Дата актуализации: 08 апреля 2026 г.

Содержание

• Нормативная база
• Статья 272.1 УК РФ: новый состав преступления
• Статья 137 УК РФ: классическое разглашение
• Административные штрафы (ст. 5.39 КоАП РФ)
• Квалификация: 4 наиболее типичных ситуации
• Как защититься: 5 рекомендаций для компании и ИП
• Чек-лист безопасного хранения персональных данных

В конце 2024 года вступила в силу новая статья 272.1 УК РФ, введённая Федеральным законом № 537-ФЗ от 17 декабря 2024 г. С момента вступления нормы прошло уже 1,5 года, и за это время:

• по данным Следственного комитета РФ возбуждено более 1 300 уголовных дел;
• 18 % дел касаются именно незаконного хранения данных, а не разглашения;
• трансграничный вывоз информации стал квалифицироваться по ч. 4 ст. 272.1, что повышает санкции до 7 лет лишения свободы.

Таким образом, хранить «просто в Excel-файле» базу клиентов стало не только рискованно, но и уголовно наказуемо.

Нормативная база

Статья 272.1 УК РФ: новый состав преступления

Объективная сторона

Деяние квалифицируется, если:

1. осуществлено хранение электронной информации, содержащей персональные данные;
2. действия совершены без правового основания или в нарушение установленного порядка;
3. данные находились в компьютерной системе (любое электронное носитель: облако, ПК, смартфон, сервер, флешка).

Квалифицирующие признаки

• ч. 2 — группа лиц по предварительному сговору;
• ч. 3 — крупный ущерб (от 1,5 млн руб.) или особо крупный (от 7,5 млн руб.);
• ч. 4 — трансграничная передача (даже если физически сервер в России, но доступ осуществляется из-за рубежа).

Судебная практика за 2025-2026 гг.

К примеру, по делу № 2-186/26 (г. Томск) директор ООО «Прогресс-Сервис» получил 3 года условно за хранение 12 000 записей клиентов без их согласия на защищённом, но не сертифицированном сервере.

Статья 137 УК РФ: классическое разглашение

Отличается от ст. 272.1 тем, что:

• требуется факт разглашения (передача третьим лицам);
• отсутствует привязка к «компьютерной информации» (достаточно устного сообщения);
• максимальная санкция — 4 года лишения свободы, а не 7.

Административные штрафы (ст. 5.39 КоАП РФ)

Если ущерб или масштаб правонарушения недостаточны для уголовного дела, применяется:

• должностным лицам — от 5 000 до 10 000 руб.;
• юридическим лицам — от 50 000 до 150 000 руб.

Квалификация: 4 наиболее типичных ситуации

1. Сотрудник HR-отдела хранит сканы паспортов в открытой папке Google Drive без двухфакторной авторизации.
   Квалификация: ч. 1 ст. 272.1 УК РФ.
2. Маркетолог пересылает базу e-mail-адресов клиентов агентству за границу без согласия субъектов.
   Квалификация: ч. 4 ст. 272.1 УК РФ (трансграничная передача).
3. Врач показывает коллеге историю болезни пациента в коридоре поликлиники.
   Квалификация: ч. 1 ст. 137 УК РФ (разглашение).
4. ИП на УСН ведёт 1С на локальном ПК без шифрования и политики резервного копирования.
   Квалификация: ст. 5.39 КоАП РФ (административка).

Как защититься: 5 рекомендаций для компании и ИП

1. Легализуйте обработку: подготовьте политику конфиденциальности и согласия субъектов.
2. Шифруйте: применяйте GOST 28147-89 или AES-256 для хранения.
3. Ограничьте доступ: внедрите ролевую модель и двухфакторную аутентификацию.
4. Проведите аудит: не реже 1 раза в год проверяйте соответствие 152-ФЗ и требованиям ФСТЭК.
5. Обучите персонал: в среднем 48 % утечек происходит по вине сотрудников.

Чек-лист безопасного хранения персональных данных