Статья 272.1 УК РФ, появившаяся в кодексе в конце 2024 года, наказывает за незаконные использование, передачу, сбор и хранение компьютерной информации с персональными данными, если эти данные получены неправомерным доступом либо иным незаконным путём, а также за создание ресурса, заведомо предназначенного для их незаконных хранения и распространения. Простая утечка по вине оператора под статью не подпадает: для оператора есть ст. 13.11 КоАП РФ.
Текст нормы
Ст. 272.1 УК РФ (ред. от 20.02.2026) состоит из шести частей и двух примечаний.
Ч. 1: «Незаконные использование и (или) передача (распространение, предоставление, доступ), сбор и (или) хранение компьютерной информации, содержащей персональные данные, полученной путем неправомерного доступа к средствам ее обработки, хранения или иного вмешательства в их функционирование либо иным незаконным путем». Санкция: штраф до 300 тысяч рублей или в размере дохода за период до одного года, принудительные работы до четырёх лет либо лишение свободы на тот же срок. Максимум четыре года: средняя тяжесть (ч. 3 ст. 15 УК РФ).
Ч. 2 действует, если информация содержит персональные данные несовершеннолетних, специальные категории персональных данных или биометрические данные. Штраф до 700 тысяч рублей или дохода за период до двух лет, с лишением права занимать должности или заниматься деятельностью на срок до двух лет либо без него, принудительные работы до пяти лет либо лишение свободы на тот же срок.
Ч. 3, квалифицирующие признаки для ч. 1 и 2: корыстная заинтересованность, крупный ущерб, группа лиц по предварительному сговору, использование служебного положения. Лишение свободы до шести лет со штрафом до одного миллиона рублей (тяжкое преступление).
Ч. 4: деяния по ч. 1-3 с трансграничной передачей информации или перемещением носителей: до восьми лет лишения свободы со штрафом до двух миллионов рублей.
Ч. 5: деяния по ч. 1-4, повлёкшие тяжкие последствия или совершённые организованной группой: до десяти лет лишения свободы со штрафом до трёх миллионов рублей.
Ч. 6: создание и (или) обеспечение функционирования сайта, страницы сайта, информационной системы или программы, заведомо предназначенных для незаконных хранения и передачи информации с персональными данными, полученной незаконным путём. До пяти лет лишения свободы со штрафом до 700 тысяч рублей (средняя тяжесть).
Примечание 1: статья не применяется к обработке персональных данных физическими лицами исключительно для личных и семейных нужд. Примечание 2: трансграничное перемещение носителей это ввоз в Россию и (или) вывоз из России машиночитаемого носителя с такой информацией.
Что такое персональные данные и компьютерная информация
Персональные данные по п. 1 ст. 3 ФЗ от 27.07.2006 № 152-ФЗ (ред. от 24.06.2025) это «любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу». Телефон, адрес, место работы, данные об автомобиле в связке с фамилией подходят под определение. Компьютерная информация по примечанию 1 к ст. 272 УК РФ это «сведения (сообщения, данные), представленные в форме электрических сигналов, независимо от средств их хранения, обработки и передачи». Выгрузка из CRM или файл базы данных это она и есть.
Какие действия образуют состав
В тексте перечислены четыре действия: использование, передача, сбор, хранение. Слова в скобках после «передачи» («распространение, предоставление, доступ») раскрывает п. 3, 5 и 6 ст. 3 закона № 152-ФЗ. Распространение это действия, направленные на раскрытие данных неопределённому кругу лиц (база в открытом доступе, в паблике). Предоставление это раскрытие определённому лицу или кругу лиц (продажа выгрузки покупателю).
Для состава по ч. 1 достаточно любого из этих действий, если информация получена незаконно. Последствия вроде уничтожения или блокирования, обязательные для ст. 272 (п. 6 и 7 Пленума ВС от 15.12.2022 № 37), в ч. 1 ст. 272.1 в число признаков не входят. Крупный ущерб (свыше одного миллиона рублей по примечанию 2 к ст. 272, оно относится ко всем статьям главы 28) и тяжкие последствия появляются только как квалифицирующие признаки в ч. 3 и 5.
Как данные должны быть получены
Незаконность происхождения информации это обязательный признак.
Первый вариант: «путем неправомерного доступа к средствам ее обработки, хранения или иного вмешательства в их функционирование». Его содержание даёт Пленум № 37, п. 5: неправомерным доступом является получение или использование информации «без согласия обладателя информации лицом, не наделенным необходимыми для этого полномочиями, либо в нарушение установленного нормативными правовыми актами порядка независимо от формы такого доступа». Сюда попадают взлом, использование чужого пароля, выгрузка из базы сотрудником, у которого нет права на такую выгрузку.
Второй вариант: «иным незаконным путем». Это любое получение с нарушением закона без вторжения в систему. Например, сотрудник оператора, у которого есть доступ к базе по должности, копирует её для продажи: цели обработки нарушены. Нарушение условий обработки по ст. 6 закона № 152-ФЗ (обработка допускается при согласии субъекта либо в иных названных там случаях) и есть та самая незаконность.
Как отличить от смежных составов
Со ст. 272 УК РФ. Ч. 1 ст. 272 теперь содержит оговорку «за исключением случаев, предусмотренных статьей 272.1». Если незаконно получена или передана информация с персональными данными, применяется 272.1; ст. 272 остаётся для остальной охраняемой информации (коммерческая тайна, служебные данные без персональных).
Со ст. 137 УК РФ. Ч. 1 ст. 137 тоже исключает случаи, предусмотренные ст. 272.1. Ст. 137 охраняет сведения о частной жизни, составляющие личную или семейную тайну. Ст. 272.1 охраняет любую компьютерную информацию с персональными данными, в том числе фамилию с номером телефона, личной тайны не составляющие. Выложить в сети сведения об интимной жизни человека без его согласия квалифицируют по ст. 137; продать базу из сотен тысяч телефонов и адресов по ст. 272.1.
Со ст. 13.11 КоАП РФ (ред. от 23.03.2026). Административная ответственность адресована оператору, чьи действия или бездействие привели к неправомерной передаче данных, и оговорка «если эти действия не содержат признаков уголовно наказуемого деяния» стоит в ч. 12-14. Штрафы для граждан: ч. 12 (от 1 тысячи до 10 тысяч субъектов) 100-200 тысяч рублей; ч. 13 (от 10 до 100 тысяч субъектов) 200-300 тысяч; ч. 14 (свыше 100 тысяч субъектов) 300-400 тысяч. Юридическим лицам по ч. 12 грозит от трёх до пяти миллионов рублей, по ч. 14 от десяти до пятнадцати миллионов, а при повторном нарушении (ч. 15) от одного до трёх процентов годовой выручки, но не менее 20 миллионов рублей. Граница с УК проходит по умыслу и по способу: оператор, не уберёгший базу, отвечает по КоАП; тот, кто эту базу взял, перепродал или хранит для передачи, по ст. 272.1.
Вопросы, которые встанут при применении
- Кто субъект. Статья не ограничивает круг лиц: отвечает и работник оператора, и посторонний; служебное положение выделено в ч. 3, п. «г».
- Что доказывать по ч. 1. Следствию нужно показать, из какой системы и каким способом получены данные и что у лица не было права на такое получение. Данные, полученные законно, хранение под ч. 1 не подводит.
- Примечание 1. Записная книжка с контактами родственников из-под статьи выведена; чужая база, которую человек использует для заработка, под исключение не подходит: нужда не личная и не семейная.
- Переход к ч. 2. Принадлежность данных к специальным категориям (здоровье, убеждения, интимная жизнь по ст. 10 закона № 152-ФЗ) или к биометрии (ст. 11) должна быть подтверждена содержанием выгрузки.
Материал носит информационный характер. Оценка конкретной ситуации возможна только после изучения документов.
Шестаков Олег Игоревич, адвокат, рег. № 66/3115 в реестре адвокатов Свердловской области.
