Незаконный оборот персональных данных по статье 272.1 УК РФ

До появления статьи 272.1 продавцов чужих баз ловили на статьях, написанных под другое: взлом, разглашение тайны, нарушение частной жизни. Теперь у оборота персональных данных есть собственная норма, и наказание в ней доходит до 10 лет лишения свободы. Отвечает по ней не только тот, кто украл базу, но и тот, кто её хранил, передавал и держал бота для поиска по ней.

Что делать, если вас обвиняют по статье 272.1 УК РФ

Дела по этой статье начинаются с изъятия техники и с осмотра переписки, а объяснения у людей берут раньше, чем те успевают понять объём обвинения. Разобрать, что именно вменяют и какая часть статьи применима, стоит вместе с адвокатом по уголовным делам: разница между частью 1 и частью 3 здесь измеряется годами.

Что наказывает статья 272.1 УК РФ

Норма относительно новая: её ввели Федеральным законом от 30.11.2024 № 421-ФЗ, и практика по ней только складывается. Появилась она из-за очевидного пробела. Утечки баз стали массовым явлением, а привлекать за них приходилось по статьям о взломе и о коммерческой тайне, которые описывают другое.

Предмет статьи назван прямо: компьютерная информация, содержащая персональные данные. То есть сведения, относящиеся к конкретному человеку, в электронном виде. Фамилия с номером телефона, адрес, паспортные данные, сведения о покупках, история обращений в клинику, координаты автомобиля, всё это персональные данные, как только по ним можно определить человека.

Второй обязательный признак — это происхождение данных. Норма говорит об информации, полученной путём неправомерного доступа к средствам её обработки и хранения, иного вмешательства в их работу либо иным незаконным путём. Формулировка «иным незаконным путём» закрывает всё остальное: выгрузку сотрудником, покупку у постороннего, получение обманом.

Третий признак самый неожиданный для многих. Наказуемо не только добывание, но и весь оборот: использование, передача, распространение, предоставление, открытие доступа, сбор и хранение. Человек, который базу не крал, а просто хранит её у себя на диске, попадает под ту же часть 1.

Шесть частей статьи 272.1 УК РФ и наказание по каждой

Части выстроены лесенкой. Первая описывает базовый оборот, вторая поднимает наказание за особый состав данных. Третья добавляет обычные квалифицирующие признаки и уже даёт тяжкое преступление, четвёртая и пятая поднимают срок ещё выше, а шестая стоит особняком и наказывает саму площадку.

• Часть 1, базовый оборот персональных данных Штраф до 300 тысяч рублей или в размере дохода за период до 1 года, принудительные работы до 4 лет либо лишение свободы до 4 лет. Дополнительных наказаний в этой части нет.
• Часть 2, данные детей, специальные категории и биометрия Те же действия в отношении персональных данных несовершеннолетних, специальных категорий персональных данных и биометрических данных. Штраф до 700 тысяч рублей или в размере дохода за период до 2 лет, принудительные работы до 5 лет либо лишение свободы до 5 лет. Запрет занимать определённые должности до 2 лет норма привязывает только к штрафу и оставляет на усмотрение суда: у него стоит оговорка «или без такового».
• Часть 3, корысть, крупный ущерб, группа и служебное положение Четыре признака: корыстная заинтересованность, причинение крупного ущерба, группа лиц по предварительному сговору, использование служебного положения. Штраф до 1 миллиона рублей или в размере дохода за период до 3 лет, принудительные работы до 5 лет либо лишение свободы до 6 лет. При принудительных работах и лишении свободы штраф до 1 миллиона рублей назначается обязательно, а запрет на должности до 3 лет остаётся на усмотрение суда.
• Часть 4, трансграничная передача Деяния, сопряжённые с трансграничной передачей данных или с трансграничным перемещением носителей. Наказание одно: лишение свободы до 8 лет, и к нему обязательно добавляется штраф до 2 миллионов рублей или в размере дохода за период до 3 лет. Запрет на должности до 4 лет суд назначает по своему усмотрению.
• Часть 5, тяжкие последствия и организованная группа Самая строгая часть. Лишение свободы до 10 лет с обязательным штрафом до 3 миллионов рублей или в размере дохода за период до 4 лет. Запрет занимать определённые должности до 5 лет назначается по усмотрению суда.
• Часть 6, сайт или бот для торговли данными Создание и обеспечение функционирования информационного ресурса, заведомо предназначенного для незаконных хранения и передачи персональных данных, полученных незаконным путём. Ресурсом норма называет сайт, страницу сайта, информационную систему и программу для компьютера. Штраф до 700 тысяч рублей или в размере дохода за период до 2 лет, принудительные работы до 5 лет либо лишение свободы до 5 лет. При принудительных работах и лишении свободы штраф до 700 тысяч рублей назначается обязательно, а запрет занимать определённые должности до 2 лет остаётся на усмотрение суда.

Про крупный ущерб из пункта «б» части 3 стоит сказать отдельно. Его размер задан примечанием к статье 272 УК РФ и работает для всей главы о компьютерных преступлениях: крупным признаётся ущерб свыше 1 миллиона рублей. Отдельного порога у статьи 272.1 нет.

Обратите внимание на конструкцию дополнительных наказаний. Там, где норма пишет «или без такового», назначение остаётся правом суда, и об этом можно спорить. А вот дополнительный штраф в частях 3, 4, 5 и 6 такой оговорки не имеет вовсе, и суд обязан назначить его вместе с принудительными работами или лишением свободы.

Изъяли технику и вызвали на объяснение по утечке данных?

Юрист оценит объём обвинения, разберёт, какая часть статьи применима, и объяснит, что говорить на первом допросе.

Задать вопрос юристу

Полина Недашковскаяюрист Амулекс

Категория преступления и срок давности по статье 272.1 УК РФ

Статья редкая тем, что охватывает сразу две категории. Части 1, 2 и 6 это преступления средней тяжести, части 3, 4 и 5 уже тяжкие. От категории зависит не только срок давности, но и режим отбывания, и возможность прекращения дела по нереабилитирующим основаниям.

Часть 5 с максимумом ровно в 10 лет остаётся тяжким преступлением, а не становится особо тяжким: по статье 15 УК РФ особо тяжкими признаются умышленные деяния с наказанием свыше 10 лет лишения свободы. Срок давности по статье 78 УК РФ считают со дня совершения преступления, а при длящемся хранении базы отсчёт начинается не с момента её получения.

Как статья 272.1 УК РФ связана со статьями 272 и 137 УК РФ

Законодатель развёл эти нормы прямыми оговорками, и это редкий случай, когда границу не приходится выводить из практики. И в части 1 статьи 272, и в части 1 статьи 137 стоит одинаковая фраза об исключении случаев, предусмотренных статьёй 272.1. Иными словами, как только предметом стали персональные данные, работает новая статья.

Разобрать это проще на одном сюжете. Человек взломал сервер интернет-магазина и скопировал таблицу заказов с именами и телефонами покупателей. Сам взлом с копированием подпадал бы под статью 272, но предметом стали персональные данные, поэтому применяется статья 272.1. Если бы он скопировал не клиентскую базу, а чертежи или исходный код, работала бы статья 272.

Рядом стоит статья 183 УК РФ о незаконных получении и разглашении коммерческой, налоговой и банковской тайны. Она смотрит на другую сторону тех же событий: не на данные людей, а на секреты организации. Выгруженная сотрудником клиентская база часто оказывается одновременно и персональными данными, и коммерческой тайной, и тогда обвинение строят по совокупности.

Статьи 273 и 274 УК РФ подключаются к делу техникой. Если для выгрузки использовали вредоносную программу, добавляется статья 273, если утечка выросла из нарушения правил эксплуатации систем хранения и причинила крупный ущерб, появляется статья 274.

Как статья 272.1 УК РФ связана с законом о персональных данных

Уголовная норма не определяет, что такое персональные данные, специальные категории и биометрия. Она берёт эти понятия из закона о персональных данных, и именно поэтому спор о квалификации нередко превращается в спор об отраслевых определениях.

• Персональные данные Любые сведения, относящиеся к определённому или определяемому человеку. Ключ здесь в определяемости: набор из телефона и адреса доставки без фамилии всё равно позволяет узнать человека, и данные остаются персональными.
• Специальные категории Сведения о состоянии здоровья, интимной жизни, национальной и расовой принадлежности, политических взглядах, религиозных и философских убеждениях. Оборот таких данных сразу поднимает деяние в часть 2 статьи 272.1.
• Биометрические данные Сведения о физиологических и биологических особенностях человека, по которым можно установить его личность: изображение лица, отпечатки, голос. Они тоже дают часть 2 независимо от объёма выгрузки.
• Оператор персональных данных Организация или предприниматель, которые определяют цели обработки данных и обрабатывают их. Оператор отвечает за защиту сведений, но по уголовной статье отвечает не он как юридическое лицо, а конкретные люди.
• Согласие на обработку Основание, которое делает обработку законной. Законность происхождения данных проверяют по цепочке согласий и договоров, поэтому база, купленная у постороннего без документов, считается полученной незаконным путём по умолчанию.

Уголовная и административная ответственность здесь идут параллельно, а не вместо друг друга. Компанию как оператора наказывают за нарушение правил обработки и за несообщение об инциденте в надзорный орган, а людей за оборот данных судят по статье 272.1. Административный штраф организации от уголовного дела сотрудника не спасает.

Утечка базы данных и ответственность сотрудника, скачавшего базу клиентов

Это самый частый сценарий по статье. Менеджер перед увольнением выгружает клиентскую базу, чтобы прийти с ней к новому работодателю. Разработчик копирует таблицу пользователей «на всякий случай». Оператор колл-центра фотографирует экран с карточками клиентов.

Раньше такие истории почти всегда заканчивались увольнением и иском о взыскании убытков. Со статьёй 272.1 картина изменилась: сам факт выгрузки и хранения базы уже образует оконченный состав, и ждать, пока сотрудник кому-то её передаст, следствию не нужно.

1. Доступ по работе не делает выгрузку законнойЛогин выдан для обслуживания клиентов, а не для копирования базы себе. Когда сотрудник берёт данные за пределами служебной задачи, они считаются полученными незаконным путём, даже если пароль он не подбирал.
2. Служебное положение поднимает деяние в часть 3Пункт «г» части 3 прямо называет использование служебного положения. Верхняя планка сразу вырастает до 6 лет лишения свободы, а само преступление становится тяжким.
3. Продажа базы добавляет корыстьПункт «а» части 3 говорит о корыстной заинтересованности. Для сотрудника, который вынес базу и продал её, оба признака части 3 срабатывают одновременно.
4. Хранение тоже образует деяниеПозиция «я скачал, но никому не отдавал» состав не убирает: хранение названо в норме наравне с передачей. Спорить в такой ситуации приходится о размере наказания, а не о наличии преступления.
5. Рядом идёт коммерческая тайнаЕсли база была защищена режимом коммерческой тайны, к делу добавляется статья 183 УК РФ, где за разглашение сведений лицом, которому они доверены по службе, предусмотрено лишение свободы до 4 лет по части 2.
6. Данные детей и медицинские сведения меняют частьКлиентская база детского центра или клиники — это персональные данные несовершеннолетних и сведения о здоровье. Такая выгрузка идёт не по части 1, а по части 2 или сразу по части 3.

Пробив по базам и ответственность за сайты и боты с чужими данными

Пробивом называют платный поиск сведений о человеке по закрытым базам: паспортные данные, адрес, место работы, номера телефонов, движение по счетам, штрафы, перелёты. Работает это через чаты, каналы и телеграм-ботов, где ответ выдаётся автоматически за небольшую сумму.

Часть 6 статьи 272.1 написана как раз под эту схему. Она наказывает создание и обеспечение функционирования информационного ресурса, заведомо предназначенного для незаконных хранения и передачи персональных данных, полученных незаконным путём. Ресурсом закон называет не только сайт, но и страницу сайта, информационную систему и программу для компьютера, поэтому бот под определение подпадает.

1. Владелец ресурсаОтвечает по части 6 за сам факт создания или поддержания работы бота либо сайта. Доказывать, что через него кто-то что-то передал, необязательно: слово «заведомо» относится к назначению ресурса.
2. Поставщик данныхСотрудник банка, оператора связи или ведомства, который сливает выгрузки в такой сервис, отвечает по части 3 с признаками служебного положения и корыстной заинтересованности.
3. Администратор и оператор чатаЧеловек, принимающий заказы и передающий ответы, участвует в передаче данных. Групповая работа с распределением ролей даёт признак группы лиц по предварительному сговору, а устойчивая схема организованную группу и часть 5.
4. Заказчик пробиваТот, кто купил чужие данные, тоже совершает деяние из части 1: он их получил, использует и хранит. Изъятие для личных и семейных нужд здесь не помогает, оно закрывает обработку человеком своих собственных бытовых сведений, а не покупку выгрузок о постороннем.
5. Передача за границуЕсли данные ушли за пределы страны либо носитель с ними вывезен, включается часть 4 с лишением свободы до 8 лет. Примечание 2 к статье прямо определяет трансграничное перемещение как ввоз или вывоз машиночитаемого носителя с записанной информацией.

Практика по части 6 только формируется, и главный спор в таких делах идёт о заведомости назначения ресурса. Сама защита подсудимого строится обычно на том, что сервис создавался под законную задачу, например под проверку контрагентов по открытым источникам, а обвинение показывает содержание рекламы, прайс и характер запросов.

Что делать человеку, чьи персональные данные утекли

Как расследуют и рассматривают дела по статье 272.1 УК РФ

• Кто расследует Следователи органов внутренних дел. Пункт 3 части 2 статьи 151 УПК РФ относит к ним диапазон статей 272-274, в который входит и статья 272.1. Часть 5 той же статьи допускает следствие и силами органа, выявившего преступление.
• Нужно ли заявление потерпевшего Нет, преследование публичное: в перечне части 3 статьи 20 УПК РФ статьи 272.1 нет. Дело возбуждают по материалам проверки, по сообщению оператора или по результатам оперативной работы.
• Какой суд рассматривает Районный суд по всем частям. Изъятие в части 1 статьи 31 УПК РФ сделано для части 1 статьи 272, но не для статьи 272.1, а её самая мягкая часть уже превышает порог в 3 года лишения свободы.
• Кого признают потерпевшим Людей, чьи данные оказались в обороте, а при крупном ущербе также организацию. По массовым утечкам круг потерпевших определяют выборочно, и попасть в него человеку стоит через собственное ходатайство.
• С какого возраста отвечают С 16 лет по статье 20 УК РФ. Для этой статьи оговорка не формальная: значительная часть участников схем с ботами и выгрузками — это молодые люди.
• Что изымают в первую очередь Рабочие и личные компьютеры, телефоны, носители, а также выгрузки с серверов работодателя. Экспертиза восстанавливает удалённые файлы и историю подключений, поэтому расчёт на очистку устройства обычно не оправдывается.

Образцы документов при утечке персональных данных

Часто задаваемые вопросы

Опытный адвокат по уголовным делам

Проведёт консультацию и защитит ваши интересы.

Получить консультацию

Полина Недашковскаяюрист Амулекс