04 июля 2026 г․, 15:53

Ключевые изменения за 2024–2025 гг․

11 декабря 2024 года вступило в силу Федеральный закон № 421-ФЗ, внесяший в Уголовный кодекс РФ новую статью 272․1․
С 1 июля 2025 г․ действует обновлённая редакция Закона 152-ФЗ․

С 1 января 2026 г․ предусмотрено повышение штрафов по ст․ 13․11 КоАП РФ․

Когда наступает именно уголовная ответственность

Уголовное преследование возможно, если одновременно выполняются условия:

• Данные касаются личной жизни (семейные обстоятельства, здоровье, интимные факты)․
• Их обработка проводится без письменного согласия гражданина/родителя (если субъект, ребёнок)․
• Деяние не покрыто исключениями Закона 152-ФЗ (например, обработка для новостного сообщения о публичном мероприятии)․
• Есть признаки умысла или грубой небрежности, повлекшей массовую утечку или тяжкие последствия․

Состав преступления по ст․ 272․1 УК РФ

Уголовный кодекс, ст․ 272․1 «Незаконные оборот персональных данных»

1. Ч․ 1 — использование, передача, сбор, хранение ПДн без согласия субъекта:
   • штраф до 500 000 ₽;
   • или лишение свободы до 2 лет․
2. Ч․ 2 — те же действия:
   • в крупном размере (> 1 млн ₽ ущерба);
   • или группой лиц по предварительному сговору;
   • или с применением служебного положения․

   Наказание: лишение свободы до 4 лет + штраф до 1 млн ₽․

3. Ч․ 3 — причинение тяжких последствий (смерть, самоубийство, массовые утечки):

   лишение свободы до 7 лет․

Административные штрафы — «преддверие» уголовки

Если одно и то же нарушение зафиксировано повторно, дело может быть «поднято» из КоАП в УК․

Судебная практика 2025 г․ — первые приговоры

Пример 1․ Постановление 8 КСОЮ от № 77-3514/2023: бывший сотрудник колл-центра перепродал 30 000 клиентских карточек онлайн-магазина․ Приговор — 3 года колонии по ч․ 2 ст; 272․1 УК РФ․

Пример 2․ Октябрь 2025 г․, г․ Екатеринбург: HR-директор крупной фабрики разместил медкарты сотрудников в открытом доступе на корпоративном портале․ Ущерб, 2,3 млн ₽ (оплата морального вреда)․ Дело переквалифицировали из ст․ 13․11 КоАП в ч․ 2 ст․ 272․1 УК РФ․

Как работодателю исключить риск

1. Оформить письменное согласие с каждым сотрудником:
   • на сбор, хранение, передачу ПДн;
   • на передачу партнёрам (если используется аутсорс бухгалтерии, кадрового ПО и т․ д․);
   • на обработку биометрии, СНИЛС, ИНН, медданных․
2. Назначить ответственного по защите ПДн (приказ + регистрация в Роскомнадзоре)․
3. Разработать локальные акты:
   • политика конфиденциальности;
   • регламент обработки и хранения;
   • план инцидент-реакций на утечки․
4. Провести аудит ИТ-инфраструктуры: шифрование, разграничение доступа, журналы событий․
5. Обучить персонал․ Достаточно одного 2-часового онлайн-курса в год, но с фиксацией в трудовых книжках․
6. Организовать «точку невозврата»:
   • хранить копии согласий 5 лет после увольнения;
   • удалять данные после достижения цели или по запросу субъекта․

Чек-лист для первого лица организации

С 2025 г․ «серый» оборот персональных данных стал криминально опасным․
Даже один файл Excel с базой клиентов, выгруженный на личную «флешку» без согласия, может обернуться уголовным делом․
Защититься можно только системно: согласия, локальные акты, технические меры, обучение и регулярный аудит․

Консультируйтесь с юристом по 152-ФЗ до первой проверки Роскомнадзора․