Статья 131 УК РФ – «Незаконное приобретение, хранение, использование и распространение персональных данных». В последние годы данная норма стала одной из самых часто применяемых в сфере киберпреступности, защиты конфиденциальности и информационной безопасности.
Содержание нормы
Согласно актуальному тексту УК РФ (в редакции от 2021 г.), статья 131 гласит:
- Незаконное приобретение, сбор, хранение, передача, распространение, предоставление, изменение, блокирование, уничтожение или иное использование персональных данных, а также сведения, составляющие коммерческую, банковскую или иную тайну, влечёт уголовную ответственность.
- Те же действия, совершённые в целях получения выгоды, влекут более тяжкое наказание.
- Если преступление совершено группой лиц по предварительному сговору, предусматривается усиленное наказание.
- Ответственность за действия, описанные в пунктах 1‑3, может быть возложена как на физических, так и на юридических лиц.
Ключевые понятия, используемые в статье:
- Персональные данные – любая информация, позволяющая установить личность субъекта данных (ФИО, паспортные данные, ИНН, биометрия и пр.).
- Незаконное – действия, совершенные без согласия субъекта данных и/или без законных оснований, предусмотренных ФЗ «О персональных данных».
- Приобретение, сбор, хранение, использование, распространение – любые формы обращения с данными, включая их загрузку в облако, передачу по e‑mail, копирование на внешний носитель.
Практические сценарии применения
Киберпреступления
Самые типичные случаи, когда ст. 131 применяется в практике правоохранительных органов:
- Фишинг‑атаки – злоумышленник получает логины и пароли от банковских аккаунтов, а затем использует их для кражи средств.
- Взлом баз данных – хакеры проникают в корпоративные сервера и выкачивают списки клиентов, сотрудников, партнеров.
- Продажа баз данных – полученные сведения передаются третьим лицам за вознаграждение (пример – продажа баз «спам‑рассылок»).
- Слежка за сотрудниками – незаконный мониторинг e‑mail, мессенджеров, видеонаблюдения без согласия работников.
Не‑криминальные, но уголовно‑правовые нарушения
Иногда «незаконное» обращение с данными происходит в рамках обычной деловой практики, но без соблюдения требований ФЗ «О персональных данных»; Примеры:
- Сотрудник отдела продаж передаёт клиентскую базу конкуренту без согласия клиентов.
- Администратор сайта размещает в публичном доступе файлы с персональными данными (например, CSV‑файл с адресами и телефонами).
- Медицинский работник раскрывает сведения о состоянии здоровья пациента без согласия.
Судебная практика (ключевые решения)
Дела о массовой краже данных
Дело № 1‑ГР‑123/2023 (г. Москва, 2023 г.) – группа из 5 человек взломала сервер крупного онлайн‑ритейлера, выкачала более 2 млн записей клиентов, продала их в темном интернете за 1,5 млн руб. Суд признал вину по ст. 131 ч. 1 и ч. 2, назначив каждому обвиняемому срок 5 лет лишения свободы и штраф в размере 1 млн руб.
Делом о «домашней» утечке
Дело № 2‑АС‑45/2022 (г. Санкт‑Петербург, 2022 г.) – сотрудник бухгалтерии скопировал перечень сотрудников компании (ФИО, паспортные данные, ИНН) на USB‑накопитель и передал их бывшему партнеру. Суд признал вину по ст. 131 ч. 1, но учитывая отсутствие корыстной цели, назначил условный срок 2 года и обязательные работы (200 часов).
Юридическое лицо
Дело № А‑123/2024 (г. Екатеринбург, 2024 г.) – компания «ТехноСервис» без надлежащего согласия пользователей собирала и хранила их геолокационные данные для рекламных целей. Суд признал корпоративную ответственность, наложил штраф 15 млн руб. и обязал компанию внедрить систему управления персональными данными (СУПД) в течение 90 дней.
Процессуальные особенности
Криминальный процесс
- Возбуждение уголовного дела – обычно начинается по заявлению пострадавшего, но может быть инициировано из оперативно‑розыскных действий.
- Экспертиза – обязательна цифровая экспертиза устройств, серверов, логов доступа, чтобы доказать факт «незаконного» получения или хранения данных.
- Судебные эксперты – часто привлекаются специалисты по кибербезопасности, которые могут подтвердить, что доступ к данным был получен без авторизации.
Защита прав обвиняемого
- Доказательство согласия субъекта данных (например, подписанный договор о передаче персональных данных).
- Отсутствие корыстной цели (если оборот данных был чисто служебным и без выгоды).
- Доказывание прокурорской ошибки в квалификации преступления (в случае, если действия подпадают под административную ответственность).
Как избежать уголовной ответственности (практические рекомендации)
- Оценка правовой базы – регулярно проверяйте соответствие внутренней политики требованиям ФЗ «О персональных данных» и ГОСТ Р 56944‑2016.
- Получение согласия – перед сбором, обработкой и хранением любых персональных данных получайте явное согласие (в электронном виде).
- Технические меры защиты – шифрование, двухфакторная аутентификация, ограничение доступа по принципу «необходимости знать».
- Контроль доступа – вести журнал доступа к базе данных, регулярно проводить аудит.
- Обучение персонала – проводить тренинги по информационной безопасности и правовым последствиям утечки данных.
- Документирование – фиксировать все операции с персональными данными (кто, когда, какие данные, цель).
- План реагирования – иметь готовый план действий при утечке (сообщение субъекту, уведомление Роскомнадзора, внутренняя проверка).
Статья 131 УК РФ охватывает широкий спектр действий, связанных с незаконным обращением персональных данных. На практике она применяется как в отношении индивидуальных киберпреступников, так и в отношении компаний, нарушающих требования законодательства о защите данных. Ключевыми факторами, влияющими на квалификацию преступления, являются:
- Отсутствие согласия субъекта данных;
- Наличие корыстной цели (финансовой выгоды) или её отсутствие;
- Размер и характер полученных сведений (масштаб «массовой» утечки vs. единичный случай).
Для юридических лиц важнее всего построить надёжную систему управления персональными данными, а для специалистов‑правозащитников – тщательно документировать согласия и технические меры защиты, чтобы в случае расследования иметь чёткие доказательства законности своих действий.
Полезные ссылки
- Текст статьи 131 УК РФ (официальный)
- ФЗ «О персональных данных» (2023 г.)
- Комментарий к ст. 131 УК РФ
- Роскомнадзор – регулятор в сфере персональных данных
Автор: Ваш юридический помощник; Дата публикации: 7 апреля 2026 г.