Дата актуализации: 07:20:20 ()

Содержание

1. Что такое персональные данные?
2. Основные законодательные акты
3. Статья 272․1 УК РФ – ключевой норматив
4. Сопутствующие статьи УК и КоАП
5. Виды наказаний и их размеры
6. Практика применения (модельные случаи)
7. Риски для организаций и физических лиц
8. Практические рекомендации

Что такое персональные данные?

Согласно Федеральному закону № 152‑ФЗ «О персональных данных» (от г․), персональные данные – это любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных)․ К таким сведениям относятся:

• ФИО, дата и место рождения;
• Паспортные данные, СНИЛС, ИНН;
• Контактная информация (телефон, e‑mail, адрес);
• Биометрические данные (отпечатки пальцев, лицо, голос);
• Медицинские, финансовые, образовательные сведения․

Особое внимание в уголовном праве уделяется неправомерной передаче таких данных третьим лицам без согласия субъекта или без законных оснований․

Основные законодательные акты, регламентирующие передачу ПДн

Статья 272․1 УК РФ – ключевой норматив

Текст статьи (сокращённо)

Статья 272․1․ Незаконное использование и (или) передача, сбор и (или) хранение компьютерной информации, содержащей персональные данные, а равно создание и (или) обеспечение функционирования информационных ресурсов, предназначенных для её незаконного оборота, – влечёт уголовную ответственность․

Состав преступления

Преступление может быть квалифицировано, если присутствует хотя бы один из следующих элементов:

• Незаконный сбор персональных данных (без согласия субъекта и без правового основания);
• Незаконное хранение ПДн в электронных или иных формах;
• Незаконная передача (распространение, предоставление, доступ) ПДн третьим лицам;
• Создание и/или поддержка информационных ресурсов (сайтов, баз данных, чат‑ботов), предназначенных для незаконного оборота ПДн․

Критерии “незаконности”

Действие считается незаконным, если отсутствует одно из следующих оснований:

1. Согласие субъекта персональных данных (в письменной или электронной форме);
2. Согласие уполномоченного органа (например, ФСТЭК) в случае передачи в интересах национальной безопасности;
3. Законное требование суда, следственных органов или иных компетентных органов․

Квалифицирующие обстоятельства

Суд может повысить степень вины, если:

• Действия совершены группой лиц по предварительному сговору;
• В результате передачи ПДн был причинён крупный ущерб (более 500 000 рублей) или нарушена безопасность критической инфраструктуры;
• Преступление совершено в отношении государственных служащих, судей, правозащитников и др․

Наказание

В зависимости от тяжести деяния предусмотрены следующие меры:

• Штраф от 200 000 до 1 000 000 рублей (для физических лиц);
• Штраф от 500 000 до 2 000 000 рублей (для юридических лиц);
• Общее ограничение свободы на срок до 3 лет;
• Лишение права заниматься определённой деятельностью до 5 лет (например, вести IT‑бизнес)․

Сопутствующие статьи УК и КоАП

Статья 137 УК РФ – «Нарушение неприкосновенности частной жизни»

Квалифицирует раскрытие сведений, составляющих частную жизнь, без согласия лица․ Применяется, если передача ПДн происходит в виде «секретных» или «интимных» данных (фотографии, сведения о здоровье, политических взглядах)․

Статья 183 УК РФ – «Незаконное получение и разглашение коммерческой, налоговой или банковской информации»

Охватывает случаи, когда персональные данные пересекаются с финансовой или коммерческой тайной (например, банковские реквизиты, кредитные истории)․

Статья 152 УК РФ – «Кража персональных данных»

Предусматривает ответственность за хищение ПДн с целью их последующей продажи или использования․

Статья 13․11 КоАП РФ – «Нарушение законодательства о персональных данных»

Административная ответственность (штрафы от 5 000 до 300 000 рублей) за нарушения, не попадающие под уголовную квалификацию, например, несоблюдение сроков уведомления о нарушении․

Виды наказаний и их размеры

Учет смягчающих и отягчающих обстоятельств

Суд учитывает:

• Покаянные действия (самоизложение, сотрудничество со следствием) – смягчение;
• Повторность правонарушения – отягчение;
• Наличие детей‑непололетних у виновного – смягчение․

Практика применения (модельные случаи)

Случай 1․ «Продажа базы клиентов»

Факты: Компания «X» без согласия клиентов передала их контакты маркетинговой фирме «Y» за 2 млн ₽․

Квалификация: Ст․ 272․1 УК РФ (незаконная передача ПДн) + Ст․ 13․11 КоАП (адм․ правонарушение)․

Наказание: Директор компании получил ограничение свободы на 2 года, штраф 800 000 ₽; юридическое лицо – штраф 1 200 000 ₽․

Случай 2․ «Утечка данных сотрудников госучреждения»

Факты: Сотрудник ИТ‑отдела скопировал и разместил в открытом облачном хранилище сведения о более чем 30 000 государственных служащих․

Квалификация: Ст․ 272․1 УК РФ (создание ресурса для незаконного оборота) + Ст․ 137 УК РФ (нарушение неприкосновенности частной жизни)․

Наказание: Тюремное заключение на 3 года, лишение права занимать должности, связанные с обработкой ПДн, на 5 лет․

Случай 3․ «Небрежность при передаче ПДн в рамках трудовых отношений»

Работодатель отправил резюме сотрудника (включая паспортные данные) по ошибке в стороннюю рекрутинговую компанию без согласия․

Квалификация – административное правонарушение (ст․ 13․11 КоАП)․ Штраф – 80 000 ₽, предписано внедрить политику обработки ПДн․

Риски для организаций и физических лиц

• Финансовый: Штрафы, компенсации пострадавшим, расходы на судебные разбирательства․
• Репутационный: Потеря доверия клиентов, отток партнёров․
• Операционный: Приостановка деятельности, требующая «очистки» ИТ‑инфраструктуры․
• Криминальный: Уголовное преследование руководителей и ИТ‑специалистов․

Практические рекомендации для снижения риска

Организационные меры

1. Разработать политику обработки персональных данных в соответствии с ФЗ‑152 и Указанием ФСТЭК․
2. Назначить ответственного за защиту персональных данных (ОПД) с чёткими полномочиями․
3. Проводить регулярные аудиты доступа к базам данных и журналов операций․
4. Внедрить процедуры согласования передачи ПДн (письменные запросы, фиксированные шаблоны согласий)․

Технические меры

1. Шифрование ПДн как в покое, так и при передаче (TLS 1․3, AES‑256)․
2. Контроль доступа по принципу least privilege (минимальные привилегии)․
3. Многофакторная аутентификация (MFA) для всех администраторов․
4. Системы DLP (Data Loss Prevention) для обнаружения несанкционированных копирований․
5. Регулярные пентесты и сканирование уязвимостей ИТ‑инфраструктуры․

Юридические шаги

1. Обеспечить наличие документального согласия субъекта ПДн перед любой передачей․
2. Заключать договоры о конфиденциальности (NDA) с контрагентами, получающими ПДн․
3. Вести реестр обработки ПДн (каталог процессов, цели, сроки хранения)․
4. Своевременно уведомлять Роскомнадзор о фактах утечки (в течение 72 часов)․

Реакция на инциденты

Создать план реагирования (IRP) включающий:

• Сбор доказательств и изоляцию затронутой системы;
• Уведомление руководства и юридического отдела;
• Уведомление пострадавших и Роскомнадзора в соответствии с ФЗ‑152;
• Анализ причин и корректирующие меры․

С введением статьи 272․1 УК РФ в 2024 году Россия существенно усилила уголовную ответственность за незаконную передачу персональных данных․ Современный бизнес‑ландшафт требует от компаний не только соблюдения формальных требований ФЗ‑152, но и активного внедрения технических и организационных мер защиты․

Нарушения могут привести к:

• Крупным штрафам (до нескольких миллионов рублей);
• Ограничениям свободы и лишению права заниматься определённой деятельностью;
• Серьёзным репутационным потерям․

Только комплексный подход – правовое регулирование + ИТ‑безопасность + корпоративная культура – позволит минимизировать риски и обеспечить соответствие требованиям российского законодательства․

Автор статьи: юридический аналитик, специализирующийся на защите персональных данных и киберправе․