С 30 ноября 2024 года в Уголовный кодекс РФ введена статья 272.1 УК РФ, которая впервые напрямую криминализирует «слив» персональных данных, полученных незаконным путём. В сочетании с традиционно применяемой статьёй 137 УК РФ это создаёт двойной криминально-правовой барьер для злоумышленников. О том, что теперь считается преступлением и каких санкций стоит ожидать — в подробном разборе ниже.
Почему 2025–2026 годы стали «точкой невозврата»
С 12 мая 2025 года суды начали применять новую статью 272.1 УК РФ, а уже к марту 2026-го ГУ МВД по Санкт-Петербургу зафиксировало первые осуждения сотрудников салонов связи, систематически фотографировавших экраны с данными клиентов. Статистика МВД показывает: 78 % утечек приходится на сотрудников отрасли связи, и именно на них сейчас заведено наибольшее количество дел.
Две ключевые статьи: 272;1 и 137 УК РФ
Статья 272.1 УК РФ — «новая глава»
- Объект преступления — любые персональные данные (ПДн), полученные незаконным путём (взлом, подкуп, мошенничество).
- Субъект — не ограничен: от рядового продавца до сисадмина или даже «добровольного» хранителя базы.
- Состав — незаконное использование, передача, хранение или обработка таких сведений.
- Наказание:
- Базовая часть, штраф до 300 тыс. руб. или до 1 года дохода, либо обязательные/исправительные работы.
- Квалифицированная часть (ч. 2) — штраф 3–5 млн руб. или заработок за 3–5 лет, либо лишение свободы до 5 лет.
Статья 137 УК РФ — «классика»
- Деяние — разглашение любых персональных данных без согласия их владельца.
- Возраст ответственности — с 16 лет по базовой части, с 18 лет, по квалифицированной (ч. 2).
- Наказание:
- штраф до 200 тыс. руб.;
- обязательные/исправительные/ограничение свободы до 2 лет;
- при тяжких последствиях — до 4 лет лишения свободы.
Как именно квалифицируют слив: схема следствия
Факт утечки фиксирует Роскомнадзор или сам потерпевший.
Незаконное происхождение данных доказывается через логи доступа, видеозаписи, показания коллег.
Обработка или передача подтверждается перепиской, перечислениями, продажами на форумах.
Следствие выбирает статью:
- если данные сначала выманили/украли, а потом слили — 272.1 УК РФ;
- если сведения были добытом законно, но опубликованы без согласия — 137 УК РФ.
Реальные примеры на
Дело «Салон-СПб»
23-летняя сотрудница салона связи фотографировала экран CRM с анкетами абонентов и сбывала фото в Telegram-канал за 350 руб. за «пачку». Сумма мелкая, но объём — 6 700 записей. Суд по ч. 2 ст. 272.1 УК РФ приговорил к 3 годам колонии и штрафу 4 млн руб.
Дело «Коллектор-2025»
Бывший сотрудник коллекторского агентства передал базу должников конкурентам. Данные получены из внутренней CRM, то есть законно, но переданы без согласия. Квалификация — ст. 137 ч. 2 УК РФ, приговор — 2 года ограничения свободы с запретом работы в финансовой сфере.
Что изменилось для бизнеса и IT-специалистов
- Амнистии не будет: законодатель акцентирует именно на «жёсткой превентивной модели».
- Организации обязаны сообщать в Роскомнадзор о любых подозрениях на «слив» в течение 24 ч.
- Сотрудникам запрещено хранить личные фото/копии экранов, даже «для работы» — это уже может быть квалифицировано как «хранение» по ст. 272.1.
Как уберечься: чек-лист на 2026 год
- Внедрите ДПО (датчик периметра данных) и DLP-систему с логированием всех скринов и копирований.
- Подпишите с сотрудниками дополнительные соглашения о неразглашении и ежеквартальные «инструктажи 272.1».
- Проверяйте кадры: справки о судимости и «цифровое досье» с 2025 года доступны онлайн.
- Следите за возрастом: любой школьник-стажёр от 16 лет уже может быть привлечён по ст. 137.
Статья 272.1 УК РФ закрыла «дыру», когда за «слив базы» могли выписать только административку. Теперь за незаконное обращение с чужими персональными данными грозит до 5 лет колонии и миллионные штрафы. Классическая статья 137 УК РФ продолжает действовать в отношении «законно полученных, но незаконно опубликованных» сведений. Компании, IT-отделы и даже обычные продавцы должны помнить: в 2026 году нет «мелких» утечек — есть только уголовные дела.