Дата актуализации: 04 августа 2026 г.
Что изменилось в законодательстве
С 1 сентября 2025 года вступили в силу ключевые поправки к Уголовному кодексу РФ, введённые Федеральным законом № 533-ФЗ от 29 июля 2025 г. В УК добавлена статья 137.1 «Незаконная передача персональных данных». С момента вступления закона в силу уже заведено свыше 300 уголовных дел, а выявлено более 600 преступлений, связанных с незаконной передачей персональных данных (далее — ПДн).
Состав преступления по ст. 137.1 УК РФ
- Объект — установленный законом порядок обработки и защиты персональных данных.
- Объективная сторона — передача ПДн третьим лицам без письменного согласия субъекта данных.
- Субъект — как физические, так и юридические лица, выступающие операторами или контрактными обработчиками ПДн.
- Субъективная сторона, прямой умысел (лицо осознаёт, что действует без согласия, но всё же передаёт данные).
Когда согласие не требуется (п. 2 ч. 1 ст. 6 ФЗ-152)
Закон допускает обработку без согласия, если она необходима для исполнения возложенных законом на оператора функций, полномочий и обязанностей. Однако передача третьим лицам всё равно требует формализованного согласия, за исключением строго регламентированных случаев (например, передача государственным органам по запросу, предусмотренному законом).
Ключевые санкции
| Категория нарушителя | Максимальное наказание |
|---|---|
| Физическое лицо (1-е нарушение) | Штраф до 500 тыс. руб. или лишение свободы до 2 лет |
| Физическое лицо (повторное нарушение) | Штраф до 1 млн руб. или лишение свободы до 4 лет |
| Юридическое лицо | Штраф до 5 млн руб. с возможным запретом деятельности |
Кто чаще всего попадает под статью
По данным Роскомнадзора и Следственного комитета, самыми «проблемными» стали сотрудники российской отрасли связи: именно на них приходится наибольшее число уголовных дел. Причины — высокий доступ к базам клиентов и недостаточный контроль внутренних процессов.
Как защититься: чек-лист для бизнеса и частных лиц
- Проверяйте правовое основание. Даже если обработка разрешена без согласия, передача третьим лицам потребует письменного согласия или отдельного правового основания.
- Обновите договоры и политики. С 1 сентября 2025 г. форма согласия должна включать:
- срок действия;
- конкретные цели передачи;
- полный перечень получателей.
- Внедрите технические меры. Шифрование, журналы доступа и разграничение прав помогают доказать, что данные не передавались без согласия.
- Обучите персонал. 90 % случаев нарушений происходит из-за человеческого фактора.
- Аудит и DPIA. Регулярная оценка влияния на права субъектов ПДн позволяет выявить риски до передачи данных.
Что делать, если вы уже передали данные без согласия
Шаг 1. Немедленно уведомите Роскомнадзор в течение 24 часов (ст. 152 ФЗ-152).
Шаг 2. Уведомите субъектов ПДн о факте утечки и принятых мерах.
Шаг 3. Проведите внутреннее расследование и составьте план устранения последствий.
Шаг 4. Обратитесь к юристу для оценки риска уголовного преследования и подготовки документов.
Новая статья 137.1 УК РФ делает незаконную передачу персональных данных третьим лицам уголовно наказуемым деянием даже при первичном нарушении. Чтобы избежать штрафов до 5 млн руб. и реального тюремного срока, каждая компания и частное лицо-оператор обязаны пересмотреть свои процессы и документы в соответствии с требованиями, действующими с 1 сентября 2025 года.
Помните: только строгое соблюдение процедур, прозрачность целей и наличие письменного согласия защитят вас от уголовной ответственности.