Основной закон: статья 137 УК РФ

Статья 137 Уголовного кодекса Российской Федерации прямо предусматривает уголовную ответственность за незаконное собирание и (или) распространение персональных данных без согласия владельца. Согласно официальному тексту:

• Действия совершаются без согласия субъекта либо на основании поддельного согласия.
• Может применяться как к физическим, так и к юридическим лицам.
• Норма охраняет любые сведения, позволяющие идентифицировать физическое лицо (ФИО, телефон, адрес, СНИЛС, паспортные данные, биометрия и т.д.).

Состав преступления по ст. 137 УК РФ

1. Объект — право граждан на неприкосновенность частной жизни.
2. Объективная сторона — действия по сбору, хранению, использованию или передаче персональных данных без согласия.
3. Субъект, любое лицо, достигшее 16 лет.
4. Субъективная сторона — прямой умысел (лицо осознаёт, что действует без согласия и желает этого).

Наказание по статье 137 УК РФ (действует с 2026 года)

*Квалифицирующие признаки: причинение тяжких последствий, совершение преступления группой лиц, использование служебного положения и др.

Сопутствующие уголовные статьи

• Статья 272.1 УК РФ — незаконное использование и (или) передача, сбор и (или) хранение компьютерной информации, содержащей персональные данные. Санкции включают штраф до 1 млн ₽ или лишение свободы до 7 лет при наличии крупного ущерба.
• Статья 183 УК РФ — незаконное получение и разглашение сведений, составляющих коммерческую, налоговую или банковскую тайну, что также может пересекаться с ПДн.

Административная ответственность по КоАП РФ

До привлечения по уголовной статье нарушителя могут оштрафовать по статье 13.11 КоАП РФ:

• На юридическое лицо — от 15 000 до 75 000 ₽.
• На должностное лицо — от 10 000 до 20 000 ₽.

Практические примеры

Пример 1. Разглашение базы клиентов

Менеджер интернет-магазина скопировал базу e-mail и телефонов покупателей и продал её партнёрам без согласия клиентов. Следствие квалифицировало действия по ст. 137 УК РФ, назначено наказание — штраф 150 000 ₽ и 360 часов обязательных работ.

Пример 2. Ошибка HR-службы

HR-специалист по ошибке отправил скан трудовой книжки сотрудника стороннему рекрутеру. Пострадавший подал заявление. Дело прекращено после мирового соглашения и компенсации морального вреда, но компания получила предписание Роскомнадзора и штраф по КоАП.

Как избежать ответственности: чек-лист компании

1. Получите явное согласие субъекта в простой письменной или электронной форме.
2. Разработайте и публикуйте политику обработки ПДн на сайте/приложении.
3. Ограничьте круг доступа к базам данных (ролевая модель, двухфакторная аутентификация).
4. Ведите реестры операций с персональными данными (журнал учёта передачи).
5. Обучите персонал по программе «Защита персональных данных» каждые 12 месяцев.
6. Заключайте соглашения о конфиденциальности с контрагентами и субподрядчиками.
7. Немедленно уничтожьте или обезличьте данные после отзыва согласия.

Что делать, если данные уже разглашены

• Оцените масштаб утечки: сколько субъектов затронуто, какие именно данные.
• Уведомьте Роскомнадзор не позднее 24 часов с момента выявления (п. 3 ст. 152-ФЗ).
• Информируйте субъектов о произошедшем и о принятых мерах.
• Зафиксируйте инцидент во внутреннем акте с приложением технического отчёта.
• При необходимости обратитесь в полицию, если есть признаки уголовного преступления.

Разглашение персональных данных без согласия владельца — это не просто «ошибка», а уголовно наказуемое деяние, которое может привести к реальному сроку заключения и крупным штрафам. Соблюдайте требования 152-ФЗ, ст. 137 и 272.1 УК РФ, внедряйте технические и организационные меры, обучайте сотрудников, и вы существенно снизите риски.

Если у вас остались вопросы или нужна помощь в составлении внутренних документов, обратитесь к юристу по защите данных или в Роскомнадзор.