С 30 мая 2025 года в России ужесточены штрафы за нарушение правил обработки персональных данных. Фактически уже в 2026 году компании и частные лица сталкиваются с новой реальностью: необоснованное хранение, передача или публикация персональных данных может повлечь не только административную, но и уголовную ответственность. Ниже — подробности о том, что именно считается преступлением, по какой статье УК РФ наступает ответственность и как избежать рисков.
Основная статья УК РФ: 137 «Нарушение неприкосновенности частной жизни»
В Уголовном кодексе РФ нет отдельной нормы с формулировкой «незаконная обработка персональных данных». Однако все ключевые деяния покрывает ст. 137 УК РФ, а именно часть 2, введённая Федеральным законом № 99-ФЗ от г.
1.1 Состав преступления
- Объект: права и свободы человека и гражданина в сфере неприкосновенности частной жизни.
- Объективная сторона: сбор, хранение, использование или распространение сведений о частной жизни лица без его согласия с применением средств автоматизированной обработки.
- Субъект: любое физическое или юридическое лицо, достигшее 16 лет.
- Субъективная сторона: прямой умысел (лицо осознаёт незаконность действий).
1.2 Наказание
- Часть 2 ст. 137 УК РФ:
- штраф до 300 000 ₽
- обязательные работы до 480 часов
- исправительные работы до 1 года
- арест до 4 месяцев
- Квалифицирующие признаки: если деяние совершено из корыстной или иной личной заинтересованности, санкции увеличиваются до лишения свободы на срок до 4-х лет.
Когда обработка ПДн считается законной без согласия
Статья 6 Федерального закона № 152-ФЗ «О персональных данных» содержит исчерпывающий перечень случаев, когда обработка возможна без согласия субъекта:
- для исполнения закона или договора (п. 2 ч. 1 ст. 6)
- для защиты жизни или здоровья (п. 3)
- для осуществления правосудия, исполнения судебного акта (п. 4)
- для оперативно-розыскной деятельности (п; 5)
- для статистики и научных исследований с обязательной обезличкой (п. 6)
- для журналистской деятельности, если нет нарушения прав и законных интересов (п. 7)
- для официального опубликования государственных органов (п.
- для обязательного страхования (п. 9)
Если ваш случай не входит в этот перечень и согласия нет — действия считаются незаконными и подпадают под ст. 137 УК РФ.
Новые риски 2025–2026 гг.: рост штрафов и требований Роскомнадзора
3.1 Административные нововведения
С 30 мая 2025 года:
- максимальный административный штраф для юрлиц вырос до 15 млн ₽ (ст. 13.11 КоАП РФ);
- введён факультативный порядок уведомления Роскомнадзора о начале обработки ПДн: если вы собираете сведения из публичных источников (включая соцсети и сайты), в течение 10 рабочих дней нужно подать уведомление в реестр операторов.
3.2 Уголовные последствия
Если в результате незаконной обработки:
- произошла утечка сведений о специальных категориях ПДн (биометрия, здоровье, политические взгляды),
- или данные были переданы третьим лицам в коммерческих целях,
то дело переводится из административной плоскости в уголовную, по ст. 137 УК РФ или, в ряде случаев, ст. 274 УК РФ «Нарушение правил защиты информации».
Практические примеры 2026 года
Пример 1: HR-отдел компании без согласия сотрудника передал его трудовую характеристику стороннему рекрутеру
Результат: возбуждено уголовное дело по ч. 2 ст. 137 УК РФ, директор оштрафован на 200 000 ₽, кадровик приговорён к 180 часам обязательных работ.
Пример 2: Сервис доставки случайно опубликовал список клиентов с адресами в открытом Google-документе
Результат: Роскомнадзор выписал административный штраф 10 млн ₽, утечка признана массовой, дело передано в СКР для оценки признаков ст. 137 УК РФ.
Пример 3: Учёный использовал обезличенные медицинские данные для диссертации без согласия пациентов
Результат: ответственность не наступила, поскольку данные были полностью обезличены, и исследование квалифицировалось как научное (п. 6 ч. 1 ст. 6 152-ФЗ).
Как избежать уголовной ответственности: чек-лист 2026
- Определите правовое основание обработки (согласие, договор, закон и т. д.).
- Оформите согласие в письменной или электронной форме (чёткая формулировка целей, сроков и перечня данных).
- Подайте уведомление в Роскомнадзор, если обработка начата с 1 июля 2025 года и основание не очевидно (например, публичные источники).
- Опубликуйте политику конфиденциальности на сайте и в офисе, разъясните права субъектов.
- Внедрите технические меры защиты (шифрование, разграничение доступов, логирование).
- Ведите реестр операций обработки ПДн — это обязательный документ при проверке.
- Обучите персонал по программе, утверждённой ФСТЭК (курсы «Персональные данные и информационная безопасность»).
Что делать, если уже произошло нарушение
- Немедленно локализуйте утечку (удалите публичный доступ, смените пароли).
- В течение 24 часов уведомите Роскомнадзор и пострадавших лиц (ст. 152-ФЗ).
- Проведите внутреннее расследование, зафиксируйте объём утечки.
- Подайте добровольное заявление в полицию и укажите меры, принятые для устранения последствий — это может смягчить наказание.
- Проконсультируйтесь с юристом по защите ПДн и при необходимости заключите мировое соглашение с потерпевшими.
В 2026 году любое незаконное действие с персональными данными может быстро перерасти из административного проступка в уголовное преступление по ст. 137 УК РФ. Ключ к безопасности — чёткое соблюдение законодательства, своевременное уведомление Роскомнадзора и прозрачная работа с субъектами ПДн.
Помните: доверие клиента стоит дороже любого штрафа, а уголовное дело — это не только деньги, но и репутация, которую восстановить гораздо сложнее.