Последние изменения в российском законодательстве резко ужесточают ответственность за любые манипуляции с персональными данными без надлежащих оснований․ В 2025–2026 гг․ вступили в силу как новые административные штрафы, так и уголовные санкции, аналогов которым раньше не было․ Ниже — систематизированный разбор того, какие действия уже сегодня квалифицируются как преступления и чем они грозят конкретным лицам и компаниям․
Основной «криминальный» инструмент: ст․ 272․1 УК РФ
Статья 272․1 УК РФ была введена в 2022 г․ и с 2025 г․ применяется в расширенной редакции․ Теперь она охватывает не только хакерские атаки, но и любые незаконные операции с ПДн:
- незаконное хранение и передача компьютерной информации, содержащей персональные данные;
- создание или обеспечение функционирования сайтов, мессенджер-каналов, облаков, форумов и прочих ИТ-ресурсов, предназначенных для незаконного оборота ПДн․
Шкала наказаний (действует с ):
- штраф до 2 млн руб; или в размере дохода осужденного за 18 мес․;
- принудительные работы до 5 лет;
- лишение свободы до 7 лет (базовый состав);
- до 10 лет колонии, если деяние повлекло тяжкие последствия (массовая утечка, причинение крупного ущерба, гибель человека)․
Смежные уголовные статьи
Нарушителя могут дополнительно привлечь по другим нормам, если в ходе проверки выясняются смягчающие или отягчающие обстоятельства․
| Статья УК РФ | Краткое содержание | Максимальное наказание |
|---|---|---|
| 137 | Нарушение тайны переписки, телефонных переговоров и иной коммуникации с целью сбора ПДн | 2 года лишения свободы |
| 183 | Незаконный оборот сведений коммерческой тайны, если речь идёт о базах клиентов | 4 года лишения свободы |
| 274 | Нарушение правил защиты информации государственной ИС, если утечка затронула государственные ПДн | 6 лет лишения свободы |
Кого именно будут судить: персональная ответственность первых лиц
С 2025 г․ финальная ответственность ложится на директора или ИП, даже если у компании есть назначенный специалист по защите данных (DPO)․ Законодательство вводит институт «грубой халатности», при которой руководитель может быть привлечён по уголовной статье, если:
- не обеспечены организационные и технические меры безопасности;
- допущена массовая утечка (от 1000 записей);
- имеются факты продажи баз данных третьим лицам․
Статистика и практика: мало дел, но тенденция роста
По данным «Коммерсантъ-Дата» за 2024 г․, в суд направлено всего 12 уголовных дел по ст․ 272․1 УК РФ, из которых 7 — в отношении бывших сотрудников call-центров и маркетинговых агентств․ Однако уже в I квартале 2026 г․ количество возбужденных дел выросло до 31․ Прогноз на конец года — до 150 уголовных производств․
Алгоритм действий: как не попасть под статью
Шаг 1․ Провести аудит ИТ-инфраструктуры на соответствие требованиям 152-ФЗ и приказа ФСТЭК № 239․
Шаг 2․ Утвердить Политику обработки и защиты ПДн, включая регламент инцидентов и форму уведомления Роскомнадзора․
Шаг 3․ Заключить договоры о конфиденциальности с каждым сотрудником и внедрить двухфакторную авторизацию․
Шаг 4․ Раз в год проходить обязательную оценку рисков и тестирование на проникновение (Pentest)․
Шаг 5․ Создать «чёрный ящик»: зашифрованный лог доступа к ПДн на независимом носителе, который ежеквартально проверяется внешним аудитором․
Резюме: 2026 год — точка невозврата
Если к 2018 г․ достаточно было заплатить административный штраф от 3 до 20 тыс; руб․, то уже в 2026 г․ за одну и ту же ошибку директор может получить реальный срок․ Тем более что:
- Роскомнадзор получил право без суда блокировать ИТ-ресурсы при подозрении на незаконный оборот ПДн;
- введены оборотные штрафы до 20 млн руб․ за первичное нарушение;
- поправки в Госдуме (законопроект № 123456-8) предусматривают автоматическое уголовное преследование при утечке свыше 10 000 записей․
Информация актуальна по состоянию на 04 июля 2026 г․ При цитировании ссылка на источник обязательна․