Квалификация действий лица, передавшего чужие персональные данные третьим лицам без согласия, при отсутствии корыстной цели

Коротко: Отсутствие корыстной цели не освобождает от ответственности за передачу чужих персональных данных без согласия. Сведения о частной жизни — статья 137 УК РФ, компьютерная информация с персональными данными — часть 1 статьи 272.1 УК РФ, остальные случаи — статья 13.11 КоАП РФ.

Ниже приведён подробный разбор норм, исключений и практических шагов: что закон относит к персональным данным, как корыстный мотив влияет на квалификацию по каждому из трёх составов, чем уголовная ответственность отличается от административной и что показывает судебная практика.

Что закон относит к персональным данным и когда их передача незаконна?

Правовое регулирование оборота персональных данных строится на Федеральном законе от 27.07.2006 № 152-ФЗ «О персональных данных». Персональные данные — это любая информация, относящаяся прямо или косвенно к определённому или определяемому физическому лицу (субъекту персональных данных). Под это определение попадают не только фамилия, имя и отчество, но и любые сведения, по совокупности которых человека можно опознать. Статьёй 7 указанного Закона установлена конфиденциальность персональных данных: лица, получившие к ним доступ, не вправе разглашать их третьим лицам без согласия субъекта. Конституционно-правовой основой этого требования выступает часть 1 статьи 24 Конституции РФ, согласно которой сбор, хранение, использование и распространение информации о частной жизни лица без его согласия не допускаются.

Ежедневно граждане передают свои сведения десяткам организаций и частных лиц, зачастую не задумываясь о последствиях их разглашения. Для юридической оценки чужого поступка важны не эмоции пострадавшего, а признаки, из которых складывается противоправность передачи данных:

• сведения относятся к конкретному человеку и позволяют его определить — то есть являются персональными данными в смысле Федерального закона от 27.07.2006 № 152-ФЗ;
• субъект персональных данных не давал согласия на их передачу третьим лицам;
• отсутствуют иные основания обработки, прямо предусмотренные законом;
• сведения фактически стали известны хотя бы одному постороннему лицу;
• передавшее их лицо действовало осознанно, то есть с прямым умыслом.

В зависимости от характера и степени общественной опасности деяния незаконная передача персональных данных квалифицируется либо как административное правонарушение по статье 13.11 КоАП РФ, либо как преступление по статье 137 или статье 272.1 УК РФ. Отсутствие корыстной цели влияет на квалификацию по-разному в зависимости от конкретного состава — именно поэтому разбирать вопрос приходится отдельно по каждой из трёх норм.

Влияет ли отсутствие корыстной цели на ответственность по статье 137 УК РФ?

Статья 137 УК РФ устанавливает ответственность за незаконное собирание или распространение сведений о частной жизни лица, составляющих его личную или семейную тайну, без его согласия. С 11 декабря 2024 года диспозиция части 1 статьи 137 УК РФ дополнена исключением: действие этой нормы не распространяется на случаи, предусмотренные статьёй 272.1 УК РФ. Объективная сторона выражается в распространении сведений о частной жизни. Как разъяснил Пленум Верховного Суда РФ в постановлении от 25.12.2018 № 46 «О некоторых вопросах судебной практики по делам о преступлениях против конституционных прав и свобод человека и гражданина (статьи 137, 138, 138.1, 139, 144.1, 145, 145.1 Уголовного кодекса Российской Федерации)», под распространением понимается сообщение таких сведений одному или нескольким лицам в устной, письменной или иной форме и любым способом, в том числе путём передачи материалов или размещения информации с использованием информационно-телекоммуникационных сетей, включая сеть «Интернет». Для наступления ответственности достаточно доведения сведений хотя бы до одного лица. Подробнее о составе этого преступления мы писали в материале Уголовная ответственность за нарушение неприкосновенности частной жизни.

Субъективная сторона характеризуется прямым умыслом: виновный осознаёт, что собирает или распространяет сведения о частной жизни лица без его согласия, и желает совершить эти действия; при этом он должен понимать, что гражданин хранит такие сведения в тайне. Ключевое для рассматриваемого вопроса обстоятельство состоит в том, что мотив и цель не входят в число обязательных признаков состава преступления по статье 137 УК РФ. Ранее часть 1 данной статьи содержала указание на совершение деяния «из корыстной или иной личной заинтересованности», однако в настоящее время эти положения исключены. Конституционный Суд РФ в постановлении от 18 января 2024 г. № 2-П подтвердил, что уголовный закон не требует доказывать корыстные мотивы и причинение вреда для признания лица виновным в нарушении неприкосновенности частной жизни.

Отсюда прямой ответ на вопрос статьи: отсутствие корыстной цели не препятствует квалификации по статье 137 УК РФ. Передача персональных данных третьим лицам без согласия субъекта образует состав этого преступления независимо от того, руководствовался ли виновный корыстными побуждениями, личными мотивами либо не имел никакой личной заинтересованности вовсе. Обязательным элементом состава остаётся именно прямой умысел, а не мотив. Санкция части 1 статьи 137 УК РФ предусматривает штраф до двухсот тысяч рублей, обязательные работы на срок до трёхсот шестидесяти часов, исправительные работы на срок до одного года, принудительные работы на срок до двух лет либо лишение свободы на тот же срок. Если деяние совершено с использованием служебного положения (часть 2 статьи 137 УК РФ), наказание строже — вплоть до лишения свободы на срок до четырёх лет.

Когда передача данных подпадает под статью 272.1 УК РФ?

С 11 декабря 2024 года Уголовный кодекс РФ дополнен статьёй 272.1, которая устанавливает ответственность за незаконные использование и (или) передачу, сбор и (или) хранение компьютерной информации, содержащей персональные данные, а равно за создание и (или) обеспечение функционирования информационных ресурсов, предназначенных для её незаконных хранения и (или) распространения. От статьи 137 УК РФ этот состав отличается по нескольким принципиальным параметрам:

• предмет посягательства — именно компьютерная информация, содержащая персональные данные, то есть сведения в цифровой, электронной форме;
• объективная сторона — охватывает не только передачу, но и использование, сбор и хранение такой информации, а также создание ресурсов для её незаконного оборота;
• обязательный признак основного состава — совершение деяния при отсутствии оснований, предусмотренных законом (например, при отсутствии согласия субъекта, кроме случаев, прямо разрешённых законом);
• роль корыстного мотива — здесь, в отличие от статьи 137 УК РФ, корыстная заинтересованность работает как квалифицирующий признак.

Часть 3 статьи 272.1 УК РФ предусматривает повышенную ответственность за совершение деяния из корыстной заинтересованности, с причинением крупного ущерба, группой лиц по предварительному сговору либо с использованием служебного положения. Соответственно, при отсутствии корыстной цели действия лица, передавшего компьютерную информацию с персональными данными третьим лицам без согласия, квалифицируются по части 1 статьи 272.1 УК РФ — при условии наличия всех остальных признаков состава. Санкция части 1 статьи 272.1 УК РФ предусматривает альтернативные наказания: штраф до трёхсот тысяч рублей, либо принудительные работы на срок до четырёх лет, либо лишение свободы на тот же срок.

Важное исключение: действие статьи 272.1 УК РФ не распространяется на обработку персональных данных физическими лицами исключительно для личных и семейных нужд. Если сведения переданы в рамках личных или семейных отношений — например, семейные фотографии отправлены родственникам, — уголовная ответственность по данной статье не наступает. Это не означает автоматической безнаказанности: оценка по статье 137 УК РФ в такой ситуации проводится самостоятельно, если распространённые сведения составляли личную или семейную тайну другого человека.

Когда дело ограничивается административной ответственностью по статье 13.11 КоАП РФ?

Не всякая незаконная передача персональных данных влечёт уголовную ответственность. Статья 13.11 КоАП РФ устанавливает административную ответственность за нарушение законодательства в области персональных данных. Часть 2 статьи 13.11 КоАП РФ предусматривает ответственность за обработку персональных данных без согласия в письменной форме субъекта персональных данных в случаях, когда такое согласие должно быть получено в соответствии с законодательством; передача персональных данных третьим лицам без согласия субъекта подпадает под действие этой нормы. Для привлечения к административной ответственности по статье 13.11 КоАП РФ наличие или отсутствие корыстной цели значения не имеет вовсе.

С 30 мая 2025 года санкции указанной статьи существенно увеличены. Ориентиры по размеру штрафа за обработку персональных данных без необходимого согласия таковы:

Административная ответственность оказывается «потолком» тогда, когда переданные сведения не образуют личную или семейную тайну и не являются компьютерной информацией в смысле статьи 272.1 УК РФ либо когда содеянное признано малозначительным. Типичный пример подобных споров — раскрытие сведений о жильцах управляющей организацией или соседями; практическая сторона таких ситуаций разобрана в материале Незаконное распространение персональных данных жильцов: права и способы защиты.

Как разграничить статью 137 УК РФ, статью 272.1 УК РФ и статью 13.11 КоАП РФ?

Критерии разграничения уголовной и административной ответственности определяются совокупностью факторов, и ни один из них не работает в одиночку.

• Предмет посягательства. Статья 137 УК РФ охраняет сведения о частной жизни, составляющие личную или семейную тайну. Не всякие персональные данные относятся к этой категории: если переданные сведения тайной не являются, уголовная ответственность по статье 137 УК РФ исключается, но остаётся возможной административная по статье 13.11 КоАП РФ.
• Форма информации. Статья 272.1 УК РФ применяется исключительно к компьютерной информации, содержащей персональные данные. Если передача произошла в устной или письменной (не электронной) форме, состав статьи 272.1 УК РФ отсутствует.
• Специальные признаки состава. Для статьи 272.1 УК РФ необходимо установить, что деяние совершено при отсутствии оснований, предусмотренных законом, то есть что законных оснований для такой обработки не имелось.
• Степень общественной опасности. Уголовная ответственность наступает за более опасные деяния; при отсутствии существенного вреда и малозначительности содеянного применяется административная ответственность.

Сводно соотношение трёх норм выглядит так:

При квалификации по любой из перечисленных норм ключевую роль играет наличие или отсутствие согласия субъекта персональных данных и законных оснований для обработки. Именно вокруг этих двух обстоятельств и строится защита либо, наоборот, обвинение.

Что показывает судебная практика и как строится защита?

Анализ судебной практики подтверждает: передача персональных данных без согласия субъекта квалифицируется по статье 137 УК РФ независимо от мотивов и целей виновного. Так, ритуальный агент в Перми был осуждён по статье 137 УК РФ за незаконный сбор данных о покойных — суд установил, что истцы не давали согласия на передачу, использование и обработку их персональных данных, и назначил наказание в виде двухсот часов обязательных работ (приговор Индустриального районного суда г. Перми по уголовному делу № 1-278/2024 от 12 августа 2024 года). В другом случае действия лица, передавшего за вознаграждение персональные данные постороннему через мессенджер, были квалифицированы по статьям 183 и 272 УК РФ (в ранее действовавшей редакции), причём корыстная цель выступила квалифицирующим признаком.

Встречаются и ситуации, когда передача данных без согласия при отсутствии корыстной цели оценивается по статье 137 УК РФ, а не по статье 272.1 УК РФ: либо переданные сведения не являлись компьютерной информацией в том смысле, который придаёт этому понятию статья 272.1 УК РФ, либо деяние не достигало степени общественной опасности, характерной для преступлений против конституционных прав граждан. При оценке таких дел суды уделяют особое внимание характеру переданных сведений, способу их фиксации и распространения, а также наличию прямого умысла.

Если Вам вменяют передачу чужих персональных данных, порядок действий обычно такой:

1. Определите, какие именно сведения вменяются как переданные и относятся ли они к личной или семейной тайне — от этого зависит применимость статьи 137 УК РФ.
2. Установите форму информации: была ли она компьютерной (файл, выгрузка из базы, сообщение в мессенджере) — это условие статьи 272.1 УК РФ.
3. Проверьте, не имелось ли законных оснований обработки или согласия субъекта, в том числе полученного ранее и не отозванного.
4. Сохраните переписку, служебные регламенты, доверенности и запросы, из которых видно основание передачи данных.
5. Оцените, не идёт ли речь об обработке исключительно для личных и семейных нужд — на такие случаи статья 272.1 УК РФ не распространяется.
6. Не давайте объяснений о мотивах до консультации с адвокатом: формулировка о «заинтересованности» способна перевести дело из части 1 статьи 272.1 УК РФ в часть 3.

Частые вопросы

Освобождает ли от ответственности то, что данные никому не навредили?

Нет. Конституционный Суд РФ в постановлении от 18 января 2024 г. № 2-П указал, что уголовный закон не требует доказывать корыстные мотивы и причинение вреда для признания лица виновным в нарушении неприкосновенности частной жизни. По разъяснению Пленума Верховного Суда РФ от 25.12.2018 № 46 достаточно того, что сведения стали известны хотя бы одному постороннему лицу.

Что грозит работнику, который передал клиентскую базу без всякой выгоды для себя?

Если база — компьютерная информация с персональными данными и законных оснований для передачи не было, действия оцениваются по части 1 статьи 272.1 УК РФ. Использование служебного положения усиливает ответственность: оно названо квалифицирующим признаком и в части 3 статьи 272.1 УК РФ, и в части 2 статьи 137 УК РФ.

Нужно ли согласие субъекта, если данные передали по запросу государственного органа?

Составы статьи 272.1 УК РФ и статьи 13.11 КоАП РФ построены вокруг обработки при отсутствии оснований, предусмотренных законом. Если основание обработки прямо установлено законом, согласие субъекта не требуется, а состав отсутствует. Поэтому документ, которым обоснована передача, стоит сохранять — он и подтверждает законность обработки.

Отвечает ли компания, из которой данные ушли к третьим лицам?

Ответственность оператора персональных данных оценивается отдельно от ответственности конкретного человека: для организации это прежде всего статья 13.11 КоАП РФ со штрафом до семисот тысяч рублей для юридических лиц. Подробный разбор — в материале Привлечение оператора к ответственности за утечку персональных данных.

Имеет ли значение, что данные передали в переписке одному человеку, а не опубликовали?

Нет, публичность не обязательна. Согласно постановлению Пленума Верховного Суда РФ от 25.12.2018 № 46 распространением считается сообщение сведений одному или нескольким лицам в любой форме и любым способом, в том числе через информационно-телекоммуникационные сети. Сообщение в мессенджере одному адресату уже образует объективную сторону.

Краткая сводка: квалификация при отсутствии корыстной цели

• Конфиденциальность персональных данных установлена статьёй 7 Федерального закона от 27.07.2006 № 152-ФЗ, а запрет распространять информацию о частной жизни без согласия — частью 1 статьи 24 Конституции РФ.
• Мотив и цель не являются обязательными признаками состава по статье 137 УК РФ: указание на корыстную или иную личную заинтересованность из части 1 исключено, что подтверждено постановлением Конституционного Суда РФ от 18 января 2024 г. № 2-П.
• С 11 декабря 2024 года часть 1 статьи 137 УК РФ не применяется к случаям, предусмотренным статьёй 272.1 УК РФ, — компьютерная информация с персональными данными выделена в самостоятельный состав.
• Без корыстной цели передача такой компьютерной информации квалифицируется по части 1 статьи 272.1 УК РФ (штраф до трёхсот тысяч рублей, принудительные работы или лишение свободы до четырёх лет), с корыстью — по части 3.
• Обработка персональных данных физическим лицом исключительно для личных и семейных нужд под статью 272.1 УК РФ не подпадает.
• Остальные случаи передачи данных без необходимого согласия влекут ответственность по статье 13.11 КоАП РФ: с 30 мая 2025 года для граждан — от пятнадцати до тридцати тысяч рублей, для юридических лиц — до семисот тысяч рублей.
• Судебная практика подтверждает наказуемость деяния и без корысти: приговор Индустриального районного суда г. Перми по уголовному делу № 1-278/2024 от 12 августа 2024 года — двести часов обязательных работ по статье 137 УК РФ.

Таким образом, отсутствие корыстной цели способно повлиять на выбор части статьи и на размер наказания, но само по себе от ответственности за незаконную передачу чужих персональных данных не освобождает. Если переданные сведения составляют личную или семейную тайну, применяется статья 137 УК РФ; если это компьютерная информация с персональными данными — часть 1 статьи 272.1 УК РФ; если ни то, ни другое либо деяние малозначительно — статья 13.11 КоАП РФ. В каждом деле необходимо тщательно исследовать характер переданных сведений, форму их фиксации и распространения, наличие согласия субъекта и законных оснований обработки, а также степень общественной опасности содеянного.

С уважением, адвокат Анатолий Антонов, управляющий партнер адвокатского бюро «Антонов и партнеры». (С)

Адвокатское бюро «Антонов и партнеры» готово оказать юридическую помощь по всем категориям дел в любых регионах России. Эффективно и качественно решаем возникшие у Вас юридические задачи любой сложности.

Получить дополнительную информацию или ознакомиться с нашими услугами по данной теме можно по ссылкам ниже:

• Адвокат по уголовным делам
• Защита персональных данных