В 2024–2025 годах российское законодательство значительно ужесточило наказание за утечки и незаконное распространение персональных данных. С 11 декабря 2024 года в Уголовный кодекс РФ введена новая статья 272.1, а уже действующие статьи 137 и 183 УК РФ получили «усиление» в виде крупных штрафов и реальных сроков. Ниже, подробный разбор, чем грозит компании или частному лицу за разглашение личной информации в 2026 году.
Почему тема стала «горячей» в 2026 году
- Рост киберпреступности: только за январь 2026 г. зафиксировано 19 крупных утечек, в которых пострадали более 8 млн граждан.
- Ужесточение контроля: Роскомнадзор провёл 1 240 внеплановых проверок по соблюдению 152-ФЗ за первую неделю марта 2026 г.
- Новые санкции: в 2026 г. максимальный штраф по 152-ФЗ достиг 500 млн ₽ (три годовые выручки организации).
Основные статьи УК РФ, которыми пользуются следователи
Статья 137 УК РФ «Нарушение неприкосновенности частной жизни»
| Деяние | Базовое наказание | Усиленное наказание* |
|---|---|---|
| Разглашение персональных данных без согласия | Штраф до 300 тыс. ₽ | До 1 млн ₽ или 2 года исправработ |
| С использованием СМИ/интернета | Обязательные работы 120–180 ч. | До 4 лет лишения свободы |
*при наличии отягчающих обстоятельств: группа лиц, корысть, крупный ущерб.
Статья 272.1 УК РФ (новая, с )
Квалифицирует незаконное использование, передачу, сбор и хранение персональных данных в электронном виде. Особенности:
- Предмет преступления — любая база данных (даже Excel-файл).
- Особо квалифицирующий признак — биометрические данные (отпечатки, Face-ID, голос).
| Часть ст. 272.1 | Максимум санкции |
|---|---|
| Ч. 1 — базовый состав | Штраф до 500 тыс. ₽ или 480 ч обяз. работ |
| Ч. 2 — крупный ущерб (>5 млн ₽) | До 4 лет колонии + штраф до 1 млн ₽ |
| Ч. 3, организованная группа | До 7 лет колонии + запрет занимать должности |
Статья 183 УК РФ «Незаконное получение и разглашение сведений, составляющих коммерческую тайну»
Применяют, если утечка затрагивает конфиденциальные договоры, ценовые политики, банковские реквизиты. Санкции:
- Штраф до 500 тыс. ₽.
- Исправительные работы до 2 лет.
- Лишение свободы до 4 лет, если ущерб превышает 1,5 млн ₽.
Административная ответственность: статья 13.11 КоАП РФ
Действует как «мягкая» альтернатива УК РФ при первичных или незначительных нарушениях 152-ФЗ:
- Граждане: предупреждение или штраф 3–5 тыс. ₽.
- Должностные лица: штраф 10–20 тыс. ₽.
- Юрлица: штраф 30–100 тыс. ₽ за незаконную обработку ПДн.
Важно: Роскомнадзор может выписать штраф на месте, но повторное нарушение в течение года автоматически переводит дело в УК РФ.
Какие данные считаются «особо чувствительными»
- Биометрические: отпечатки, карта лица, голосовые семплы.
- Медицинские: диагнозы, истории болезней, результаты анализов.
- Детские персональные данные: любая информация о несовершеннолетних до 18 лет.
- Данные о доходах, налогах, счетах: попадают и под 183 УК РФ.
Размер штрафов по 152-ФЗ (гражданско-правовая ответственность)
| Количество пострадавших | Минимальный штраф | Максимальный штраф |
|---|---|---|
| До 100 человек | 15 млн ₽ | 75 млн ₽ |
| От 100 до 1 000 | 75 млн ₽ | 150 млн ₽ |
| Свыше 1 000 | 150 млн ₽ | 500 млн ₽ (или 3× годовая выручка) |
Практические кейсы 2025–2026 гг.
- Случай №1: клиника «МедПлюс» (Челябинск) → утечка 5 400 медкарт на форуме. Решение: штраф 28 млн ₽ по 152-ФЗ + возбуждено уголовное дело по 272.1 УК РФ (ч. 2).
- Случай №2: HR-директор крупного банка продал базу сотрудников за 600 тыс. ₽. Приговор: 4 года колонии общего режима по ст. 272.1 ч. 3.
- Случай №3: школьный админ «слил» фотографии 9-классников в Telegram-канал. Дело квалифицировано по 137 УК РФ + 13.11 КоАП (дополнительно оштрафована школа на 50 тыс. ₽).
Чек-лист: как не попасть под статью
- Провести аудит ИТ-инфраструктуры на соответствие 152-ФЗ (раз в год).
- Зашифровать биометрические и детские данные (GOST 28147-89 или AES-256).
- Ограничить круг сотрудников, имеющих доступ к базе «на запись» (ролевая модель RBAC).
- Подключить систему логирования и DLP (Data Loss Prevention).
- Разместить на сайте политику обработки ПДн и процедуру отзыва согласия.
Краткий вывод
В 2026 году разглашение личной информации стало уголовно наказуемым деянием уже при первом факте. Компании рискуют не только крупными штрафами до 500 млн ₽, но и уголовными делами против руководителей. Частные лица могут получить до 7 лет колонии, если речь идёт о биометрии или детских данных.
Главное правило: обрабатываем только то, что разрешено, храним только то, что необходимо, передаём только при наличии законного основания.
Статья подготовлена на основании официальных источников: УК РФ, 152-ФЗ, КоАП РФ, материалов КонсультантПлюс и судебной практики 2025–2026 гг.