Дата актуализации: 04 июля 2026 г․

Понятие персональных данных и их защита в РФ

Персональные данные, это любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (ФЗ-149-ФЗ, ст․ 3)․ К ним относятся:

• Ф․И․О․, дата рождения, адрес;
• Паспортные данные, СНИЛС, ИНН;
• Номера телефонов, e-mail, IP-адреса;
• Биометрические и генетические сведения;
• Информация о здоровье, доходах, семейном положении․

Основным регулятором является Федеральный закон от № 152-ФЗ «О персональных данных», а также Уголовный кодекс РФ, в котором введена специальная статья за злоупотребление при обработке персональных данных․

Уголовно-правовые нормы

Статья 137 УК РФ «Нарушение неприкосновенности частной жизни»

Состав преступления:

1. Объект: право граждан на неприкосновенность частной жизни, личную и семейную тайну․
2. Объективная сторона:
   • незаконное собирание персональных данных без согласия субъекта;
   • распространение, передача или предоставление таких сведений третьим лицам;
   • если действия повлекли тяжкие последствия (угрозы, мошенничество, шантаж, суицид)․
3. Субъект: любое физическое лицо, достигшее 16 лет (ст․ 20 УК РФ)․
4. Субъективная сторона: прямой умысел (лицо осознаёт незаконность действий и желает их совершить)․

Штрафы и санкции

Связь с другими статьями УК РФ

• Ст․ 272 УК РФ — неправомерный доступ к компьютерной информации (взлом баз персональных данных)․
• Ст․ 273 УК РФ — создание, использование и распространение вредоносных программ (вирусы, трояны, крадущие личные данные)․
• Ст․ 159 УК РФ — мошенничество, если данные использовались для хищения имущества․
• Ст․ 283․1 УК РФ — разглашение сведений, составляющих налоговую тайну, если они содержат персональные данные․

Практические примеры

Пример 1․ Утечка базы клиентов интернет-магазина (2024 г․)

Бывший сотрудник продал на теневом форуме файл с 1,2 млн записей (Ф․И․О․, телефоны, адреса)․ В результате пострадавшие получили тысячи звонов «коллекторов»․ Суд приговорил злоумышленника к 3 годам колонии-поселения и штрафу 300 000 ₽ по ч․ 2 ст․ 137 УК РФ․

Пример 2․ Врач-психиатр опубликовал истории болезни в соцсетях

Врач без согласия пациентов выложил фотографии историй болезни с диагнозами и Ф․И․О․ в закрытую группу․ Хотя доступ был ограничен, один из участников группы сделал скриншоты и распространил их․ Суд квалифицировал действия как ч․ 1 ст․ 137 УК РФ, назначив штраф 150 000 ₽ и лишение медицинской лицензии на 2 года․

Пример 3․ Директор компании использовал биометрию сотрудников для скрытого видеонаблюдения

Компания внедрила системы распознавания лиц для контроля присутствия на рабочем месте․ Сведения хранились на незащищённом сервере, доступ к которому получили хакеры․ После утечки часть сотрудников стала жертвами deepfake-мошенничества․ По совокупности преступлений (ст․ 137, 272, 273 УК РФ) директор получил 4 года лишения свободы․

Как не нарушить закон: чек-лист для организаций

1. Получите согласие на обработку персональных данных в письменной форме или через электронную подпись․
2. Опубликуйте политику конфиденциальности на сайте и в мобильных приложениях․
3. Назначьте ответственного за организацию обработки персональных данных (DPO)․
4. Проведите оценку рисков (DPIA) перед внедрением новых систем сбора или хранения данных․
5. Используйте шифрование при передаче и хранении персональных данных․
6. Обучите персонал основам информационной безопасности и ответственности за утечки․
7. Заключайте договоры НДА с подрядчиками, обладающими доступом к персональным данным․
8. Ведите журнал учёта доступа к базам персональных данных․
9. Своевременно уведомляйте Роскомнадзор об инцидентах (в течение 24 часов)․
10. Регулярно проводите аудит безопасности и обновляйте политики․

Что делать при утечке?

Алгоритм действий:

1. Остановите разглашение: отключите доступ, смените пароли, изолируйте инфицированные узлы․
2. Оцените масштаб утечки: какие именно данные пострадали, сколько субъектов затронуто․
3. Уведомите Роскомнадзор по форме официального портала не позднее 24 часов․
4. Информируйте субъектов: разошлите e-mail, SMS или письма с разъяснением, что случилось․
5. Проведите внутреннее расследование: установите причины и виновных․
6. Устраните уязвимости: обновите ПО, измените процессы, проведите повторный аудит․
7. Зафиксируйте все действия в протоколе для дальнейшего взаимодействия с органами․

Перспективы на 2026–2027 гг․

• Ужесточение санкций — в Госдуме обсуждается увеличение верхней планки штрафа до 1 млн ₽ и введение уголовной ответственности для юрлиц-должников․
• Обязательное страхование киберрисков для компаний, обрабатывающих биометрию․
• Интеграция ЕС GDPR-механизмов: «право на забвение» и «портативность данных»․
• Технологические требования — блокчейн-сертификаты и квантовое шифрование для критически важных баз․

Ключевые выводы

Нарушение правил работы с персональными данными уже сегодня влечёт не только административные штрафы, но и реальные сроки лишения свободы․ Компании и ИП должны заранее строить защищённые процессы, проводить обучение персонала и реагировать на инциденты по отработанному плану․ Помните: «ответственность за утечку персональных данных — это не только репутационные потери, а прежде всего уголовная ответственность»․

Следите за обновлениями законодательства, ведь правила цифровой безопасности меняются быстрее, чем кажется․