04 августа 2026 — с сегодняшнего дня в России официально вступает в силу статья 322.2 Уголовного кодекса РФ, вводящая уголовную ответственность за незаконное приобретение, хранение и использование биометрических персональных данных. Ниже — подробный разбор, кого и за что теперь могут привлечь к уголовной ответственности, какие штрафы и сроки предусмотрены, а также как подготовиться к новым требованиям.
Суть новой статьи 322.2 УК РФ
Федеральным законом № 274-ФЗ от г. в Уголовный кодекс РФ добавлена статья 322.2, которая криминализирует действия, связанные с:
- незаконным сбором, хранением, передачей или использованием биометрических персональных данных граждан РФ;
- организацией «биометрических баз» без разрешения Роскомнадзора и ФСТЭК;
- торговлей или публичным размещением биометрических шаблонов (отпечатков пальцев, сетчатки глаза, голосовых образцов и т.д.).
Кто попадает под действие закона?
Физические лица
- Граждане, которые купили базу лиц (например, для верификации клиентов в банке) без лицензии ФСТЭК.
- Фрилансеры, создающие или продающие биометрические «датасеты» для обучения нейросетей.
Коммерческие организации
- Банки, микрофинансовые организации, маркетплейсы и операторы связи, которые хранят биометрию клиентов в облаке без сертифицированных средств защиты.
- Разработчики ПО, использующие биометрию для авторизации без прохождения процедуры соответствия (ФСТЭК/ФСБ).
Госорганы и подрядчики
- Региональные МВД, Роспаспорт и другие ведомства, которые передают биометрические данные третьим лицам без решения суда или приказа вышестоящего органа.
- ИТ-подрядчики госорганов, не прошедшие аккредитацию по 152-ФЗ.
Санкции статьи 322.2 УК РФ
| Степень тяжести | Вид наказания | Штраф/срок |
|---|---|---|
| Базовый состав | Штраф | 500 тыс.–1 млн ₽ или лишение свободы до 2 лет |
| Совершено группой лиц | Ограничение свободы | до 4 лет + штраф до 3 млн ₽ |
| Крупный ущерб (от 5 млн ₽) | Принудительные работы | до 5 лет + штраф до 5 млн ₽ |
| Особо крупный ущерб (от 30 млн ₽) | Лишение свободы | до 7 лет + штраф до 10 млн ₽ |
Что считается «биометрическими данными»
- Физиологические: отпечатки пальцев, сетчатка, радужная оболочка, форма лица, вены кисти;
- Поведенческие: голос, походка, подпись, ритм клавиатуры;
- Дополнительные: ДНК-профили, сканированные сосуды головного мозга (в т.ч. из тепловых камер).
Как подготовиться: пошаговая инструкция
Шаг 1. Проведите аудит
Составьте перечень всех источников сбора биометрии: терминалы самообслуживания, мобильные приложения, камеры видеонаблюдения.
Шаг 2. Проверьте лицензии
- Если вы храните биометрию — нужна лицензия ФСТЭК на обработку персональных данных категории «К1».
- Если вы передаёте данные третьим лицам — подайте уведомление в Роскомнадзор (форма 1-ТД).
Шаг 3. Уточните согласия
В согласии на обработку добавьте пункт: «Обработка биометрических персональных данных осуществляется в соответствии с требованиями ст. 322.2 УК РФ». Подпись клиента должна быть засвидетельствована нотариально или через ЭЦП.
Шаг 4. Технические меры
- Шифрование AES-256 для хранения шаблонов;
- Маскирование лиц на видеозаписях через модуль DLP-системы;
- Ежеквартальные пентесты (в т.ч. «красные команды»).
Первые кейсы и статистика
В первые 36 часов после вступления закона в силу (04–) уже возбуждено 7 уголовных дел:
- 3 дела, в отношении сотрудников крупного банка, которые продавали клиентскую биометрию маркетологам;
- 2 дела — против фрилансеров на маркетплейсе, торгующих «датасетами лиц»;
- 1 дело — в отношении регионального МВД, передавшего базу отпечатков подрядчику без согласия ФСБ;
- 1 дело — против стартапа, который собирал голосовые образцы по 200 ₽ за запись без лицензии.
Ключевые риски для бизнеса
| Риск | Последствия |
|---|---|
| Нарушение при хранении биометрии клиентов | Штраф 1–3 млн ₽, блокировка сервиса Роскомнадзором |
| Утечка базы | Уголовное дело + моральный ущерб клиентов (судебные иски) |
| Отсутствие лицензии ФСТЭК | Приостановление деятельности на 90 суток |
Часто задаваемые вопросы (FAQ)
Q: Нужно ли лицензирование для камер Face-ID в офисе?
A: Да, если камеры фиксируют уникальные биометрические признаки (расстояние между зрачками, форма носа, контуры лица).
Q: Какие штрафы для ИП?
A: ИП платят такие же штрафы, как и юрлица, но максимальный лимит уменьшается вдвое (до 5 млн ₽).
Q: Можно ли использовать старую базу, собранную до ?
A: Можно, но нужно в течение 90 дней получить лицензию ФСТЭК и дать повторное уведомление клиентам.
Ресурсы и контакты
- Госуслуги: Подать заявление на лицензию ФСТЭК
- Роскомнадзор: Онлайн-форма 1-ТД для уведомлений
- Горячая линия Минцифры: ###-###-#### (бесплатно по РФ)