Трансграничная передача персональных данных по статье 272.1 УК РФ

Закон различает передачу информации и перемещение носителя

Часть 4 статьи 272.1 охватывает деяния, предусмотренные частями 1, 2 или 3, сопряжённые с трансграничной передачей компьютерной информации с персональными данными и (или) трансграничным перемещением носителей. Это два самостоятельных технических сценария.

Примечание 2 к статье 272.1 прямо определяет трансграничное перемещение носителей как ввоз на территорию России или вывоз с неё машиночитаемого, в том числе магнитного или электронного, носителя, на который записана и где хранится соответствующая информация.

Для сетевой передачи ориентир даёт Закон № 152-ФЗ: это передача персональных данных на территорию иностранного государства его органу власти, иностранному физическому или юридическому лицу. Необходимо установить не только сервер, но и получателя, назначение и фактическую доступность.

Как выглядит законная трансграничная передача по Закону № 152-ФЗ

Статья 12 Закона № 152-ФЗ регулирует деятельность операторов. До начала трансграничной передачи оператор направляет Роскомнадзору отдельное уведомление — не то же самое, что общее уведомление об обработке. В нём указывают цель, основание, категории данных и субъектов, государства, получателей и дату оценки условий защиты.

До подачи уведомления оператор должен получить от иностранного получателя сведения о мерах защиты и прекращении обработки, а для государств вне перечня адекватной защиты — информацию о местном правовом регулировании. По запросу Роскомнадзора эти данные предоставляются в течение десяти рабочих дней; срок может быть продлён не более чем на пять рабочих дней при мотивированном уведомлении.

После направления уведомления передача в государства из утверждённого перечня допустима до решения об ограничении или запрете. Для государств вне перечня оператор по общему правилу ждёт истечения срока рассмотрения — десяти рабочих дней, если не направлен запрос, — за исключением жизненно важных случаев, указанных законом.

Роскомнадзор может запретить или ограничить передачу, а в предусмотренных случаях оператор обязан обеспечить уничтожение ранее переданных данных иностранным получателем. Эти административные обязанности важны, но их нарушение не тождественно статье 272.1 УК РФ.

Когда возникает уголовный риск по части 4

Сначала следствие должно доказать предмет: компьютерную информацию с персональными данными. Далее — незаконное происхождение: неправомерный доступ, вмешательство в средства обработки или иной незаконный путь. Затем — использование, передачу, сбор или хранение. Только после этого оценивается трансграничность.

Например, сотрудник незаконно выгрузил медицинскую базу и предоставил доступ иностранному покупателю. В событии могут сочетаться специальные данные по части 2, корысть или служебное положение по части 3 и трансграничная передача по части 4. Закон строит более строгую часть на основании предыдущих деяний.

Иная ситуация: российская компания законно направляет подрядчику данные клиентов, но пропустила уведомление. Это может нарушать Закон № 152-ФЗ, однако без незаконного происхождения и действий в смысле статьи 272.1 уголовный состав не возникает автоматически.

Максимальное наказание по части 4 — до восьми лет лишения свободы со штрафом до двух миллионов рублей либо в размере дохода за период до трёх лет и возможным лишением права занимать должности или заниматься деятельностью до четырёх лет.

Полная структура нормы находится в статье «Статья 272.1 УК РФ: части и наказание», помощь по делам — на странице защиты по статье 272.1.

Иностранное облако, электронная почта и мессенджер

Зарубежное происхождение сервиса — сигнал для проверки, но не готовое доказательство. Крупный провайдер может хранить данные в российском центре обработки, распределять их между регионами или предоставлять услугу через российское лицо. Нужны договор, архитектура, журналы и сведения о получателях.

Отправка письма иностранному контрагенту с вложением обычно понятнее: известен адресат и файл. Но даже здесь устанавливают, находился ли получатель за рубежом, является ли иностранным лицом, доставлено ли письмо и какие данные содержало. Черновик или недоставленное сообщение отличается от завершённой передачи.

В мессенджере файл может загрузиться на инфраструктуру сервиса ещё до прочтения адресатом. Следствие должно описать, какой момент считает передачей, кому обеспечен доступ и где расположен получатель. Само установленное иностранное приложение не доказывает часть 4.

VPN меняет видимый сетевой маршрут и адрес выхода, но не обязательно получателя данных. Если российский пользователь через иностранный узел обращается к российской системе, прохождение трафика за рубежом требует технического анализа; механически называть это передачей иностранному лицу нельзя.

Публичная ссылка создаёт ещё одну сложность: данные могут стать доступны людям в разных странах. Необходимо установить фактическое распространение или обеспечение доступа, настройки ресурса, аудиторию и умысел пользователя.

Когда вывоз ноутбука или флешки подпадает под норму

Для трансграничного перемещения важны носитель, запись и пересечение государственной границы. Ноутбук, телефон, внешний диск, флешка и карта памяти могут быть машиночитаемыми носителями. Облачная ссылка без локальной записи относится к другой конструкции.

Следствию нужно доказать, что на момент вывоза или ввоза на носителе хранилась именно компьютерная информация с персональными данными незаконного происхождения и лицо совершало базовое деяние. Поздняя загрузка файла после пересечения границы не подтверждает его наличие в момент перемещения.

Автоматический кэш и резервная копия снова требуют оценки знания. Сотрудник может взять служебный ноутбук в командировку, не осознавая, что приложение сохранило локальную копию клиентского реестра. Уголовная ответственность строится на умысле, а не на одной технической возможности.

Пограничный штамп подтверждает маршрут человека, но не содержимое устройства. Содержимое устанавливают осмотром и экспертизой с соблюдением процессуального порядка. Важны образ, системное время, дата появления файла и следы его открытия.

Если носитель ввёз курьер, роли заказчика, отправителя и перевозчика различаются. Курьер должен осознавать предмет и участвовать в деянии; факт физического переноса закрытого пакета ещё не доказывает знание данных.

Локализация российских баз и трансграничная передача — не одно и то же

Часть 5 статьи 18 Закона № 152-ФЗ по общему правилу запрещает при сборе персональных данных граждан России использовать для записи, систематизации, накопления, хранения, уточнения и извлечения базы, находящиеся за пределами России, кроме прямо указанных исключений. Это требование часто называют локализацией.

Локализация касается первичного сбора и перечисленных операций. Трансграничная передача регулирует последующее направление данных иностранному получателю. Российская база не делает любую дальнейшую передачу законной, а нарушение локализации не всегда означает факт трансграничной передачи конкретному лицу.

Для уголовного дела разграничение принципиально. Если обвинение ссылается только на зарубежный сервер первичного хранения, нужно выяснить, какое именно действие части 4 вменяется, кто иностранный получатель и доказан ли базовый незаконный оборот. Регуляторное нарушение не подменяет эти элементы.

Версия закона тоже важна. Статья 12 изменена Федеральным законом от 26 июля 2026 года № 265-ФЗ, в том числе уточнён порядок, связанный с перечнем государств. Использовать старую памятку оператора для оценки события после поправок нельзя.

Что должно быть в доказательствах трансграничности

1. Конкретные данные. Состав файла, субъекты и специальные категории.
2. Незаконный источник. Первичный доступ, вмешательство или иной описанный путь.
3. Операция. Кто собирал, хранил, использовал или передавал.
4. Получатель. Иностранное физическое, юридическое лицо или орган власти.
5. Территория. Где находился получатель или куда перемещён носитель.
6. Технический маршрут. Серверы, аккаунты, журналы доставки и доступности.
7. Умысел. Что лицо знало о данных, их происхождении и зарубежном направлении.

IP-адрес иностранного диапазона может принадлежать VPN, облачному узлу или прокси. Геолокационная база ошибается. Нужны сведения провайдера, договоры, конфигурация и иные источники. Скриншот интерфейса с флагом страны не заменяет техническое исследование.

Для носителя важны протокол изъятия, идентификаторы, упаковка и время. Экспертиза должна показать наличие данных на момент, относящийся к пересечению, насколько это технически возможно. Подробнее о сохранности доказательств — в статье об изъятии компьютера.

Что делать организации до и после трансграничной передачи

До начала деятельности определите государства, получателей, цели, основания, категории данных и субъектов. Получите предусмотренные законом сведения об иностранном получателе и мерах защиты. Направьте отдельное уведомление Роскомнадзору и учитывайте режим государства из перечня.

Проверьте договоры с облачными сервисами и фактическую архитектуру, а не только юридический адрес бренда. Зафиксируйте центры обработки, субподрядчиков, резервные регионы и возможность удаления. Разведите локализацию первичного сбора и дальнейшие передачи.

При инциденте ограничьте доступ, сохраните журналы и уведомите Роскомнадзор в течение 24 часов, затем в течение 72 часов сообщите результаты внутреннего расследования. Если передача запрещена, выполните решение об уничтожении у иностранного получателя.

Не назначайте виновного сотрудника до анализа. Ошибка конфигурации, автоматическая репликация и действие подрядчика требуют разных мер. Документируйте каждое изменение, чтобы не потерять доказательства.

Что делать, если зарубежную передачу связывают с Вами

Не удаляйте иностранный аккаунт и не отзывайте сообщения до фиксации. Сохраните договоры, рабочие задания, данные о получателе, настройки облака и полную переписку. Они могут показать разрешённую цель или отсутствие фактической доставки.

Запишите хронологию: где находились Вы и получатель, когда создан файл, куда загружен, кто имел права, когда носитель пересёк границу. Отделите автоматическую синхронизацию от ручной операции и иностранный маршрут от иностранного адресата.

На допросе не подтверждайте юридический термин «трансграничная передача» вместо фактов. Вы можете знать, что нажали кнопку, но не знать архитектуру. Давайте технические объяснения после изучения материалов и консультации с защитником.

Если изымают устройство при возвращении или обыске, просите точное описание модели, номера, состояния и упаковки. Не сопротивляйтесь, но внесите замечания в протокол и получите копию.

Основные направления защиты по части 4

Защита последовательно проверяет базовый состав и зарубежный признак. Доказано ли незаконное происхождение? Какое действие совершил человек? Являются ли сведения персональными? Кто иностранный получатель? Где он находился? Когда данные стали доступны?

Для облака исследуют договор и логи размещения. Для письма — доставку и адресата. Для публичной ссылки — настройки и фактический доступ. Для носителя — содержимое на момент границы и осведомлённость перевозившего лица.

Нарушение уведомительного порядка может быть доказано, но не закрывает пробелы уголовного обвинения. Аналогично иностранный IP не устанавливает получателя. Каждый вывод должен опираться на допустимые данные и проверяемую методику.

Первичный разбор проводят юристы правового агентства. После оценки квалификации, международного элемента и цифровых доказательств подключается адвокат-партнёр с подходящей уголовной практикой.

Частые вопросы