С 1 сентября 2025 года вступают в силу новые правила согласия на обработку персональных данных, внесённые в ст. 9 Федерального закона № 152-ФЗ «О персональных данных». Их уже называют самым жёстким изменением за последние годы: теперь любая, даже единичная, передача ПД третьим лицам без документально подтверждённого согласия может повлечь не только административные санкции, но и уголовное преследование по ст. 137 УК РФ и смежным статьям.

Что изменится 1 сентября 2025 года

• Форма согласия. Устное или «кликнутое» согласие больше не действует. Необходимо письменное согласие с конкретным перечнём целей, состава передаваемых данных и категорий получателей.
• Отдельное согласие на трансграничную передачу. Даже если передача идёт «дочке» в СНГ, нужно отдельное согласие.
• Регистрация в Роскомнадзоре. Операторы обязаны в течение 3 рабочих дней сообщать в ведомство о получении согласия и предоставлять его копию по первому запросу.

Когда передача «без согласия» становится уголовной

Основной состав преступления по ст. 137 УК РФ

Незаконное собирание или распространение сведений о частной жизни, составляющих личную или семейную тайну, без согласия субъекта:

• штраф до 200 000 ₽;
• обязательные работы до 360 ч;
• арест до 4 мес. или лишение свободы до 2 лет.

Отягчающие обстоятельства

1. Группа лиц по предварительному сговору.
2. Служебное положение виновного (бухгалтер, HR, IT-админ).
3. Крупный ущерб (свыше 1,5 млн ₽).
4. Последствия в виде дискриминации или притеснения субъекта.

Тогда применяется ч. 2 ст. 137: лишение свободы до 4 лет с лишением права занимать определённые должности до 3 лет.

Смежные статьи УК РФ

Практика 2024–2025 гг.: уже есть приговоры

• Декабрь 2024, Санкт-Петербург. Сотрудник call-центра продал базу «тёплых» клиентов страховой компании. Приговор: 1,5 года лишения свободы условно по ст. 137 ч. 1 + штраф 150 000 ₽.
• Февраль 2025, Москва. HR-директор фармкомпании передал список сотрудников с ВИЧ-статусом конкурентам. Квалификация — ст. 137 ч. 2 + ст. 183 ч. 3. Реальный срок: 3 года колонии общего режима.

Как не попасть под статью: чек-лист для компаний и ИП

1. Проверить все действующие договоры на предмет отсутствия «шаблонного» согласия.
2. Подготовить новые формы согласия с разбивкой по целям: «для исполнения договора», «для маркетинга», «для трансграничной передачи».
3. Ввести внутренний регламент: любой сотрудник, получивший запрос от третьего лица, обязан направить его в отдел безопасности или DPO.
4. Вести журнал учёта запросов с указанием даты, цели и правового основания.
5. Ежеквартально проводить аудит передач и служебных доступов.

Ответственность должностных лиц

Если юрлицо привлечено к административке по КоАП РФ (ст. 13.11–13.14), то:

• директору может грозить дисквалификация до 1 года;
• а при наличии корыстной цели или крупного ущерба, уже уголовное дело по ст. 137.

Что делать, если уже произошла утечка

1. В течение 24 часов: зафиксировать факт, изолировать уязвимость.
2. За 72 часа: уведомить Роскомнадзор и ФСТЭК (если речь о госинформации).
3. В течение 10 дней: оповестить каждого субъекта ПД по доступному каналу (e-mail, sms, личный кабинет).
4. Параллельно: готовить пакет документов в полицию, если есть признаки преступления.

С 1 сентября 2025 года без согласия нельзя. Передача персональных данных третьим лицам без документально оформленного и зарегистрированного в установленном порядке согласия — это прямой путь к уголовной статье. Заблаговременно обновите процессы, обучите персонал и внедрите технические меры защиты, чтобы «вычеркнуть» своё имя из будущих приговоров.

Информация актуальна по состоянию на 04:49:22. Перед любыми юридическими действиями проконсультируйтесь с квалифицированным специалистом.