С 11 декабря 2024 года в Уголовный кодекс РФ введена новая статья 272.1, посвящённая незаконному обороту персональных данных. Теперь за несанкционированный сбор, хранение, передачу или использование компьютерной информации, содержащей персональные данные (ПД), грозит уголовная ответственность вплоть до 10 лет лишения свободы и штрафа до 3 млн рублей.
В чём суть новой статьи 272.1 УК РФ
Статья 272.1 введена Федеральным законом № 421-ФЗ от . Её ключевые положения:
- Объект преступления — компьютерная информация, содержащая персональные данные, полученная неправомерным доступом (взлом, подбор паролей, фишинг и т.д.).
- Субъект — любое физическое лицо, включая должностных лиц и ИП.
- Квалифицирующие признаки:
- Данные относятся к несовершеннолетним.
- Данные представляют собой биометрические или специальные категории ПД (например, состояние здоровья, политические взгляды).
- Деяние совершено из корыстной заинтересованности или в крупном размере.
Санкции: от штрафа до лишения свободы
| Часть статьи | Деяние | Вид наказания |
|---|---|---|
| 1 | Первичное нарушение без квалифицирующих признаков | Штраф до 500 тыс. руб. или лишение свободы до 3 лет |
| 2 | Совершено группой лиц по предварительному сговору | Штраф до 1 млн руб. или лишение свободы до 5 лет |
| 3 | Крупный ущерб или особо крупный размер | Штраф до 3 млн руб. и лишение свободы до 10 лет |
Какие действия теперь считаются преступлением
- Незаконное использование — например, рассылка спама по базе, украденной из интернет-магазина.
- Незаконная передача — продажа базы клиентов третьим лицам без согласия владельцев.
- Незаконное хранение, хранение на сервере с hack-скриптами базы с паспортными данными.
- Незаконный сбор, парсинг профилей соцсетей с целью создания «серых» банковских баз.
Отличие от КоАП: когда дело уголовное, а когда административное
КоАП РФ ст. 13.11 продолжает действовать для случаев:
- малозначительных нарушений (например, неверно указанный оператор ПД в оферте);
- без факта неправомерного доступа (ошибка сотрудника, а не кибератака).
Если же данные получены хакерским способом, автоматически применяется уже ст. 272.1 УК РФ.
Что делать компаниям прямо сейчас
Немедленные шаги
- Провести аудит ИТ-инфраструктуры на предмет следов взлома.
- Убедиться, что все базы ПД зашифрованы и имеют журналы доступа.
- Оформить соглашения с субоператорами в соответствии с 152-ФЗ.
Долгосрочные меры
- Внедрить DLP-систему для контроля передачи файлов.
- Провести обучение персонала по кибербезопасности и обращению с ПД.
- Заключить договор о коллективной защите с CERT-GIB, ФСТЭК или частным SOC.
Практический пример
Ситуация: маркетолог купил на форуме базу 80 тыс. e-mail с именами и телефонами, в т.ч. 5 тыс. несовершеннолетних. Рассылка по этой базе принесла компании выручку 18 млн руб.
Результат: Следствие квалифицирует действия по ч. 3 ст. 272.1 УК РФ (крупный размер + несовершеннолетние). Санкция — до 10 лет лишения свободы и штраф до 3 млн руб.
Ключевые выводы
- Нарушение 152-ФЗ без признаков неправомерного доступа — это административка.
- Если данные взломаны, куплены, украдены, уголовка по новой статье.
- Ответственность персональная: руководитель, ИТ-директор и даже сотрудник, скопировавший базу на флешку.
Внимание! Даже простое хранение «утёкших» баз на корпоративном сервере уже может повлечь ст. 272.1. Проверьте свои системы сегодня, пока не постучались из Следственного комитета.