Дата публикации:

Что такое утечка персональных данных?

Утечка (рассекречивание) персональных данных – это неправомерное получение‚ сбор‚ хранение‚ передача или раскрытие сведений‚ позволяющих установить личность физического лица без его согласия. В российском праве такие действия регулируются как уголовным‚ так и административным законодательством.

Основные уголовные нормы‚ регулирующие утечку информации

2.1 Статья 272 УК РФ «Неправомерный доступ к компьютерной информации»

Существует с 1996 года и предусматривает наказание за:

• неправомерный доступ к охраняемой законом компьютерной информации;
• незаконное копирование‚ изменение или уничтожение такой информации.

Наказание – штраф‚ исправительные работы или лишение свободы до 5 лет. Однако статья 272 не охватывает случаи‚ когда доступ осуществляется в интересах личных и семейных нужд (см. пункт «исключение»).

2.2 Статья 272.1 УК РФ (введена в 2024 г.)

Новая статья конкретизирует ответственность за незаконное использование‚ передачу‚ сбор и хранение компьютерной информации‚ содержащей персональные данные‚ а также за создание и эксплуатацию ресурсов‚ предназначенных для их незаконного оборота.

Ключевые положения:

1. Уголовная ответственность за однократные нарушения – штраф до 500 млн руб. или лишение свободы до 5 лет.
2. За повторные правонарушения вводятся оборотные штрафы – до 3 % от выручки компании за каждый последующий случай.
3. Если утечка имеет трансграничный характер‚ наказание возрастает до 8 лет лишения свободы.
4. При наличии тяжких последствий (смерть‚ тяжкое вредоносное воздействие на здоровье‚ крупные финансовые потери) срок может достигать 10 лет.

Статья действует с 30 ноября 2024 г. (закон 421‑ФЗ).

2.3 Статья 137 УК РФ «Неправомерный сбор‚ хранение‚ использование персональных данных»

Предусматривает ответственность за сбор и обработку персональных данных без согласия субъекта‚ если такие действия приводят к нарушению прав и свобод граждан. Наказание – штраф‚ исправительные работы или лишение свободы до 3 лет.

2.4 Статья 183 УК РФ «Незаконное получение и разглашение сведений‚ составляющих коммерческую‚ налоговую или банковскую тайну»

Применяется‚ когда утечка касается коммерческой тайны‚ но часто пересекается с вопросами персональных данных в корпоративных контекстах.

Административная ответственность

Помимо уголовных санкций‚ существуют административные меры:

• КоАП РФ статья 13.11 – нарушение законодательства в области персональных данных (штрафы для физических и юридических лиц).
• Штрафы до 5 млн руб. для юридических лиц‚ а также возможность приостановления деятельности организации.

Что изменилось после принятия новых законов в 2024 г.

4.1 Ужесточение наказаний за трансграничные утечки

Госдума ввела отдельный режим ответственности – лишение свободы до 8 лет‚ а при тяжких последствиях – до 10 лет. Это направлено на защиту данных граждан‚ которые могут быть переданы в иностранные государства.

4.2 Оборотные штрафы для компаний

Если компания уже была оштрафована за утечку‚ каждый последующий случай в течение 3 лет влечет штраф в размере до 3 % от годовой выручки. Такая мера стимулирует внедрение системных мер по защите данных.

4.3 Исключения для личного использования

Действие статьи 272.1 не распространяется на обработку персональных данных физическими лицами исключительно для личных и семейных нужд (например‚ хранение контактов в личных телефонах).

Практические рекомендации для компаний

1. Провести аудит информационной безопасности. Выявить все точки доступа к персональным данным и оценить уровень риска.
2. Внедрить политику минимального доступа. Сотрудники должны иметь доступ только к тем данным‚ которые необходимы им для выполнения обязанностей.
3. Шифрование и токенизация. Хранить чувствительные данные в зашифрованном виде‚ использовать токены вместо реальных номеров карт и паспортов.
4. Обучение персонала. Регулярные тренинги по защите персональных данных и правилам работы с конфиденциальной информацией.
5. Контроль за поставщиками. Оформлять договоры с обязательствами по соблюдению требований 272.1 и проводить проверки их систем защиты.
6. План реагирования на инциденты. Должен включать:
   • Сбор доказательств;
   • Уведомление регулятора (Роскомнадзор) в течение 72 часов;
   • Информирование пострадавших субъектов данных;
   • Юридическое сопровождение и взаимодействие с правоохранительными органами.

Примеры судебной практики (2023‑2025 гг.)

• Дело № 2023‑04‑018 – 58 человек привлечено к ответственности по статье 272‚ в т.ч. 5 осуждены на реальное лишение свободы (сроки от 1 до 3 лет).
• Дело о трансграничной утечке 2024‑12‑02 – обвиняемый получил 8 лет лишения свободы за передачу данных более 10 000 граждан в иностранную организацию.
• Дело «Оборотный штраф» 2025‑09‑30 – крупная телекоммуникационная компания‚ уже оштрафованная на 150 млн руб.‚ получила дополнительный штраф в размере 2‚5 % от годовой выручки за повторный инцидент.

Как подготовиться к возможному судебному разбирательству

1. Собрать всю техническую документацию: журналы доступа‚ политики безопасности‚ результаты аудитов.
2. Подготовить юридическую экспертизу: заключения независимых экспертов по соответствию требованиям 272.1.
3. Оформить внутренние инструкции и протоколы‚ подтверждающие‚ что компания приняла все необходимые меры предосторожности.
4. Вести диалог с регулятором: своевременное информирование и согласование действий могут смягчить санкцию.

Ужесточение ответственности за утечку персональных данных в России – это ответ государства на растущее количество киберпреступлений и международных конфликтов‚ где данные становятся стратегическим ресурсом. Новая статья 272.1 УК РФ‚ оборотные штрафы и повышенные сроки лишения свободы за трансграничные утечки создают сильный правовой стимул для компаний инвестировать в кибербезопасность.

Для организаций ключевым является не только соблюдение формальных требований‚ но и построение культуры защиты данных‚ где каждый сотрудник осознает свою роль в предотвращении утечек. Тщательная подготовка‚ регулярные аудиты и проактивное взаимодействие с регуляторами позволяют минимизировать риски и избежать тяжёлых уголовных и финансовых последствий.

Источник: официальные публикации Госдумы‚ РАПСИ‚ КонсультантПлюс‚ Гарант.ру‚ Федеральный закон № 421‑ФЗ от .