За утечку персональных данных сотрудник отвечает по Уголовному кодексу

С 11 декабря 2024 года в Уголовном кодексе действует статья 272.1. За незаконную передачу и продажу баз персональных данных теперь отвечает конкретный сотрудник, а не только компания-оператор. Разбираем, что считается нарушением, какие сроки и штрафы предусмотрены и что сделать руководителю, чтобы снизить риск.

11 декабря 2024 года вступил в силу федеральный закон от 30.11.2024 № 421-ФЗ. Он добавил в Уголовный кодекс статью 272.1. По ней теперь отвечает не компания, а конкретный человек. Тот, кто без разрешения передал, продал, скопировал или хранил чужие персональные данные.

До этого закона утечку персональных данных чаще наказывали через компанию. Штрафы по КоАП РФ, предписания Роскомнадзора. Действия самого сотрудника, который вынес базу или продал доступ к ней, было сложно подвести под уголовную статью. Теперь для него появился реальный риск лишиться свободы.

Что статья 272.1 УК РФ считает незаконным оборотом персональных данных

У статьи длинное официальное название. Вот оно полностью. «Незаконные использование и (или) передача, сбор и (или) хранение компьютерной информации, содержащей персональные данные, а равно создание и (или) обеспечение функционирования информационных ресурсов, предназначенных для ее незаконных хранения и (или) распространения».

Под статью попадает человек, который использовал, передал, собрал или хранил персональные данные, полученные с неправомерным доступом к системе их обработки или хранения либо иным незаконным путём. На практике это конкретные ситуации. Сотрудник скопировал базу клиентов из CRM для личной подработки. Продал контакты конкурентам. Вынес выгрузку с зарплатной ведомостью после увольнения. Передал доступ к системе постороннему человеку.

Ответственность личная. Уголовный кодекс не наказывает организации. Он касается конкретного человека, у которого был доступ и который вышел за рамки своих обязанностей.

Сколько грозит по пяти частям статьи

Наказание зависит от того, что именно передали, кому и с какой целью.

• Часть 1. Базовый состав. Незаконное использование, передача, сбор или хранение персональных данных без отягчающих признаков. За это наказывают штрафом до 300 000 рублей или в размере дохода осуждённого за период до одного года. Либо принудительными работами на срок до четырёх лет. Либо лишением свободы на тот же срок.
• Часть 2. Данные несовершеннолетних, специальных категорий и биометрия. Речь о медицинских, религиозных данных, судимостях, отпечатках пальцев и похожих сведениях. За это грозит лишение свободы на срок до восьми лет со штрафом до двух миллионов рублей или в размере дохода за период до трёх лет, с лишением права занимать определённые должности на срок до четырёх лет или без такового.
• Часть 3. Корыстный интерес, сговор группы лиц или служебное положение. Например, сотрудник продал базу за деньги или несколько человек договорились между собой. За это грозит штраф до одного миллиона рублей, либо принудительные работы на срок до пяти лет со штрафом до одного миллиона, либо лишение свободы на срок до шести лет со штрафом до одного миллиона и лишением права занимать должности на срок до трёх лет.
• Часть 4. Передача данных за границу. Трансграничная передача информации или вывоз носителей с персональными данными. За это грозит лишение свободы на срок до восьми лет со штрафом до двух миллионов рублей.
• Часть 5. Тяжкие последствия или организованная группа. Самая суровая санкция статьи. Лишение свободы на срок до десяти лет со штрафом до трёх миллионов рублей и лишением права занимать должности на срок до пяти лет.

Чек-лист готовности к проверке Роскомнадзора

Чем это отличается от штрафов для компании

Оборотные штрафы по статье 13.11 КоАП РФ и уголовная статья 272.1 УК РФ действуют независимо друг от друга. Компанию как оператора персональных данных могут оштрафовать за утечку вне зависимости от того, накажут ли конкретного сотрудника. Уголовное дело против сотрудника не освобождает компанию от административной ответственности, если она нарушила требования 152-ФЗ по защите данных.

Что сделать руководителю сейчас

Пять шагов снижают риск для компании и для самих сотрудников.

1. Ограничьте доступ к базам по принципу необходимого минимума. Менеджер по продажам не должен видеть всю клиентскую базу, если работает с частью региона.
2. Включите журналирование выгрузок из CRM, 1С и HR-систем. Фиксируйте, кто и когда скачал файл с персональными данными.
3. Закрывайте доступ ровно в день увольнения, не позже.
4. Пропишите в трудовом договоре и соглашении о неразглашении прямой запрет на копирование и передачу баз третьим лицам со ссылкой на статью 272.1 УК РФ.
5. Проведите инструктаж под подпись. Сотрудники должны знать, что рискуют не выговором, а уголовным делом.

Авто-аудит сайта — проверка на нарушения 152-ФЗ

Проверить, что политика доступа к персональным данным в компании соответствует требованиям 152-ФЗ, проще с готового чек-листа.

Пошаговый гайд «Как подать уведомление в Роскомнадзор» — что вписать в каждое поле формы, с примерами под вашу сферу, 990 ₽. Открыть гайд

Частые вопросы

Кого может коснуться статья 272.1 УК РФ?

Любого человека с доступом к персональным данным, который использовал, передал, собрал или хранил их незаконно. Сотрудника, подрядчика, бывшего работника, администратора системы.

Если накажут сотрудника, компанию уже не оштрафуют?

Оштрафуют, если компания нарушила требования 152-ФЗ по защите данных. Уголовная ответственность сотрудника и административная ответственность оператора применяются независимо друг от друга.

Что грозит сотруднику, который продал базу клиентов за деньги?

Это подпадает под часть 3 статьи 272.1 УК РФ. Она охватывает корыстную заинтересованность. По ней грозит лишение свободы на срок до шести лет со штрафом до одного миллиона рублей и лишением права занимать определённые должности на срок до трёх лет.

С какого числа действует статья 272.1 УК РФ?

С 11 декабря 2024 года. Её ввёл федеральный закон от 30.11.2024 № 421-ФЗ.