Уголовные риски при работе с персональными данными (152-ФЗ)

Топ-5 уголовных рисков оператора персональных данных

Оператор персональных данных несёт уголовно-правовые риски по пяти основным направлениям: неправомерный доступ к базам данных, незаконное распространение сведений о частной жизни, создание вредоносного программного обеспечения, разглашение коммерческой тайны и злоупотребление полномочиями должностным лицом. Каждый из этих рисков может реализоваться независимо от наличия умысла у руководителя — достаточно халатности сотрудника, получившего несанкционированный доступ к базе.

Риск 1. Утечка через внутреннего злоумышленника. Сотрудник с легитимным доступом копирует базу клиентов и продаёт её конкуренту или передаёт во внешний канал. Следствие рассматривает как субъекта не только сотрудника, но и руководителя службы безопасности и директора — при условии, что в компании не был установлен надлежащий режим доступа. Статья 272 УК РФ распространяется на всех причастных лиц.

Риск 2. Несанкционированная передача данных третьим лицам. Сервисный договор с подрядчиком без надлежащего поручения на обработку ПДн (статья 6 Федерального закона № 152-ФЗ) автоматически превращает передачу в незаконную. Если переданные сведения содержат банковскую или медицинскую информацию, добавляется риск по статье 183 УК РФ (незаконное получение и разглашение сведений, составляющих охраняемую законом тайну).

Риск 3. Хранение данных на зарубежных серверах. С 2023 года Федеральный закон № 152-ФЗ требует первичной локализации персональных данных российских граждан на территории России. Нарушение фиксирует Роскомнадзор, однако при повторных выявлениях и признаках умысла материалы направляются в СК РФ — с переквалификацией по статье 272 УК РФ.

Риск 4. Биометрические данные. С сентября 2023 года операторы, не передавшие биометрические ПДн в Единую биометрическую систему (ЕБС) в установленные сроки, подпадают под ужесточённые санкции РКН. Несогласованная обработка биометрии — дополнительный триггер для проверки по статье 137 УК РФ (часть вторая, использование специального технического средства).

Риск 5. Маркетинговые базы без согласий. Списки подписчиков, собранные без явного согласия субъекта и использованные для рассылок, становятся предметом проверки как по КоАП РФ, так и — при значительном объёме затронутых лиц — по статье 137 УК РФ. Суды признают массовые адресные рассылки по персональным данным без согласия формой незаконного распространения сведений о частной жизни.

Какие статьи УК РФ применяются к нарушениям 152-ФЗ?

Прямой «статьи за нарушение 152-ФЗ» в Уголовном кодексе не существует. Ответственность наступает по четырём основным нормам в зависимости от способа нарушения, категории данных и субъекта. Статья 272 УК РФ (неправомерный доступ к охраняемой компьютерной информации) — основная норма по делам об утечках: санкция от штрафа до семи лет лишения свободы по части четвёртой при тяжких последствиях или деянии организованной группой.

Как следствие возбуждает дела по утечкам персональных данных?

Типичный сценарий возбуждения уголовного дела по нарушению 152-ФЗ проходит три стадии: административная проверка РКН → передача материалов в СК РФ → доследственная проверка по статье 144 УПК РФ (срок — 30 суток с возможным продлением). По данным публичной статистики СК РФ, в 2024–2025 годах более 60% уголовных дел в сфере утечек данных инициировались именно по материалам Роскомнадзора, а не по заявлениям потерпевших.

Стадия 1. Инцидент или жалоба субъекта. Субъект ПДн обнаруживает, что его данные использованы без согласия, и обращается в РКН. Параллельно возможна утечка в публичный доступ (Telegram-каналы, даркнет), которую мониторят оперативные подразделения Управления «К» МВД и ФСБ.

Стадия 2. Проверка РКН и административное дело. РКН проводит плановую или внеплановую проверку. Если выявлены нарушения статей 18.1 и 19 Федерального закона № 152-ФЗ, составляется административный протокол. При наличии признаков умысла (передача данных за вознаграждение, систематический характер нарушений) материалы направляются в СК РФ по статье 37 УПК РФ.

Стадия 3. Доследственная проверка и обыск. После получения материалов СК РФ возбуждает проверку. В рамках оперативно-розыскных мероприятий (ОРМ) проводятся: получение информации о соединениях, анализ трафика, изучение журналов доступа к базам данных. Первым следственным действием в офисе, как правило, становится обыск по статье 182 УПК РФ. К этому моменту у компании остаётся не более 48 часов с момента уведомления об обыске до его проведения — на практике уведомления нет.

Кто внутри компании несёт уголовный риск при нарушении 152-ФЗ?

Уголовная ответственность за нарушение режима персональных данных распределяется между должностными лицами компании в зависимости от их полномочий и фактических действий. Следствие применяет трёхуровневую модель ответственности: непосредственный исполнитель (сотрудник), должностное лицо — куратор процесса (руководитель ИТ или DPO) и высшее должностное лицо (генеральный директор).

Собственник и генеральный директор. Несут риск по статьям 137 часть 2 и 201 УК РФ — при наличии доказательств осведомлённости о нарушении или личной выгоды. Следствие проверяет: были ли утверждены локальные акты об обработке ПДн, проводился ли инструктаж сотрудников, фиксировались ли инциденты. Отсутствие документального следа расценивается как признак формальной политики безопасности.

ИТ-директор и системный администратор. Основные фигуранты дел по статье 272 УК РФ. Риск возникает при: отсутствии ролевой модели доступа к базам данных, хранении резервных копий без шифрования, предоставлении избыточных прав подрядчикам. На практике следствие часто заходит через ИТ-специалиста, получая у него объяснения, и только затем предъявляет обвинение директору.

DPO (ответственный за обработку ПДн). С 2023 года для операторов, обрабатывающих ПДн в значительном объёме, назначение ответственного лица обязательно. DPO, не принявший мер при выявленном инциденте и не уведомивший РКН в 72-часовой срок (статья 21 Федерального закона № 152-ФЗ), становится соучастником по признаку попустительства.

Главный бухгалтер. Риск возникает при ведении расчётов с контрагентами, которым незаконно переданы базы клиентов, — как факт получения выгоды от незаконной деятельности (статья 174.1 УК РФ, легализация). Встречается редко, однако следствие проверяет движение средств при выявлении коммерческой составляющей утечки.

Что подготовить оператору ПДн превентивно

• Политика обработки ПДн — актуализированная редакция с датой утверждения, охватывающая все категории обрабатываемых данных.
• Журнал доступа к базам данных — ролевая модель, логи обращений к персональным данным, история изменений прав.
• Договоры поручения на обработку ПДн со всеми подрядчиками (статья 6 Федерального закона № 152-ФЗ) — без них передача данных юридически незаконна.
• Процедура реагирования на инциденты — регламент 72-часового уведомления РКН с назначенным ответственным лицом.
• Заключение уголовно-правового аудита — независимая оценка рисков по статьям 137, 272, 273, 183 УК РФ применительно к текущим процессам компании.

Как строится уголовная защита при делах о нарушении 152-ФЗ?

Уголовная защита оператора персональных данных строится по трём направлениям: технико-криминалистическое (оспаривание доказательной базы следствия), процессуальное (контроль допустимости собранных доказательств) и организационное (выработка единой позиции должностных лиц компании). Наиболее эффективные результаты достигаются при подключении защиты на стадии доследственной проверки — до предъявления обвинения.

Оспаривание доказательной базы. Центральное доказательство по делам о нарушении 152-ФЗ — заключение компьютерно-технической экспертизы. Следствие назначает государственного эксперта, однако заключение государственной экспертизы нередко содержит технические ошибки в описании архитектуры доступа. Защита вправе ходатайствовать о назначении дополнительной или повторной экспертизы (статья 207 УПК РФ) и представить рецензию специалиста на заключение государственного эксперта.

Процессуальный контроль при обыске. При проведении обыска в офисе (статья 182 УПК РФ) следователь вправе изъять компьютерную технику, серверы, носители информации и документы. Задача защиты — обеспечить фиксацию нарушений протокола: отсутствие понятых надлежащего статуса, несоответствие изъятого постановлению, нарушение порядка упаковки и опечатывания носителей. Каждое нарушение — основание для признания доказательства недопустимым по статье 75 УПК РФ.

Квалификационная защита. Разграничение составов 137 и 272 УК РФ принципиально для меры пресечения и санкции. Защита добивается квалификации по наименее тяжкой норме: отсутствие умысла на распространение (только хранение) исключает состав статьи 137; отсутствие признака «модификации или уничтожения» снижает квалификацию по статье 272 до части первой.

Стоимость защиты по делам о персональных данных

Стоимость работ зависит от стадии дела, числа фигурантов и сложности технической экспертизы. «Ветров. 49» работает по фиксированным тарифам на каждый этап — без почасовых надбавок и непредсказуемого итогового счёта. Ориентиры формируются на первичной консультации после изучения материалов.