Дисклеймер: Статья носит информационный характер и не является юридической консультацией. Актуальность: ноябрь 2026. Учтены изменения ФЗ № 420-ФЗ от 30.11.2024 (действуют с 30.05.2025).
Менеджер по продажам уходит к конкуренту и забирает с собой выгрузку клиентской базы: фамилии, телефоны, суммы сделок. Через месяц конкурент начинает обзванивать ваших клиентов по этому списку. Раньше такая история заканчивалась претензией по коммерческой тайне и, в лучшем случае, штрафом. Теперь у неё есть уголовная составляющая: ст. 272.1 УК РФ о персональных данных действует с декабря 2024 года, и под неё подпадает не только хакер с дампом на форуме.
Ниже разберём, что именно наказуемо, чем эта статья отличается от штрафов КоАП и в каких бытовых бизнес-ситуациях к ней подбираются ближе всего.
Откуда взялась статья 272.1 УК РФ
Статью добавил Федеральный закон от 30.11.2024 № 421-ФЗ. Он принят в одном пакете с ФЗ № 420-ФЗ, который ужесточил штрафы по ст. 13.11 КоАП. Логика пакета простая: административные меры против утечек не работали, базы продолжали гулять по чатам и маркетплейсам «пробива», и законодатель добавил уголовный рычаг.
Полное название статьи длинное, но суть читается из него: наказывается незаконное использование, передача (распространение, предоставление, доступ), сбор и хранение компьютерной информации с персональными данными, а также создание и обслуживание ресурсов, которые для этого предназначены. Ключевая оговорка: речь о данных, полученных через неправомерный доступ к системам либо иным незаконным путём. Законная обработка по 152-ФЗ под эту статью не подпадает.
Есть и прямое исключение в примечании к статье: она не применяется, когда физическое лицо обрабатывает данные исключительно для личных и семейных нужд. Записная книжка с телефонами друзей преступлением не станет.
Что наказывается и как
Статья устроена по нарастающей. Цифры ниже даны по тексту статьи и разъяснениям прокуратуры; это верхние пределы, а не типичный приговор.
Часть 1 — базовый состав: незаконные использование, передача, сбор или хранение компьютерной информации с ПДн. Наказание: штраф до 300 000 ₽ либо в размере дохода за период до одного года, либо принудительные работы до 4 лет, либо лишение свободы на тот же срок.
Часть 2 — те же действия, но с данными несовершеннолетних, специальных категорий (ст. 10 152-ФЗ: здоровье, убеждения и так далее) или биометрическими данными (ст. 11). Штраф до 700 000 ₽, принудительные работы до 5 лет или лишение свободы на тот же срок.
Часть 3 — деяния по частям 1 и 2 из корыстной заинтересованности, с крупным ущербом, группой лиц по предварительному сговору или с использованием служебного положения. Штраф до 1 млн ₽, лишение свободы до 6 лет.
Часть 4 — если всё это связано с трансграничной передачей данных или вывозом носителей. Лишение свободы до 8 лет со штрафом до 2 млн ₽.
Часть 5 — тяжкие последствия либо организованная группа. До 10 лет лишения свободы и штраф до 3 млн ₽.
Часть 6 — отдельный состав для тех, кто создаёт или обеспечивает работу сайта, программы или информационной системы, заведомо предназначенных для хранения и распространения незаконно полученных ПДн. Здесь до 5 лет лишения свободы.
Обратите внимание на часть 3 с «корыстной заинтересованностью». Продать выгрузку клиентов за деньги означает попасть сразу в тяжёлую часть, а не в базовую.
272.1 УК РФ и штраф по КоАП: в чём разница
Это два разных механизма, и они не отменяют друг друга.
Статья 13.11 КоАП наказывает оператора — организацию или ИП — за нарушение правил обработки. Штраф для юрлица, например за обработку без законного основания по ч. 1, составляет 150 000–300 000 ₽, а за утечку теперь можно получить до 20 млн ₽, при повторной — оборотный штраф от 1 до 3% выручки (не менее 20 млн и не более 500 млн ₽). Подробную таблицу мы разбирали в материале про штрафы по 152-ФЗ.
Статья 272.1 УК РФ наказывает конкретного человека. Уголовная ответственность в России персональная: организацию по УК не привлекают. Отвечает тот, кто копировал, передавал, продавал, хранил. Сотрудник, руководитель, подрядчик. Компания при этом может заплатить свой штраф по КоАП за то, что не обеспечила защиту, а сотрудник получить уголовное дело за то, что вынес базу.
Для владельца бизнеса отсюда два вывода. Первый: «мы же просто хранили, это не мы продавали» работает хуже, чем кажется, потому что хранение незаконно полученной информации — отдельный признак состава. Второй: ваш рядовой администратор или маркетолог может оказаться фигурантом дела из-за решения, которое он принял без вас.
Где бизнес реально рискует
Эта статья писалась в первую очередь против «пробива» и торговли утечками. Но несколько ситуаций малого и среднего бизнеса лежат рядом.
Покупка базы для обзвона или рассылки. Список «заинтересованных клиентов» за 15 000 ₽ от знакомого. Если база собрана из чужой утечки или слита из CRM другой компании, вы получаете информацию, добытую незаконным путём, и начинаете её использовать. Помимо уголовного риска вы нарушаете ещё и требования к email-маркетингу: без собственного основания и согласия писать по такой базе нельзя в любом случае.
Уход сотрудника с базой. Выгрузка из CRM на личную флешку или в личную почту. Для компании это инцидент и повод для отдельного расследования, для сотрудника и нового работодателя, который базой пользуется, — возможная часть 3 (корысть, служебное положение).
Служебные доступы. Сотрудник колл-центра, банка, клиники, автосервиса по просьбе знакомого смотрит данные «про одного человека». Просмотр без служебной необходимости и передача сведений вовне — классический «пробив». Чем чувствительнее данные (здоровье, биометрия, дети), тем тяжелее часть статьи; про особые категории подробнее в материале о медицинских данных.
Утечка, о которой вы промолчали. Сама по себе утечка из вашей системы не делает вас преступником. Но если после неё вы обнаружили, что база выложена, и ничего не предприняли — не уведомили РКН в течение 24 часов и не провели расследование в течение 72 часов, — вы остаётесь в зоне административной ответственности по ст. 13.11 КоАП и привлекаете к себе внимание правоохранителей. Порядок действий описан в регламенте реагирования на утечку.
Как защитить себя и сотрудников
Уголовный риск снижается теми же мерами, которые 152-ФЗ и так требует от оператора по ст. 18.1. Просто теперь у них есть дополнительная ценность.
Разграничьте доступ. Продавцу не нужна вся база, ему нужны его клиенты. Бухгалтеру не нужны медицинские карты. Чем уже права, тем меньше людей, которые физически способны вынести массив.
Включите журналирование выгрузок. Если в CRM можно экспортировать список в Excel без следа в логах, вы не узнаете о случившемся ни через день, ни через месяц. Хотя бы факт экспорта и пользователь должны фиксироваться.
Закрепите запрет в документах. В положении об обработке ПДн и в обязательстве о неразглашении, которое подписывает сотрудник при допуске, должно прямо стоять: копирование и передача данных за пределы информационной системы запрещены. Состав обязательных документов смотрите в перечне внутренних документов по 152-ФЗ.
Проверяйте происхождение любой базы. Если подрядчик предлагает «горячие контакты», спросите, на каком основании они собраны и есть ли договор. Если ответа нет, откажитесь. Письменная фиксация отказа тоже полезна.
Подготовьте процедуру ухода сотрудника. Отзыв доступов в день увольнения, возврат устройств, подписанное подтверждение, что копий данных нет. На это уходит полчаса, а экономит иногда месяцы разбирательств.
Один нюанс по юридической части. Квалификация конкретных ситуаций по ст. 272.1 остаётся вопросом следствия и суда, а практика по этой статье только формируется. Поэтому описанные выше сценарии показывают зону риска, а не гарантированный исход дела. Если ситуация уже случилась, нужен профильный юрист по уголовным делам, а не шаблон.
Что делать прямо сейчас
Откройте CRM и список пользователей с доступом к клиентской базе. Для каждого ответьте на вопрос: нужна ли этому человеку вся база, и можно ли выгрузить её без следа в журнале? Если ответ на второй вопрос «да», уже на этой неделе ограничьте экспорт и добавьте в приказ о допуске запрет копирования данных.
Знаете ли вы, кто и когда в последний раз выгружал клиентскую базу вашей компании? Запустите бесплатный аудит на соответствие 152-ФЗ → Аудит покажет, каких документов и мер защиты не хватает вашему сайту и процессам обработки данных, и подскажет, с чего начать.
Нормативные акты: ст. 272.1 Уголовного кодекса РФ; Федеральный закон от 30.11.2024 № 421-ФЗ; Федеральный закон от 30.11.2024 № 420-ФЗ; Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» (ст. 3, 10, 11, 18, 18.1, 21); ст. 13.11 КоАП РФ.