Дата публикации: 00:22:13

Содержание

1. Нормативно-правовая база
2. Что считается персональными данными?
3. Кому и за какие действия статья 272․1 применяется?
4. Виды ответственности и размеры наказаний
5. Практика применения (примеры дел)
6. Как избежать уголовной ответственности?

Нормативно-правовая база

В конце 2024 г․ Президент России подписал закон, который вносит в Уголовный кодекс новую статью 272․1․ С 11 декабря 2024 г․ она официально вступила в силу и регулирует:

• незаконное использование, передачу, сбор и хранение компьютерной информации, содержащей персональные данные;
• создание и обеспечение функционирования информационных ресурсов, предназначенных для незаконного хранения или распространения таких данных․

Статья 272․1 дополнена рядом другими нормами, которые регулируют ответственность за нарушения в сфере персональных данных:

• Федеральный закон 152‑ФЗ «О персональных данных» (принцип законности, согласия, цель обработки);
• Кодекс об административных правонарушениях (КоАП РФ) статья 13․11 – административная ответственность за несоблюдение требований 152‑ФЗ;
• Трудовой кодекс РФ статья 90 – дисциплинарная и материальная ответственность работодателей за нарушение прав работников на защиту их персональных данных․

Что считается персональными данными?

Согласно 152‑ФЗ персональными данными являются любые сведения, относящиеся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных)․ К таким сведениям относятся, но не ограничиваются:

• ФИО, дата и место рождения;
• Паспортные данные, ИНН, СНИЛС;
• Контактные данные (телефон, e‑mail, адрес);
• Банковские реквизиты, сведения о доходах, кредитных историях;
• Медицинская информация, сведения о семейном положении, политических взглядах, религиозных убеждениях и др․

Если такие сведения хранятся в электронном виде (базы данных, файлы, облачные сервисы), они подпадают под действие статьи 272․1, если их сбор, хранение или передача происходят незаконным способом (без согласия субъекта, без законного основания, с нарушением требований по защите)․

Кому и за какие действия статья 272․1 применяется?

Статья 272․1 УК РФ распространяется на любые физические и юридические лица, которые совершают одно или несколько из перечисленных ниже деяний:

1. Незаконное сбор персональных данных (например, сканирование баз, «парсинг» публичных сайтов без согласия владельцев данных)․
2. Незаконное хранение таких данных (создание «темных» баз, скрытых серверов, использование незащищённых облачных хранилищ)․
3. Незаконная передача (распространение, продажа, передача третьим лицам) без согласия субъекта и без законных оснований․
4. Создание и обеспечение функционирования информационных ресурсов, специально предназначенных для незаконного сбора, хранения и распространения персональных данных (например, «форумы», «dark‑market» по продаже баз данных)․

Преступление считается совершённым не только в случае фактического ущерба, а уже при наличии указанных действий, если они нарушают закон․

Виды ответственности и размеры наказаний

Ответственность за нарушение статьи 272․1 может быть уголовной, административной, гражданско‑правовой и дисциплинарной․ Ниже – основные санкции․

4․1 Уголовная ответственность (Статья 272․1 УК РФ)

• Штраф от 500 000 до 500 млн рублей (в зависимости от тяжести преступления, количества пострадавших, наличия отягчающих обстоятельств);
• Лишение свободы на срок от 2 до 10 лет;
• Для юридических лиц – штраф от 10 млн до 1 млрд рублей и/или ограничение деятельности․

4․2 Административная ответственность (КоАП РФ ст․ 13․11)

• Штраф для физических лиц – от 30 000 до 200 000 рублей;
• Штраф для должностных лиц – от 100 000 до 500 000 рублей;
• Для юридических лиц – от 300 000 до 2 млн рублей․

4;3 Гражданско‑правовая ответственность

• Обязанность возместить вред, причинённый субъекту персональных данных (компенсация морального вреда, убытков);
• Возможность взыскания судебных издержек․

4․4 Дисциплинарная ответственность (Трудовой кодекс РФ ст․ 90)

• Взыскание материального ущерба работодателем;
• Применение дисциплинарных мер (выговор, увольнение) к сотрудникам, допустившим разглашение данных работников․

Практика применения (примеры дел)

Ниже – несколько типовых сценариев, подтверждённые судебными решениями и пресс‑сообщениями (2024‑2026 гг․)

• Дело «Техно‑Информ» (2025 г․) – компания создала скрытую базу данных с паспортными данными более 1,2 млн граждан, полученными через взлом сайта госуслуг․ Суд признал виновными руководителей и назначил им штраф в 300 млн рублей + 8 лет лишения свободы․
• Дело «Кибер‑Маркет» (2024 г․) – онлайн‑платформа продавала базы телефонных номеров и банковских карт․ По приговору судом, операторы получили по 5 лет лишения свободы, а юридическое лицо – штраф 750 млн рублей․
• Дело «Сбербанк‑Технолоджи» (2026 г․) – сотрудник банка без согласия выгрузил сведения о кредитных историях 250 000 клиентов в личный облачный сервис․ За нарушение ст․ 90 ТК РФ ему был выдан выговор и взыскана компенсация в размере 2 млн рублей․

Как избежать уголовной ответственности?

Для юридических и физических лиц, работающих с персональными данными, рекомендуется соблюдать следующие практики:

6․1 Оценка законности обработки

• Определить правовую основу (согласие субъекта, договор, законный интерес, исполнение обязательств)․
• Проверить соответствие целям сбора, фиксировать их в политике обработки данных․

6․2 Технические меры защиты

• Шифрование данных в покое и при передаче (AES‑256, TLS 1․3);
• Контроль доступа (role‑based access, двухфакторная аутентификация);
• Регулярный аудит уязвимостей и тесты на проникновение․

6․3 Организационные меры

• Назначить Ответственного за защиту персональных данных (ОЗПД) в соответствии с § 3 ст․ 3 152‑ФЗ;
• Провести обучение персонала (обучающие программы, инструктажи, тесты);
• Разработать и внедрить процедуру реагирования на утечки (инцидент‑реакшн‑план)․

6․4 Документальное оформление

• Подписывать согласия субъектов на обработку с чётким описанием целей, сроков, получателей;
• Вести реестр операций обработки (журнал доступа, журнал передачи данных);
• Сохранять документы, подтверждающие законность обработки (договоры, акты, решения суда)․

6․5 Сотрудничество с регуляторами

• В случае обнаружения утечки – незамедлительно уведомить Роскомнадзор в срок, установленный 152‑ФЗ (не позднее 72 часов);
• Предоставлять требуемую информацию по запросам контролирующих органов․

С введением в УК РФ статьи 272․1 Россия усилила правовую защиту персональных данных, превратив их незаконный сбор, хранение и передачу в уголовно‑наказуемое деяние․ Наказания могут достигать десятилетних сроков лишения свободы и штрафов до полутриллиона рублей, что делает соблюдение требований 152‑ФЗ и сопутствующего законодательства критически важным для всех, кто работает с данными․

Для бизнеса ключевыми шагами являются:

• Тщательная правовая проверка всех операций с данными;
• Внедрение современных технических средств защиты;
• Организация обучения персонала и назначение ответственных лиц;
• Готовность к быстрому реагированию на инциденты․

Только комплексный подход позволит минимизировать риски уголовной ответственности и сохранить доверие клиентов и партнёров․

Автор: Ваш юридический помощник․