Вопрос сбора, хранения, использования и передачи персональных данных стал одной из самых острых проблем современного общества․
В ответ на рост количества утечек и злоупотреблений законодатели РФ ввели в Уголовный кодекс новую статью 272․1,
направленную на уголовную ответственность за незаконные действия с компьютерной информацией, содержащей персональные данные․

Нормативно‑правовая база

Для полного понимания статьи 272․1 необходимо учитывать несколько ключевых нормативных актов:

• Уголовный кодекс Российской Федерации (УК РФ) – статья 272․1 (введена ФЗ 421‑ФЗ от )․
• Федеральный закон № 152‑ФЗ «О персональных данных» (от ) – основной нормативный акт, регулирующий отношения в сфере обработки персональных данных․
• Подзаконные акты: постановления Роскомнадзора, рекомендации по оценке рисков и защите информации․

Содержание статьи 272․1 УК РФ

Статья 272․1 устанавливает ответственность за следующие деяния:

1. Незаконное сбор компьютерной информации, содержащей персональные данные;
2. Незаконное хранение такой информации;
3. Незаконное использование (в т․ч․ обработка, анализ, систематизация) персональных данных;
4. Незаконная передача (распространение, продажа, передача третьим лицам) персональных данных;
5. Создание или обеспечение функционирования информационных ресурсов, предназначенных для незаконного сбора, хранения, использования или передачи персональных данных․

Ключевые понятия, используемые в статье

• Персональные данные – любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных)․
• Компьютерная информация – сведения, полученные, записанные, обработанные или переданные в электронном виде с использованием средств вычислительной техники․
• Незаконный – действие, совершённое без согласия субъекта данных либо без оснований, предусмотренных ФЗ 152‑ФЗ․
• Информационный ресурс – совокупность систем, программ и баз данных, предназначенных для обработки и хранения информации․

Уголовная ответственность

За деяния, предусмотренные частью 1 статьи 272․1, предусмотрены следующие виды наказания:

• Штраф в размере до 300 000 рублей или в размере до 500 млн рублей для юридических лиц;
• Ограничение свободы на срок до 2 лет;
• Лишение свободы на срок до 5 лет с возможным лишением права занимать определённые должности или заниматься определённой деятельностью до 3 лет;
• Для повторных или особо тяжких случаев (массовая утечка, значительный ущерб, использование данных в целях шантажа) возможна лишение свободы до 7 лет․

Суд может также назначить конфискацию средств, полученных в результате преступления, и принудительные работы․

Связь со статьёй 137 УК РФ

Статья 137 УК РФ «Нарушение неприкосновенности частной жизни» регулирует аналогичные действия, но без привязки к компьютерной информации;
В случае, когда нарушение происходит в электронном виде, применяется статья 272․1 как более специализированная норма․
При этом суд может привлекать к ответственности по обеим статьям, если деяния одновременно нарушают оба положения․

Практика применения

С момента вступления в силу (11 декабря 2024 г․) суды уже вынесли несколько резонансных решений:

1. Дело в Хакасии (2025 г․) – 17‑летний подросток получил 2‑годовое лишение свободы за создание Telegram‑бота, собирающего и распространяющего персональные данные более 10 000 человек․
2. Дело в Мурманске (2025 г․) – оператор компании был приговорён к 3‑м годам лишения свободы и штрафу в 1 млн рублей за незаконную передачу клиентских данных третьим лицам без согласия․
3. Дело о массовой утечке в крупном интернет‑сервисе (2026 г․) – руководитель отдела ИТ получил 5‑летний срок лишения свободы и штраф в 10 млн рублей за отсутствие должной защиты данных, что привело к утечке более 1 млн записей․

Права субъектов данных и обязанности операторов

Согласно ФЗ 152‑ФЗ и статье 272․1, субъекты персональных данных имеют право:

• Получать информацию о том, какие данные о них собираются;
• Требовать уточнения, блокировки или уничтожения своих данных;
• Отказаться от согласия на обработку, если это не противоречит закону․

Операторы обязаны:

• Получать информированное согласие субъекта данных;
• Обеспечивать техническую и организационную защиту информации;
• Вести реестр действий с персональными данными;
• Своевременно уведомлять Роскомнадзор о фактах утечки․

Рекомендации для юридических и физических лиц

Чтобы избежать уголовной ответственности по статье 272․1, рекомендуется выполнить следующие шаги:

1. Провести аудит всех процессов, связанных с обработкой персональных данных․
2. Разработать и внедрить политику защиты персональных данных, согласованную с требованиями ФЗ 152‑ФЗ․
3. Обеспечить получение согласия от субъектов данных в письменной или электронной форме, фиксируя дату и цель обработки․
4. Внедрить технические меры защиты: шифрование, двухфакторная аутентификация, ограничение доступа․
5. Проводить обучение персонала по вопросам конфиденциальности и реагирования на инциденты․
6. Разработать план реагирования на утечки, включающий уведомление Роскомнадзора и пострадавших в течение 72 часов․
7. Регулярно проводить оценку рисков и обновлять меры защиты в соответствии с новыми угрозами․

Статья 272․1 УК РФ – важный инструмент борьбы с незаконным сбором и распространением персональных данных в цифровую эпоху․
Она дополняет гражданско‑правовые механизмы, предусмотренные ФЗ 152‑ФЗ, и предусматривает реальное уголовное наказание за нарушения․
Компании, организации и отдельные лица, которые работают с персональными данными, обязаны строго соблюдать закон, иначе рискуют столкнуться с серьёзными уголовными последствиями․

Если у вас возникли вопросы по применению статьи 272․1 к конкретной ситуации, рекомендуется обратиться к профильному юристу, специализирующемуся на защите персональных данных․