Киберпреступления и персональные данные: ст. 137, 272, 273, 274 УК РФ

Какие составы чаще всего вменяют на практике

В этой категории дел обвинение почти всегда строится вокруг нескольких статей главы 28 УК РФ и одной статьи о частной жизни. Перечень на практике невелик.

Обычно вменяют следующее:

• неправомерный доступ к компьютерной информации — ст. 272 УК РФ
• незаконный оборот персональных данных — ст. 272.1 УК РФ
• создание и использование вредоносных программ — ст. 273 УК РФ
• нарушение правил эксплуатации информационных систем — ст. 274 УК РФ
• нарушение неприкосновенности частной жизни — ст. 137 УК РФ

Составы идут в связке. Один эпизод могут описать сразу и как доступ к данным, и как незаконный оборот персональных данных, и как хищение денег со счёта.

Неправомерный доступ: ст. 272 УК РФ

Статья наказывает неправомерный доступ к охраняемой законом компьютерной информации, если он повлёк уничтожение, блокирование, модификацию либо копирование данных.

Состав материальный: просмотр чужих файлов сам по себе его не образует. Нужно доказать, что данные скопировали, изменили, заблокировали или уничтожили.

Квалифицированные части — крупный ущерб свыше миллиона рублей или корыстная заинтересованность, группа лиц, служебное положение, тяжкие последствия. Максимальная санкция — до семи лет лишения свободы.

Главный спор — был ли доступ неправомерным. Если сотрудник работал в системе в пределах своих полномочий, пусть и в личных целях, состав неочевиден. Защита строится именно на этом.

Программы и код: ст. 273 УК РФ

Статья запрещает создание, распространение и использование вредоносных компьютерных программ, заведомо предназначенных для несанкционированного уничтожения, блокирования, модификации или копирования информации, а также для нейтрализации средств защиты.

Состав формальный: достаточно установить создание фрагмента кода, позволяющего получить неправомерный доступ. Наступление последствий доказывать не требуется.

Сюда попадают не только вирусы, но и скрипты для выгрузки закрытых баз и программы подбора паролей. Отдельно наказывается использование такой программы по неосторожности.

Нарушение правил эксплуатации: ст. 274 УК РФ

Эта норма касается не взлома, а нарушения правил эксплуатации средств хранения, обработки и передачи охраняемой информации. Субъект — лицо, имеющее доступ к такой системе.

Ответственность наступает, если нарушение повлекло крупный ущерб (свыше миллиона рублей) или тяжкие последствия. Одного факта отключённого сервера недостаточно: нужны последствия и причинная связь.

Чаще всего статью вменяют администраторам, инженерам и руководителям ИТ-подразделений. Спор идёт о том, какие правила действовали в организации.

Частная жизнь: ст. 137 УК РФ

Статья наказывает незаконное собирание или распространение сведений о частной жизни, составляющих личную или семейную тайну, без согласия человека. Отдельно наказывается распространение таких сведений в СМИ или в публичном выступлении.

По первой части максимальное наказание — лишение свободы до двух лет. Если деяние совершено с использованием служебного положения, срок доходит до четырёх лет, и санкция почти всегда включает запрет занимать определённые должности.

Процессуальная особенность: дела по ч. 1 ст. 137 УК РФ относятся к частно-публичному обвинению и возбуждаются по заявлению потерпевшего. Спор обычно идёт не о факте публикации, а о том, составляли ли сведения семейную тайну и было ли согласие.

Оборот персональных данных: ст. 272.1 УК РФ

С 11 декабря 2024 года действует отдельная уголовная ответственность за незаконные использование, передачу, сбор и хранение компьютерной информации, содержащей персональные данные.

Обязательное условие — данные получены незаконным путём: через неправомерный доступ к средствам их обработки, вмешательство в работу системы либо иным незаконным способом. Если оператор получил данные законно, а потом нарушил порядок обработки, состава нет.

Санкции зависят от категории данных: отдельно выделены персональные данные несовершеннолетних, специальные категории, биометрия и трансграничная передача. Наказывается и создание ресурса для незаконного оборота таких данных.

Административная ответственность или уголовная

За нарушения при обработке персональных данных отвечают по ст. 13.11 КоАП РФ. С 30 мая 2025 года штрафы по ней выросли кратно, включая оборотные штрафы за повторную утечку.

Отличие простое. Компания отвечает административно за то, как организована обработка: согласия, политика, уведомление Роскомнадзора, локализация баз. Это нарушение порядка, а не преступление.

Уголовная ответственность по ст. 272.1 УК РФ персональна и наступает тогда, когда данные получены преступным путём. При утечке вследствие неправомерного доступа виновным становится конкретный человек, а не только организация. Один инцидент может идти по двум линиям одновременно.

Как возбуждается такое уголовное дело

Дело начинается с заявления потерпевшего либо с рапорта сотрудника, обнаружившего признаки преступления. Часто поводом становится обращение службы безопасности банка или компании.

До возбуждения проводится проверка: опрашивают заявителя, истребуют логи серверов, выписки и договоры, изымают технику. Именно на этой стадии формируется то, с чем потом работает следствие.

Далее следуют обыск, выемка, осмотр предметов, экспертизы и допросы. В Санкт-Петербурге и Ленинградской области это обычно следственные подразделения районных управлений МВД, реже — Следственный комитет.

Постановление о возбуждении должно опираться на повод и достаточные данные. Если этого нет, оно отменяется, и это первое, что я проверяю.

Проверка по сообщению о преступлении проводится в срок до трёх, десяти или тридцати суток — в зависимости от состава и необходимости экспертизы. Срок следствия зависит от тяжести обвинения и продлевается по решению руководителя следственного органа.

Обыск: судьба техники и носителей

Обыск по таким делам — это всегда техника. Изымают серверы, рабочие станции, ноутбуки, телефоны, внешние диски и флеш-накопители.

Изъятое должно быть упаковано и опечатано, а в протоколе — указано, что именно и с какими индивидуальными признаками изъято. Копия протокола вручается присутствующим.

На практике в протокол попадают формулировки вида «системный блок в корпусе чёрного цвета», без серийного номера. Это затрудняет идентификацию, и на таком основании защита заявляет о недопустимости.

Специалист и компьютерная экспертиза

Исход таких дел во многом решает экспертиза. Компьютерно-техническое исследование отвечает на вопросы о наличии программ, времени доступа и о том, копировались ли данные.

Задача специалиста со стороны защиты — не заменить эксперта, а поставить правильные вопросы и проверить уже проведённое исследование. Часто важнее не «что было», а «что доказуемо».

На практике я привлекаю специалиста уже на стадии проверки: это позволяет зафиксировать состояние системы до её изменения. Отдельно проверяется законность получения исходных данных для экспертизы.

Что делает адвокат на каждой стадии

До возбуждения дела работы не меньше, чем после. Я участвую в опросах, помогаю подготовить объяснения, проверяю законность проверки и заявляю о нарушениях.

После возбуждения — участие в следственных действиях, ходатайства, обжалование постановлений, работа с мерой пресечения и построение позиции по существу обвинения.

Отдельное направление — разделение ролей. В таких делах рядом сидят руководитель, администратор и рядовой сотрудник, и их интересы не совпадают. Я не допускаю, чтобы клиента использовали как удобного виновного, и проверяю, нет ли в деле лишней квалификации.

Допрос сотрудника: свидетель или подозреваемый

Допрос начинается со статуса. Формально Вас вызывают как свидетеля, но это ни о чём не говорит: по итогам беседы статус может измениться, и объяснения свидетеля окажутся показаниями подозреваемого.

Свидетеля предупреждают об ответственности за отказ от дачи показаний и за заведомо ложные показания. Это обстановка давления, а не обязанность рассказывать свою версию событий в деталях.

Если вопрос касается Вас лично, Вы вправе не свидетельствовать против себя — это ст. 51 Конституции РФ. Право действует независимо от того, в каком качестве подписан протокол.

Поэтому до допроса я советую проговорить позицию с адвокатом и заранее решить, что Вы говорите, а где ссылаетесь на право не свидетельствовать.

Ошибки, которые повторяются из раза в раз

Самые дорогие ошибки в таких делах однотипны.

• объяснения без адвоката по логике «нам ничего не грозит»
• устные договорённости вместо письменных, которые потом не подтвердить
• самостоятельная чистка рабочих файлов и переписки
• разговоры с коллегами о деталях до и после опроса
• подпись под протоколом не читая и без замечаний

Чаще всего встречается другая ошибка: сотрудник уверен, что отвечает за технику, а обвинение предъявляют лично ему. Статус определяется не должностью, а тем, какие действия вменяют.

Что делать прямо сейчас

Если обыск уже провели или Вас вызывают на опрос, порядок действий такой.

• уточнить, в каком качестве Вас вызывают и какой у Вас статус
• не давать объяснений и показаний до консультации с адвокатом
• сохранить копии протоколов, описей и постановлений
• не удалять файлы, переписку и историю доступа
• зафиксировать, кто имел доступ к спорным данным
• собрать документы о своих полномочиях: инструкции, приказы, договоры

Стоимость работы по такому делу определяется после консультации: она зависит от стадии, объёма материалов и числа эпизодов.

Частые вопросы

Что считается неправомерным доступом к компьютерной информации?

Доступ, полученный без согласия обладателя информации лицом, не наделённым нужными полномочиями, либо в нарушение установленного порядка. Форма доступа значения не имеет. Но одного доступа мало: нужен результат — копирование, изменение, блокирование или уничтожение данных.

Чем ст. 272 УК РФ отличается от ст. 272.1 УК РФ?

Первая наказывает сам доступ к охраняемой информации, вторая — незаконные сбор, хранение, использование и передачу компьютерной информации, содержащей персональные данные, полученной незаконным путём. Если доступ был правомерным, состава по ст. 272.1 УК РФ нет.

Могут ли привлечь сотрудника, если он выгрузил базу в личных целях?

Такая ситуация оценивается по совокупности: имел ли он право доступа к этим данным, что именно сделал с выгрузкой и наступили ли последствия. Решает не должность, а объём полномочий и конкретные действия. Поэтому позицию нужно готовить до первого опроса.

Обязан ли я давать объяснения, если в офисе проводят обыск?

Право не свидетельствовать против себя действует и на стадии проверки. Давать объяснения до консультации с адвокатом не стоит: они попадают в материалы и в дальнейшем используются. Присутствие защитника при следственном действии лучше обеспечить заранее.