С 1 сентября 2025 года вступили в силу ключевые изменения, превращающие небрежное обращение с персональными данными в прямой путь к уголовной ответственности. Теперь даже одна-единственная массовая рассылка, содержащая сведения о частной жизни граждан, может стать основанием для возбуждения уголовного дела по статье 272.1 УК РФ. Разбираемся, что именно изменилось и как теперь выжить бизнесу.

Что грозит за рассылку персональных данных: статья 272.1 УК РФ по-новому

До последнего времени большинство нарушений в сфере оборота персональных данных каралось лишь административными штрафами. Ситуацию раз и навсегда изменил федеральный закон 420-ФЗ, который начал действовать ещё 30 мая 2025 года. Однако кульминация пришлась именно на 1 сентября 2025 года, когда поправки к 152-ФЗ «О персональных данных» и статье 272.1 УК РФ заработали в полную силу.

Теперь под уголовное преследование попадают:

• Массовая рассылка (e-mail-, SMS-, Push-рассылки, мессенджеры) без надлежащего согласия субъекта данных;
• Обработка биометрии (голос, лицо, отпечатки пальцев) без разрешения Роскомнадзора;
• Передача баз клиентов третьим лицам, даже если речь идёт о «партнёрах»;
• Утечка любого объёма персональных данных из-за ненадлежащих мер безопасности.

По новой редакции 272.1 УК РФ санкции выглядят так:

Как выглядит типовой «сценарий преступления»

Кейс 1. Детективное агентство в Волгограде.
Частный детектив закупил базу «должников» и разослал 12 000 SMS с Ф. И. О. и номерами телефонов. Следственный отдел Центрального района Волгограда возбудил дело по 272.1 УК РФ сразу после получения 37 заявлений от потерпевших.

Кейс 2. Сотрудница МРЭО Мурманска.

Кейс 3. Компания связи.
По данным УБК МВД России, именно на «связников» сегодня приходится наибольшее количество уголовных производств: слив SIM-баз клиентам коллекторов и маркетологов.

5 шагов, чтобы не стать фигурантом статьи 272.1 УК РФ

1. Проверьте согласия. Для каждого канала коммуникации (email, SMS, мессенджеры) требуется конкретное, информированное и явное согласие. Старые «галочки» в договорах не работают.
2. Уточните цели. Собираете имя и телефон «для отправки счёта»? Значит, только для счёта. Любые акционные SMS, это уже новое согласие.
3. Внедрите DPI-фильтры и шифрование. Роскомнадзор требует защищать персональные данные на уровне ГОСТ 57580.1-2017.
4. Заключите DPA с подрядчиками. Если вы передаёте базу в e-mail-шлюз или SMS-центр, подрядчик должен быть официальным оператором, а договор, в формате «обработка по поручению».
5. Проведите Data Protection Impact Assessment (DPIA). Обязательно, если вы обрабатываете биометрию или более 100 000 записей.

Как проверить, готов ли ваш бизнес к 2026 году

Чек-лист за 15 минут:

• Есть ли политика обработки персональных данных на сайте и в каждом офисе?
• Выделен ли ответственный за защиту персональных данных (DPO)?
• Проводится ли ежеквартальный аудит логов доступа к базам?
• Хранятся ли логи не менее 3 лет для возможной проверки Следственного департамента МВД?
• Все ли сотрудники подписали локальные акты о неразглашении?

Если хотя бы на один пункт ответ «нет», риск уголовного дела по 272.1 УК РФ возрастает кратно.

Что делать, если уже была рассылка без согласия

Остановите рассылку немедленно.
Составьте реестр получателей и подготовьте письма с извинениями.
Назначьте внутреннее расследование и устраните причины утечки.
Подайте само-донос в Роскомнадзор до того, как это сделают получатели.
Обратитесь к юристу по защите персональных данных — сейчас это специализированный рынок, и консультация может спасти вам годы свободы.

Рассылка персональных данных в 2026 году — это не маркетинговый инструмент, а потенциальное уголовное преступление. Начиная с 1 сентября 2025 года любая необоснованная передача данных может привести к до 7 лет лишения свободы. Проверьте свои процессы уже сегодня, ведь следующий кейс может быть вашим.

Время на внедрение комплаенса — ограничено. Начните прямо сейчас.