Статья 272.1 УК РФ: незаконный оборот персональных данных

Почему в УК РФ появилась отдельная статья 272.1

Статью 272.1 ввёл Федеральный закон от 30 ноября 2024 года № 421-ФЗ. Одновременно законодатель изменил часть 1 статьи 272, добавив исключение для случаев, предусмотренных новой нормой. Тем самым незаконный оборот компьютерной информации с персональными данными выделен из общего состава неправомерного доступа.

До поправок копирование клиентской или кадровой базы часто квалифицировали по статье 272, если следствие доказывало неправомерный доступ и копирование охраняемой компьютерной информации. Теперь наличие персональных данных требует проверить специальную норму, её действия и квалифицирующие признаки.

Это не означает, что каждый оператор, допустивший ошибку, становится обвиняемым. Закон № 152-ФЗ регулирует широкий круг нарушений: отсутствие согласия, лишние сведения в анкете, неправильную политику, несвоевременное уведомление. Уголовная статья требует незаконного происхождения компьютерной информации и умышленных действий, прямо названных в диспозиции.

Если Вы хотите увидеть различия общей и специальной норм, используйте сравнительный материал «Статьи 272 и 272.1 УК РФ: как разграничить». Для первичной оценки документов доступна защита по статье 272.1 УК РФ.

Какие сведения считаются персональными данными

Статья 3 Закона № 152-ФЗ определяет персональные данные широко: это любая информация, относящаяся к прямо или косвенно определённому либо определяемому физическому лицу. ФИО, телефон и адрес — очевидные примеры. Но персональными могут быть идентификатор клиента, история заказов, сведения о доходе, геолокация, голосовая запись и комбинация технических параметров, если они позволяют связать информацию с человеком.

Одна фамилия без контекста иногда не позволяет определить лицо, а набор косвенных сведений — должность, город, дата операции и номер договора — способен его выделить. Поэтому экспертиза базы должна анализировать структуру и связи полей, а не искать только столбец «ФИО».

Часть 2 статьи 272.1 предусматривает более строгую ответственность для данных несовершеннолетних, специальных категорий и биометрии. Однако название файла «биометрия» не решает вопрос. Например, обычная фотография для сайта и шаблон лица для идентификации имеют разный режим. Подробный разбор — в статье «Биометрические данные и статья 272.1».

Что означает незаконное происхождение информации

Закон перечисляет три варианта: неправомерный доступ к средствам обработки или хранения, иное вмешательство в их функционирование и иной незаконный путь. Первый вариант включает вход без согласия или полномочий, а также выход за пределы разрешённой роли. Второй может быть связан с воздействием на систему, программу или инфраструктуру.

Формулировка «иной незаконный путь» шире компьютерного взлома. Данные могли получить через злоупотребление служебным доступом, обман, покупку заведомо незаконной базы или нарушение специального запрета. Но обвинение обязано описать путь конкретно и назвать, в чём состоит его незаконность. Слова «без согласия субъектов» сами по себе не объясняют происхождение всей базы.

Представьте, что менеджер законно сформировал отчёт из разрешённых ему карточек, а затем отправил его конкуренту. Происхождение файла, момент выхода за полномочия и последующая передача требуют отдельного анализа. Иная ситуация — человек купил архив на форуме и хранит его для обзвона. Он не участвовал во взломе, но собственные приобретение, хранение и использование могут стать предметом проверки.

Следствие устанавливает цепочку владения: первичный источник, выгрузку, промежуточные копии, передачу, оплату и конечное применение. Разрыв цепочки нельзя закрывать предположением. Совпадение структуры двух таблиц подтверждает связь массивов, но не обязательно показывает, кто первым получил данные незаконно.

Какие действия прямо названы в статье

Передача в самой статье раскрыта через распространение, предоставление и доступ. Поэтому отправка архива — только один вариант. Общая ссылка, пароль к облаку или права участника в закрытом канале тоже способны обеспечить доступ к данным.

Наличие файла на диске ещё не доказывает осознанное хранение. Он мог появиться в автоматической резервной копии, кэше мессенджера, общей папке или при синхронизации. Важно, открывал ли человек архив, как называл, перемещал, искал по содержимому и использовал дальше.

Продажа обычно включает передачу и корыстную заинтересованность, но необходимо доказать предмет сделки и оплату. Разбор таких эпизодов находится здесь: «Продажа базы клиентов по статье 272.1 УК РФ».

Части статьи 272.1 и максимальные наказания

Часть 3 не образуется автоматически из-за зарплаты сотрудника или стоимости базы. Корыстная заинтересованность требует цели получить имущественную выгоду либо избавиться от затрат. Крупный ущерб нужно рассчитать и связать с действиями обвиняемого. Служебное положение предполагает использование реальных полномочий или возможностей должности.

Для группы по предварительному сговору необходима договорённость до выполнения совместных действий. Покупатель файла не становится соисполнителем первоначального доступа только по факту покупки. Организованная группа требует устойчивости и иных установленных уголовным законом признаков.

Часть 6 адресована ресурсам, заведомо предназначенным для незаконного оборота баз: сайту, странице, информационной системе или программе. Обычный облачный диск либо чат не превращается в такой ресурс без доказательства специального назначения и заведомости создателя или администратора.

Исключение для личных и семейных нужд

Примечание 1 исключает случаи обработки физическим лицом персональных данных исключительно для личных и семейных нужд. Слово «исключительно» ограничивает применение: домашняя адресная книга, семейный фотоархив или переписка родственников отличаются от продажи, массовой публикации и использования базы для бизнеса.

Нельзя считать личной нуждой любое действие, совершённое частным лицом. Если человек публикует сведения в открытом канале, продаёт их, использует для обзвона или требует деньги за удаление, фактическая цель выходит за семейный круг. С другой стороны, само хранение контакта бывшего коллеги в телефоне не должно превращаться в уголовный эпизод без установления происхождения и умысла.

Мотив бытового конфликта тоже не равен семейной обработке. Распространение медицинских сведений бывшего супруга среди посторонних может затрагивать специальные данные и иные составы, даже если исходно информация стала известна в семье.

Статья 272.1 или 272: где проходит граница

Статья 272 охраняет компьютерную информацию от неправомерного доступа, повлёкшего уничтожение, блокирование, модификацию или копирование. Статья 272.1 специально описывает незаконные действия с компьютерной информацией, содержащей персональные данные. Оговорка в части 1 статьи 272 запрещает игнорировать специальную норму.

Однако один технический эпизод способен затронуть разные сведения. Например, лицо изменило конфигурацию сервера и одновременно передало персональную базу. Изменение системных файлов может оцениваться по статье 272, а оборот данных — по статье 272.1, если установлены самостоятельные действия и объекты. Двойной учёт одного факта недопустим.

Если использовалась вредоносная программа, дополнительно проверяют статью 273. При чтении переписки — тайну сообщений и частную жизнь. При коммерческой тайне — статью 183. Совокупность возможна не из-за количества упомянутых законов, а при наличии всех признаков самостоятельных составов.

Какие доказательства собирает следствие

Обычно исследуют журналы выгрузки, рабочие роли, почту и мессенджеры, файлы на устройствах, облачные хранилища, платежи, объявления, историю поиска и показания участников. Сравнение структуры таблиц помогает установить источник, но не заменяет доказательство автора копирования и последующей операции.

Для хранения проверяют контроль над устройством и знание содержания. Для передачи — адресата, канал, момент доступности и объём. Для использования — конкретные звонки, запросы, рекламные кампании или другие действия. Корысть подтверждают не только переводом денег, но она не должна выводиться из предположения, что «такие базы всегда продают».

Цифровая экспертиза должна работать с корректно изъятым и идентифицированным носителем. Важны серийный номер, упаковка, форензический образ, контрольные хэши, версия программы и системное время. Подробности — в статье об изъятии компьютера по уголовному делу.

Эксперт устанавливает технические факты, а не виновность. Он может ответить, когда создан архив и пересылался ли он, но не должен решать, был ли путь «незаконным», имел ли сотрудник полномочия и какую часть УК применять.

Как строится защита по статье 272.1

1. Уточнить предмет. Какие записи относятся к физическим лицам и какие категории содержат.
2. Восстановить происхождение. Кто создал массив, где он появился впервые и каким путём попал к обвиняемому.
3. Разделить действия. Копирование, сбор, хранение, использование и передача не должны смешиваться.
4. Проверить полномочия. Договоры, должностные инструкции, задания, роли и фактическую практику.
5. Проверить умысел. Знал ли человек содержание, источник и незаконный характер операции.
6. Оспорить квалифицирующие признаки. Корысть, ущерб, группа, служебная роль, граница и последствия требуют отдельных доказательств.

Не удаляйте файл, не очищайте переписку и не сбрасывайте устройство. Такие действия меняют картину и могут уничтожить оправдывающие следы: дату получения, автоматическую синхронизацию или рабочее задание. Сначала сделайте юридическую и техническую карту.

Перед подробным допросом узнайте статус и содержание подозрения. Вы вправе пользоваться помощью защитника и не свидетельствовать против себя. Первичный разбор проводят юристы агентства, после чего подключается адвокат-партнёр с релевантной уголовной практикой.

Что делать компании или человеку после утечки

Сохраните журналы, уведомления и исходные файлы до перенастройки системы. Ограничьте скомпрометированные доступы, но документируйте изменения. Определите категории субъектов и данных, объём, предполагаемый вред и круг получателей.

Оператор обязан уведомлять Роскомнадзор об инциденте, повлёкшем неправомерную или случайную передачу данных: в течение 24 часов направляется первичное сообщение, а в течение 72 часов — результаты внутреннего расследования и сведения о виновных лицах при наличии. Это регуляторная обязанность; она не устанавливает уголовную вину конкретного сотрудника.

Не публикуйте фамилию предполагаемого виновного до проверки и не редактируйте журналы «для удобства». В заявлении разделяйте установленное и версии. Для бизнеса важны одновременно защита субъектов, восстановление безопасности и сохранение допустимых доказательств.

Частые вопросы