С 11 декабря 2024 года вступила в силу новая статья 272.1 Уголовного кодекса Российской Федерации‚ которая существенно усилила ответственность за незаконные действия с персональными данными. В 2026 году важно помнить: единственной «мягкой» санкции за утечку или незаконное предоставление персональных данных уже не существует — за каждое нарушение может грозить реальное уголовное наказание.
Ключевые статьи УК РФ‚ связанные с персональными данными
- Статья 272.1 УК РФ, новая норма‚ введённая Федеральным законом от № см. официальный текст.
- Статья 137 УК РФ — разглашение персональных данных без согласия субъекта.
- Статья 183 УК РФ — незаконное получение и разглашение сведений‚ составляющих коммерческую‚ налоговую или банковскую тайну (часто пересекается с ПДн).
- Статья 138 УК РФ, нарушение тайны переписки‚ телефонных переговоров и почтовых отправлений.
Что запрещает статья 272.1 УК РФ
Статья 272.1 ввела ответственность за следующие действия:
- Незаконный сбор персональных данных (в т.ч. через взлом‚ социальную инженерию‚ шпионские программы);
- Незаконное хранение (например‚ база клиентов на незащищённом сервере без правовых оснований);
- Незаконная передача третьим лицам (включая «слив» в даркнет или продажу маркетологам);
- Создание и обеспечение функционирования сайтов/форумов/ботов для оборота персональных данных без разрешения правообладателя.
Размеры санкций по статье 272.1 УК РФ
| Часть статьи | Виды наказаний |
|---|---|
| Ч. 1 (базовая) | Штраф до 500 000 ₽‚ обязательные работы до 480 ч‚ либо арест до 4 мес. |
| Ч. 2 (группа по сговору‚ крупный ущерб) | Штраф до 1 000 000 ₽‚ ограничение свободы до 3 лет‚ либо принудительные работы до 5 лет. |
| Ч. 3 (организованная группа‚ особо крупный ущерб) | Лишение свободы от 3 до 7 лет + штраф до 2 000 000 ₽. |
Как отличается от статьи 137 УК РФ
Статья 137 фокусируется на разглашении уже законно полученных персональных данных без согласия субъекта. Статья 272;1 карает уже на этапе получения‚ хранения и передачи — даже если данные ещё никто не увидел. Кроме того‚ 272.1 охватывает любые персональные данные‚ а 137 традиционно применяется к данным‚ составляющим личную или семейную тайну.
Практические примеры привлечения в 2025–2026 гг.
- Экс-подполковник ГУ МВД по Пермскому краю осуждён за передачу базы водительских удостоверений за взятку — применялась совокупность статей 272.1 и 290 УК РФ.
- Марксовский межрайонный следственный отдел (Саратовская область) возбудил дело против 36-летней женщины за хранение и продажу базы клиентов салона красоты — ч. 1 ст. 272.1.
- Операторы связи стали лидерами по количеству уголовных дел: в 2025 г. на них заведено свыше 40 % всех дел по ст. 272.1 из-за массовых утечек SIM-карт.
Как не нарушить закон: чек-лист для компаний и ИП
- Провести аудит всех источников сбора ПДн: сайты‚ CRM‚ мессенджеры‚ Excel-файлы.
- Оформить правовые основания: согласия‚ договоры обработки‚ законные интересы.
- Шифровать и псевдонимизировать данные‚ ограничить круг доступа.
- Внедрить ДПО (датчики периметра) и логирование доступа.
- Обучить персонал по 152-ФЗ и ст. 272.1 УК РФ: подписать инструкции‚ провести тесты.
- Заключить договоры NDA с подрядчиками и уволенными сотрудниками.
Административная ответственность: статья 13.11 КоАП РФ
Если нарушение не дошло до уголовного уровня (мелкий «слив» или первая ошибка)‚ применяется ст. 13.11 КоАП РФ:
- должностные лица — штраф от 5 000 до 30 000 ₽;
- юр. лица — штраф от 30 000 до 150 000 ₽;
- повторное нарушение — штраф до 300 000 ₽ и возможна приостановка деятельности на 90 суток.
В 2026 году любые незаконные действия с персональными данными — от «просто сохранил Excel-файл на облаке без согласия» до «продал базу 100 000 клиентов» — могут повлечь уголовное преследование. Разница между штрафом и тюремным сроком часто определяется тем‚ насколько быстро вы провели внутреннее расследование‚ устранили уязвимости и проинформировали пострадавших.
Помните: лучший способ избежать статей 272.1 и 137 УК РФ, это заранее построить систему обработки персональных данных в соответствии с 152-ФЗ и рекомендациями Роскомнадзора;