С 30 мая 2025 года в России вступили в силу ключевые изменения в уголовном и административном законодательстве, которые кардинально ужесточают ответственность за утечку персональных данных․ Теперь как компании, так и их сотрудники рискуют не только астрономическими штрафами, но и реальными сроками лишения свободы до 10 лет․ Ниже — самое важное, что нужно знать в 2026 году․

Главный новшество — статья 272․1 УК РФ

Статья 272․1 УК РФ «Незаконные использование, передача, сбор и хранение компьютерной информации, содержащей персональные данные» появилась в Уголовном кодексе РФ в конце 2024 года и вступила в силу 30 мая 2025 года․ Она прямо криминализирует:

• утечку трансграничную (например, на иностранные серверы) — до 8 лет лишения свободы;
• утечку, повлекшую тяжкие последствия (смерть, тяжкий вред здоровью, массовые мошенничества) — до 10 лет лишения свободы;
• оборот персональных данных детей, биометрии, медицинских сведений — квалифицируется как отягчающее обстоятельство․

Ключевой момент: наказание распространяется на любые лица — как на сотрудников компаний, так и на внешних подрядчиков, если они имели доступ к информационным системам․

Административка тоже стала жёстче — статья 13․11 КоАП РФ

Федеральный закон 420-ФЗ от 30 ноября 2024 года переписал статью 13․11 КоАП РФ․ Теперь:

1. Максимальный штраф для организаций — до 500 млн рублей;
2. Штраф привязан к обороту: от 1% до 3% совокупной годовой выручки компании за предыдущий год;
3. Повторное нарушение в течение года влечёт двукратное увеличение штрафа․

Как определить «тяжкие последствия»? Примеры из практики

Суды уже в 2025 году закрепили следующие позиции:

• Тяжкие последствия = массовые финансовые мошенничества (от 50 пострадавших);
• Тяжкие последствия = утечка медицинских данных ВИЧ-положительных пациентов;
• Тяжкие последствия = самоубийство пострадавшего после публикации интимных фото․

Кому грозит уголовка: статистика за январь-март 2026 года

По данным РАПСИ:

• 55 уголовных дел по утечкам данных заведены за первый квартал 2026 года;
• 53% дел возбуждены против сотрудников телеком-компаний;
• Каждое третье дело квалифицируется по новой статье 272․1 УК РФ․

Алгоритм действий компании при подозрении на утечку

1. Немедленно изолировать зараженную ИТ-инфраструктуру․
2. Составить первичный инцидент-реестр: что именно утекло, объём, категория ПДн․
3. В течение 24 часов уведомить Роскомнадзор (ф․ 2-Т)․
4. Заказать независимую экспертизу у аккредитованного ФСТЭК центра․
5. Подготовить пакет документов для прокуратуры и полиции (журналы доступа, политика безопасности, договоры с контрагентами)․

Как не попасть под статью: чек-лист технической защиты

Минимальный набор мер, рекомендованный Роскомнадзором и ФСТЭК:

• Шифрование баз данных по стандарту ГОСТ 28147-89;
• Межсетевые экраны 4 класса защищенности и выше;
• Контроль доступа по ролям (RBAC), двухфакторная аутентификация;
• Регулярные пентесты не реже двух раз в год;
• Обязательное ДЛП-средство (Data Loss Prevention)․

Ответственность ИТ-директора и сотрудников

ИТ-директор, не обеспечивший должный уровень защиты, может быть привлечён:

• по ст․ 272 УК РФ (несанкционированный доступ) — до 7 лет лишения свободы;
• по ст․ 272․1 УК РФ — до 8–10 лет, если докажут умысел или грубую небрежность․

Обычный сотрудник, сливший базу на форум, — по ст․ 272․1 ч․1 или ст․ 137 УК РФ (нарушение неприкосновенности частной жизни)․

Что делать, если вы уже пострадали как гражданин

1. Напишите заявление в полицию (участок или дежурная часть) — образец можно скачать на сайте ГУ МВД․
2. Подайте иск в суд о взыскании компенсации морального вреда (ст․ 152, 151 ГК РФ)․
3. Запросите в Роскомнадзоре выписку из реестра нарушений компании-виновника․

Информация актуальна на 04 июля 2026 года․ Перед любыми юридическими действиями проконсультируйтесь с квалифицированным адвокатом․