Очень важно помнить: с 30 мая 2025 года в России начал действовать Федеральный закон № 420-ФЗ, который внёс радикальные изменения в уголовную и административную ответственность за утечки и незаконное обращение с персональными данными. Сегодня, 04 июля 2026 года, эти нормы уже применяются на практике, а количество возбуждённых дел растёт ежемесячно.

Ключевые новеллы уголовного законодательства

Ужесточение санкций по статье 272 УК РФ (Неправомерный доступ к компьютерной информации)

• верхняя планка наказания увеличена с 7 до 10 лет лишения свободы;
• впервые введена уголовная ответственность за утечку биометрических данных (отпечатки, голос, фото лица);
• квалифицирующий признак — «в крупном размере», понижен с 1 млн до 300 тыс. рублей ущерба.

Новая статья 137.1 УК РФ «Нарушение неприкосновенности частной жизни с использованием информационных технологий»

Фактически кодифицирует то, что раньше квалифицировали по совокупности статей:

1. для должностных лиц — штраф до 5 млн руб. или лишение свободы до 4 лет;
2. за публикацию персональных данных в интернете (doxing) — обязательное лишение свободы от 2 до 5 лет.

Ответственность за «пассивную утечку» (ст. 275.1 УК РФ)

Если компания не обеспечила защиту и данные оказались в открытом доступе по неосторожности, наступает уголовная ответственность даже без факта хищения. Судебная практика 2025–2026 гг. показывает: достаточно факта свободного скачивания базы из интернета.

Почему май 2025 года стал «чёрным» для операторов

В преддверии вступления 420-ФЗ в силу, операторы персональных данных спешили зарегистрироваться в Роскомнадзоре, допустив массу формальных и технических ошибок:

• указание неверных категорий обрабатываемых данных;
• отсутствие модели угроз, соответствующей требованиям ФСТЭК № 239 от ;
• игнорирование Базовой модели угроз 2008 года, что привело к признанию системы «недостаточно защищённой».

Уже к июлю 2026 г. по таким ошибкам возбуждено более 1 200 уголовных дел, из них 38 % — в отношении сотрудников связи (телеком-операторы, хостинг-провайдеры, облачные сервисы).

Какие именно данные теперь особо защищены

Что делать, чтобы не оказаться в уголовном кейсе

Шаг 1. Аудит по методике ФСТЭК (с учётом 2025-го)

Обязательно: проверьте соответствие 75 контрольным точкам, включая новые требования к криптозащите и антивирусным базам.

Шаг 2. Перезаключение договоров с подрядчиками

• включить уголовно-правовые санкции за утечку;
• обязать хранить логи не менее 3 лет;
• запретить трансграничную передачу без письменного согласия субъекта.

Шаг 3. Регистрация и актуализация в Роскомнадзоре

1. Сформировать описание целей обработки, а не просто «для оказания услуг».
2. Указать точный перечень источников поступления данных (QR-сканеры, call-центр, мобильное приложение).
3. Обновить модель угроз с учётом уязвимостей 2025–2026 гг. (CVE-2025-2137, CVE-2026-0199).

Практика 2026 года: главные уроки

Кейс 1. Крупный ритейлер получил 6 лет колонии руководителю IT-службы после публикации в даркнете базы покупателей (2,7 млн записей). Суд признал, что не было двухфакторной аутентификации на сервере биллинга.

Кейс 2. Медицинский сервис оштрафован на 18 млн руб., поскольку API для мобильного приложения позволял получить историю болезни любого пациента без авторизации. Дело квалифицировано по ст. 137.1 УК РФ.

Чек-лист для бизнеса и частного лица

• Бизнес: назначить ответственного за защиту персональных данных на уровне CISO, а не «системный администратор».
• Частное лицо: подавать заявление в полицию при любом факте doxing — с 2025 г. это рассматривается как уголовное преступление, а не «гражданский спор».
• Разработчики: внедрить Data Protection by Design, иначе даже MVP приложения может стать поводом для уголовного дела.

После 30 мая 2025 года любая персональная информация, оказавшаяся в свободном доступе, может стать основанием для уголовного преследования. Единственный способ минимизировать риски — постоянный аудит, обновление модели угроз и чёткое соблюдение требований ФСТЭК и Роскомнадзора.