала правильно». Протокол допроса, данный без подготовки, нередко содержит формулировки, которые следствие впоследствии использует для доказательства умысла.
МФО, Москва, выручка 620 млн ₽
Каждая ситуация требует индивидуальной оценки: стадия дела, статус клиента в деле (подозреваемый / свидетель), наличие документов о системах защиты данных — всё это влияет на выбор стратегии. Важно начать работу до первого допроса.
Стоимость и сроки работы по делам с персональными данными
Стоимость защиты по делу о нарушениях режима персональных данных определяется стадией дела и составом. Три типовых сценария — для собственника, наёмного директора и ИТ-руководителя — различаются как по объёму работы, так и по срокам.
| Сценарий | Стадия | Ориентировочный срок | Формат работы |
|---|---|---|---|
| Собственник / директор как оператор ПД | Доследственная проверка | 1–3 месяца | Сопровождение допросов, подготовка объяснений, аудит документов |
| ИТ-директор / администратор | После возбуждения дела | 6–18 месяцев | Защита на следствии, работа с экспертизой, ходатайства |
| Компания в целом (превентив) | До проверки / инцидента | 10–15 рабочих дней | Уголовно-правовой аудит + план устранения рисков |
Превентивный аудит по уголовным рискам 152-ФЗ обходится существенно дешевле, чем защита по возбуждённому делу. Экономика проста: устранение уязвимостей в документах и системах защиты данных до инцидента занимает 2–4 недели и требует минимального бюджета; ведение дела на стадии предварительного следствия — это многомесячная работа команды с непредсказуемым горизонтом.
- Защита по уголовному делу — ведение дел по ст. 137, 272, 274.1 УК РФ
- Уголовно-правовой аудит — проверка рисков до возбуждения дела
- Защита при обысках и допросах — выезд при следственных действиях
12 контрольных точек по документам, системам защиты и порядку уведомления Роскомнадзора — для самостоятельной оценки до прихода проверяющих.
Напишите «152-ФЗ риски» в Telegram @nk_vitvet или WhatsApp — пришлём сразу.
Часто задаваемые вопросы
Уголовные риски в сфере персональных данных — одни из наиболее быстро растущих в практике экономической уголовки. Статьи 137 и 272 УК РФ применяются даже при отсутствии умысла на продажу данных: достаточно халатного хранения или ненадлежащей настройки прав доступа. Превентивный аудит и грамотная документация снижают риск до минимума.
«Ветров. 49» специализируется на уголовной защите бизнеса с 2017 года: рейтинг Право·300, Best Lawyers 2021, более 1000 проектов в практике защиты предпринимателей. По делам в сфере персональных данных — опыт на всех стадиях: от доследственной проверки до суда.