Ст. 137 УК РФ: нарушение персональных данных в компании (7-й выпуск)
Статья 137 УК РФ устанавливает уголовную ответственность за незаконный сбор или распространение сведений о частной жизни, составляющих личную или семейную тайну, без согласия лица. По состоянию на май 2026 года количество возбуждённых дел по этому составу в корпоративной среде ежегодно растёт на фоне масштабных утечек баз данных — только в 2024 году Роскомнадзор зафиксировал свыше 300 крупных инцидентов с персональными данными. Для бизнеса критично понять: где заканчивается административный штраф и начинается уголовное преследование конкретного сотрудника или директора.
Получите разбор вашей ситуации с персональными данными — конфиденциально, без обязательств.
Почему статья 137 УК РФ угрожает не только хакерам, но и обычным сотрудникам компании?
Статья 137 УК РФ охватывает не только внешние кибератаки, но и действия штатных сотрудников — HR-менеджеров, менеджеров по продажам, системных администраторов — когда они незаконно собирают или передают персональные данные клиентов или коллег третьим лицам. По части первой санкция предусматривает лишение свободы на срок до двух лет; по части второй (совершение с использованием служебного положения) — до четырёх лет с лишением права занимать определённые должности. Часть третья регулирует специальный состав: распространение сведений о несовершеннолетних через СМИ.
На практике дела по этой статье в корпоративной среде возникают в нескольких типичных сценариях. Сотрудник увольняется и уносит базу данных клиентов конкуренту. HR-директор передаёт сведения о болезнях или личных обстоятельствах работника без его согласия — при корпоративном конфликте или споре об увольнении. Служба безопасности организует слежку за топ-менеджером: записи переговоров, сбор информации о личных связях. Во всех трёх случаях состав статьи 137 УК РФ формально может быть вменён.
Ключевая черта, отличающая статью 137 УК РФ от смежных составов: потерпевшим является физическое лицо, чьи сведения о частной жизни раскрыты или собраны незаконно. Это означает, что утечка базы данных клиентов интернет-магазина с адресами и телефонами формально охватывается статьёй 13.11 КоАП РФ; но если утечка включала сведения о медицинских диагнозах, сексуальной ориентации или иных элементах частной жизни — уголовный состав становится применимым.
Что обязано доказать следствие, чтобы квалифицировать действия по статье 137 УК РФ?
Для привлечения к ответственности по статье 137 УК РФ следователь должен доказать четыре элемента состава: объект — неприкосновенность частной жизни конкретного лица; объективная сторона — незаконный сбор или распространение сведений; субъект — физическое лицо, достигшее 16 лет; субъективная сторона — прямой умысел, то есть осознание незаконности действий и желание их совершить. Отсутствие хотя бы одного элемента означает отсутствие состава преступления.
Доказательственная база по таким делам формируется из нескольких источников. Следствие запрашивает журналы доступа к корпоративным базам данных, историю выгрузок и передачи файлов, переписку в корпоративных мессенджерах и электронной почте. При наличии оснований проводится выемка серверного оборудования и рабочих компьютеров по статье 183 УПК РФ. Технические эксперты устанавливают: кто именно инициировал запрос к базе, когда, с какого устройства и куда была направлена выгрузка.
Особое значение имеет доказывание умысла. Следствие ищет переписку, где виновный обсуждает передачу данных с осознанием их конфиденциальности. Часто достаточно одного сообщения вида «смотри, нашёл личные данные директора» или «отправь эту базу — там всё по клиентам, включая паспорта». Защита, напротив, работает с опровержением умысла: сотрудник действовал по должностной инструкции, не осознавал незаконности, полагал, что имеет санкцию руководства.
Отдельный вопрос — распространение как форма объективной стороны. Передача данных одному лицу в частной переписке формально является распространением. Но суды по-разному оценивают степень публичности: передача единственному получателю и публикация в открытом доступе — принципиально разные ситуации для целей назначения наказания, хотя состав формально тождественен.
Описанный перечень элементов доказывания — базовый. Конкретная ситуация зависит от технической инфраструктуры компании, объёма переданных сведений и статуса предполагаемого виновного. Оценить риски уголовного преследования для конкретного сотрудника или руководителя можно в рамках консультации.
Где проходит граница между административной ответственностью по КоАП и уголовным преследованием по статье 137 УК РФ?
Административная ответственность по статье 13.11 КоАП РФ и уголовная по статье 137 УК РФ — не взаимоисключающие, а параллельные инструменты. Статья 13.11 КоАП РФ применяется к организации за нарушение порядка обработки персональных данных: отсутствие согласия субъекта, несоблюдение требований локализации, передача данных без законных оснований. Максимальный штраф для юридического лица — до 6 млн рублей. Статья 137 УК РФ, напротив, применяется к физическому лицу за умышленный сбор или распространение сведений именно о частной жизни — с акцентом на личную тайну, а не на технические нарушения регламента.
Практический критерий разграничения — три вопроса:
- Являются ли разглашённые сведения элементами частной жизни (здоровье, семья, личные отношения, вероисповедание), а не просто идентификационными данными (ФИО, телефон, адрес)?
- Действовало ли лицо умышленно — осознавая незаконность и желая разгласить именно личную тайну?
- Причинён ли вред правам и законным интересам потерпевшего — или речь идёт о формальном нарушении регламента?
Если на все три вопроса ответ «да» — состав статьи 137 УК РФ применим. Если нарушение сводится к отсутствию политики конфиденциальности или передаче стандартных контактных данных без согласия — дело останется в административной плоскости. На практике переход из одного режима в другой нередко происходит именно тогда, когда потерпевший подаёт заявление в полицию, а не жалобу в Роскомнадзор.
Кейсы: как дела по статье 137 УК РФ доходят до суда в корпоративном контексте
Уголовные дела по статье 137 УК РФ в сфере бизнеса разворачиваются по нескольким типичным сценариям. Анализ судебной практики 2023–2025 годов показывает: большинство из них связаны с корпоративными конфликтами, увольнением сотрудников или рейдерскими атаками, а не со случайными утечками.
Региональная торговая сеть, Сибирский ФО, выручка около 400 млн ₽
Как компании защититься до возбуждения дела и после?
Превентивная защита по статье 137 УК РФ строится на двух уровнях: организационном (внутренние регламенты и разграничение доступа) и юридическом (чёткое определение режима конфиденциальности и последствий нарушения в трудовых договорах). После получения сигнала о возможном уголовном преследовании — запроса от полиции, заявления потерпевшего или инициации проверки — критически важна скорость реакции.
Что подготовить превентивно:
- Политика обработки персональных данных с конкретными категориями, правомерными основаниями обработки и перечнем лиц, имеющих доступ.
- Разграничение прав доступа к базам данных: журналы выгрузок, авторизация при обращении к чувствительным полям.
- Пункт в трудовом договоре и NDA о конфиденциальности персональных данных — с явным перечнем запрещённых действий.
- Инструкция для сотрудников: что делать при получении запроса от следователя или полиции (не давать объяснений без адвоката).
После возбуждения дела — или даже при получении повестки для дачи объяснений — действует иная логика. На этапе доследственной проверки (статья 144 УПК РФ, срок до 30 суток) нет ни обвиняемых, ни официальных подозреваемых. Но именно в этот период следователь формирует представление о субъективной стороне — умысле. Показания, данные без адвоката, невозможно «отозвать» впоследствии.
Примирение с потерпевшим — наиболее практичный инструмент по делам части первой статьи 137 УК РФ. Состав относится к преступлениям небольшой тяжести, что делает прекращение дела в связи с примирением сторон (статья 25 УПК РФ) реально достижимым результатом при наличии возмещения вреда. По части второй (средняя тяжесть) суд вправе, но не обязан прекращать дело при примирении.
Получить запрос от следователя или повестку по делу о персональных данных — стрессовая ситуация, в которой счёт часто идёт на часы. Без чёткого понимания стадии дела и имеющихся инструментов защиты компания рискует сформировать доказательственную базу против себя.
Матрица рисков: собственник, директор, главный бухгалтер, HR — кто и за что отвечает?
Уголовная ответственность по статье 137 УК РФ носит сугубо индивидуальный характер: юридическое лицо не является субъектом преступления. Это означает, что под удар попадает конкретный человек — в зависимости от его фактической роли в инциденте. Ниже — дифференцированная оценка рисков по ролям.
| Роль | Типичный сценарий | Применимая часть | Санкция |
|---|---|---|---|
| Собственник / бенефициар | Санкционировал сбор «компромата» на партнёра или конкурента | Ч. 2 ст. 137 УК РФ | До 4 лет, запрет должностей до 5 лет |
| Генеральный директор | Передал сведения о болезни сотрудника потенциальному работодателю | Ч. 2 ст. 137 УК РФ | До 4 лет, запрет должностей до 5 лет |
| HR-директор / менеджер | Слил базу данных кандидатов с личными сведениями конкуренту | Ч. 1 или ч. 2 ст. 137 УК РФ | До 2–4 лет в зависимости от части |
| Системный администратор | Предоставил несанкционированный доступ к личным данным сотрудников | Ч. 1 ст. 137 + ст. 272 УК РФ | Совокупность составов — до 4 лет |
| Главный бухгалтер | Передал сведения о доходах и имуществе физлиц третьим лицам без согласия | Ч. 1 ст. 137 УК РФ | До 2 лет, штраф до 200 000 ₽ |
Дополнительный риск для системного администратора — конкуренция составов: статья 137 УК РФ (нарушение неприкосновенности частной жизни) нередко предъявляется совместно со статьёй 272 УК РФ (неправомерный доступ к компьютерной информации), если доступ к базе данных был получен с превышением прав. В таких случаях суды квалифицируют действия по совокупности статей.
Для главного бухгалтера риск по статье 137 УК РФ возникает реже, чем кажется: сведения о доходах сотрудников сами по себе не являются элементами «частной жизни» в смысле статьи 137 УК РФ, если только в них не включены данные о заболеваниях, семейных обстоятельствах или иных личных делах. Однако передача расчётных листков с полными данными об алиментах, взысканиях по исполнительным листам — зона повышенного внимания.
IT-компания, Центральный ФО, выручка около 650 млн ₽
Пять ключевых вопросов для самопроверки: есть ли в вашей компании уязвимости, которые могут создать уголовное дело по персональным данным.
Напишите «137 риски» в Telegram @nk_vitvet или WhatsApp — пришлём сразу.
- Защита по уголовному делу — защита руководителей и сотрудников по экономическим составам
- Уголовно-правовой аудит — превентивная проверка рисков до возбуждения дела
Статья 137 УК РФ в корпоративной среде — не абстрактный риск: дела возбуждаются по заявлениям бывших сотрудников, партнёров и клиентов, и даже формально «невиновный» директор проведёт несколько месяцев под следствием с обысками и допросами. Своевременная превентивная работа с внутренними регламентами и быстрая реакция на первые признаки проверки — два ключевых фактора, определяющих исход.
«Ветров. 49» специализируется на уголовной защите бизнеса с 2017 года. В рейтинге Право·300 с момента основания, Best Lawyers 2021, более 1000 реализованных проектов. Ведём дела по статье 137 УК РФ от этапа доследственной проверки до прекращения дела или вынесения приговора.