---
title: "Уголовная ответственность за утечку персональных данных: ст. 272.1 УК РФ"
description: "Ст. 272.1 УК РФ: за что теперь сажают за персональные данные, кому грозит уголовное дело и чем это отличается от штрафа по КоАП. Проверьте сайт бесплатно."
created_at: 2026-08-29
updated_at: 2026-08-29
category: "Утечки персональных данных"
tags:
  - "уголовная ответственность"
  - "272.1 УК РФ"
  - "утечка данных"
  - "152-ФЗ"
source_url: "https://152fztest.ru/blog/ugolovnaya-otvetstvennost-za-utechku-personalnyh-dannyh/"
source: "152fztest.ru"
---

С 11 декабря 2024 года за персональные данные можно получить не только штраф, но и реальный срок. Федеральный закон от 30.11.2024 № 421-ФЗ ввёл в Уголовный кодекс статью 272.1 — впервые в российской практике незаконные действия с чужими персональными данными стали самостоятельным составом преступления, а не просто основанием для административного штрафа компании.

Раньше уголовное преследование за такие истории было возможно лишь окольными путями — через неправомерный доступ к компьютерной информации (ст. 272 УК РФ) или мошенничество, если данные использовали для обмана. Теперь у следствия есть отдельная статья именно про [персональные данные](/glosarij/personalnye-dannye/): продажу баз, слив клиентской информации, работу «пробивных» ботов и сервисов. Разберём, кто рискует уголовным делом, какие санкции предусмотрены и чем это отличается от привычных штрафов по КоАП.

## Что именно наказывает статья 272.1 УК РФ

Диспозиция статьи охватывает четыре группы действий с компьютерной информацией, содержащей персональные данные, полученной путём неправомерного доступа:

- **незаконное использование** — например, применение украденной базы для звонков, рассылок или скоринга;
- **незаконная передача** — продажа, пересылка, предоставление доступа третьим лицам;
- **незаконный сбор** — целенаправленное накопление данных из скомпрометированных источников;
- **незаконное хранение** — держать у себя базу, зная, что она получена незаконно.

Отдельно статья криминализует **создание и обеспечение функционирования информационных ресурсов**, предназначенных для незаконного хранения или распространения таких данных. Формулировка написана прицельно под «пробивные» боты в Telegram и площадки, торгующие слитыми базами: под удар попадает не только тот, кто украл данные, но и тот, кто построил инфраструктуру для их оборота.

## Кто реально попадает под риск

Статья рассчитана не на компании-операторы как таковые, а на конкретных людей, совершивших незаконные действия. На практике в зоне риска четыре категории.

**Сотрудники с легитимным доступом к данным.** Менеджер, который перед увольнением скопировал базу клиентов на флешку и продал конкурентам, — классический сценарий именно под ч. 1 или ч. 3 статьи (если действовал из корыстной заинтересованности или с использованием служебного положения). Наличие рабочего доступа к [ИСПДн](/glosarij/ispdn/) не освобождает от ответственности за его незаконное использование.

**Подрядчики и аутсорс.** IT-компания, обслуживающая CRM клиента, техподдержка колл-центра, разработчик с доступом к продакшн-базе — все они формально являются лицами, чьи незаконные действия с чужими персональными данными подпадают под статью, если доступ использован не по назначению.

**Покупатели и продавцы слитых баз.** Здесь риск особенно велик: раньше покупка «слитой базы» на теневом форуме воспринималась многими как серая зона. Теперь это прямое незаконное хранение персональных данных, полученных путём неправомерного доступа — состав преступления образуется уже в момент скачивания файла.

**Операторы «пробивных» сервисов и ботов.** Часть статьи про создание информационных ресурсов для незаконного хранения и распространения данных бьёт именно по этой нише — администраторам ботов, продающим информацию по номеру телефона или ФИО, грозит уголовное дело независимо от того, они ли изначально украли данные.

## Санкции по частям статьи

Тяжесть наказания растёт по мере того, как усугубляются обстоятельства — вид данных, мотив, масштаб последствий.

| Часть | Что наказывает | Санкция |
|---|---|---|
| Ч. 1 | Базовый состав: незаконное использование, передача, сбор, хранение ПДн | Штраф до 300 000 ₽, принудительные работы или лишение свободы до 4 лет |
| Ч. 2 | То же в отношении данных несовершеннолетних, [специальных категорий](/glosarij/spec-kategorii-pdn/) или [биометрических данных](/glosarij/biometricheskie-pdn/) | Штраф до 700 000 ₽, принудительные работы или лишение свободы до 5 лет |
| Ч. 3 | Деяния из корыстной заинтересованности, с использованием служебного положения или группой лиц | Штраф до 1 000 000 ₽ или лишение свободы до 6 лет со штрафом |
| Ч. 4 | [Трансграничная передача](/glosarij/transgranichnaya-peredacha/) незаконно полученных данных или носителей информации | Лишение свободы до 8 лет со штрафом до 2 000 000 ₽ |
| Ч. 5 | Деяния, повлёкшие тяжкие последствия, или совершённые организованной группой | Лишение свободы до 10 лет со штрафом до 3 000 000 ₽ |
| Ч. 6 | Создание и обеспечение функционирования ресурсов для незаконного оборота ПДн | Штраф до 700 000 ₽, принудительные работы или лишение свободы до 5 лет |

Обратите внимание: закон отдельно выделяет использование служебного положения как отягчающее обстоятельство (ч. 3). Это прямо касается сотрудников компаний, которые получили доступ к данным легально в рамках должностных обязанностей, а затем использовали его незаконно.

## Уголовная ответственность vs штраф по КоАП: в чём разница

Это два параллельных, независимых друг от друга режима ответственности, и путать их — ошибка, которая дорого стоит на этапе реагирования на инцидент.

**КоАП (ст. 13.11) наказывает [оператора персональных данных](/glosarij/operator-personalnyh-dannyh/) — юридическое лицо.** Компания отвечает за сам факт нарушения: не защитила данные, не получила согласие, допустила утечку. Ответственность наступает независимо от того, был ли умысел — достаточно факта ненадлежащей защиты. Суммы известны заранее: фиксированные штрафы за первую утечку 3–20 млн ₽ в зависимости от масштаба, при повторной — оборотный штраф. Подробный расчёт оборотного штрафа разобран в статье [«Оборотные штрафы за утечку персональных данных»](/blog/oborotnye-shtrafy-za-utechku-personalnyh-dannyh/).

**УК (ст. 272.1) наказывает конкретного человека за умышленные незаконные действия.** Здесь важен умысел: лицо знало, что данные получены незаконно, и всё равно использовало, передало, собрало или хранило их. Наказание — не штраф компании, а личная ответственность вплоть до лишения свободы и судимости.

Практическое следствие: одна и та же утечка может породить два параллельных производства. Компанию оштрафует Роскомнадзор по КоАП за то, что не обеспечила защиту, а против сотрудника, который украл и продал базу, следствие возбудит уголовное дело по ст. 272.1. Юрлицо в России не привлекается к уголовной ответственности в принципе — уголовное дело всегда против физического лица.

## Что делать работодателю, чтобы не отвечать за сотрудника

Раз юридическое лицо не может быть подсудимым по ст. 272.1, прямой уголовной ответственности директора за действия рядового сотрудника закон не предусматривает — при условии, что руководитель сам не организовывал незаконный оборот данных. Но это не значит, что компания ничего не теряет: административная ответственность оператора и репутационный ущерб остаются на её стороне. Несколько практических шагов снижают оба риска одновременно.

1. **Разграничьте доступ к данным по принципу необходимого минимума.** Если у линейного менеджера нет доступа ко всей клиентской базе, ему физически нечего сливать.
2. **Ведите журнал доступа к ИСПДн и экспорта данных.** Логи выгрузок — первое, что запрашивает следствие и что защищает компанию, если сотрудник действовал в обход установленных процедур.
3. **Пропишите в трудовом договоре и локальных актах прямой запрет на копирование и передачу персональных данных за пределы рабочих систем.** Это не остановит злоумышленника, но зафиксирует, что компания как оператор приняла разумные организационные меры — а это прямо влияет на квалификацию её собственной вины по КоАП.
4. **При увольнении сотрудников с доступом к данным блокируйте учётные записи в день увольнения**, а не по регламенту «в течение недели» — большинство сливов баз происходит именно в переходный период.
5. **Настройте регламент реагирования на инцидент** — если утечка всё же произошла, соблюдение сроков уведомления Роскомнадзора (24 и 72 часа) не спасает от ответственности, но снижает совокупный размер санкций и демонстрирует добросовестность оператора.

Полный чек-лист организационных мер для сайта и компании — в статье [«Аудит персональных данных в компании: чеклист на 10 шагов»](/152-fz/utechki-personalnyh-dannyh/).

## Реальна ли практика по этой статье

Статья действует с конца 2024 года, и первые уголовные дела уже возбуждаются — в первую очередь против администраторов «пробивных» ботов и продавцов баз в даркнете, где состав очевиден и доказуем: переписка о продаже, платежи, файлы с данными на устройстве. Дела против сотрудников компаний за разовый слив клиентской базы конкуренту сложнее в доказывании, но именно они дают следствию наиболее прямую цепочку «легальный доступ → копирование → передача за деньги» — а значит, со временем таких дел будет больше. Обзор реальных решений судов по утечкам персональных данных, включая административные споры, собран в статье [«Утечка персональных данных: судебная практика»](/blog/utechka-personalnyh-dannyh-sudebnaya-praktika/).

## Коротко о главном

Ст. 272.1 УК РФ действует с 11 декабря 2024 года и устанавливает личную уголовную ответственность за незаконное использование, передачу, сбор и хранение персональных данных, полученных путём неправомерного доступа, — от штрафа в 300 000 ₽ до 10 лет лишения свободы в зависимости от части статьи. Это ответственность физических лиц — сотрудников, подрядчиков, покупателей и продавцов слитых баз, — а не компании-оператора. Юрлицо по-прежнему отвечает отдельно и по другим правилам — административным штрафом по ст. 13.11 КоАП за то, что не защитило данные. Лучшая защита работодателя — разграничение доступа, журналирование выгрузок и быстрая блокировка учётных записей при увольнении: это не отменяет уголовную ответственность виновного сотрудника, но снижает собственные риски компании как оператора.

Проверьте, готов ли ваш сайт к проверке Роскомнадзора по 152-ФЗ, — бесплатный автоматический сканер найдёт формальные нарушения раньше, чем это сделает регулятор.

## Частые вопросы

### Когда за утечку наступает уголовная ответственность

Когда персональные данные не просто утекли из-за слабой защиты, а кто-то незаконно использовал, передал, собрал или хранил их, получив путём неправомерного доступа — то есть когда есть конкретный человек, который украл, продал или скопировал базу. Сама по себе утечка из-за уязвимости сайта без умышленных действий физлица квалифицируется по ст. 13.11 КоАП, а не по ст. 272.1 УК РФ.

### Отвечает ли директор за слив базы сотрудником

Уголовная ответственность в России персональная — юридическое лицо не может быть подсудимым по ст. 272.1 УК РФ, отвечает конкретный сотрудник, который совершил незаконные действия. Но компания как оператор всё равно рискует получить штраф по ст. 13.11 КоАП за утечку — за то, что не обеспечила защиту данных, независимо от того, накажут ли виновного сотрудника уголовно.

### Какое наказание по ст. 272.1 УК РФ

По базовому составу (ч. 1) — штраф до 300 000 ₽, принудительные работы или лишение свободы на срок до 4 лет. За данные несовершеннолетних, специальных категорий или биометрию (ч. 2) — до 700 000 ₽ или до 5 лет. За трансграничную передачу (ч. 4) — до 8 лет со штрафом до 2 000 000 ₽. За деяния с тяжкими последствиями или организованной группой (ч. 5) — до 10 лет со штрафом до 3 000 000 ₽.

### Чем уголовная ответственность отличается от штрафа по КоАП

КоАП (ст. 13.11) наказывает оператора — юридическое лицо — за то, что не защитил данные или нарушил порядок их обработки; штрафы до нескольких миллионов, а при повторной утечке — оборотный штраф до 500 млн ₽. Ст. 272.1 УК РФ наказывает физическое лицо за умышленные незаконные действия с уже украденными данными: лишение свободы, принудительные работы, судимость. Оба режима применяются параллельно и не исключают друг друга.