Статья 272.1 УК РФ

Статья 272.1 Уголовного кодекса Российской Федерации вступила в силу 11 декабря 2024 года и стала важнейшим изменением в российском законодательстве о защите персональных данных за последние годы. Норма криминализировала незаконный оборот персональных данных — и впервые распространила уголовную ответственность не только на тех, кто данные похищает или распространяет, но и на тех, кто их приобретает или хранит.

Что криминализировано

Под действие ст. 272.1 подпадают:

• сбор персональных данных незаконными методами;
• хранение незаконно полученных персональных данных;
• использование таких данных (в том числе для верификации, таргетинга, мошенничества);
• передача и распространение — продажа, публикация, пересылка третьим лицам;
• приобретение — покупка баз данных, полученных нелегально.

Это принципиальное изменение: прежде уголовная ответственность фактически наступала лишь при наличии взлома (ст. 272). Теперь покупатель комбо-листа или базы данных несёт ответственность наравне с продавцом.

Санкции

Санкция зависит от квалифицирующих признаков: базовый состав предусматривает лишение свободы до четырёх лет, а при наличии отягчающих обстоятельств (организованная группа, особо крупный размер, использование для совершения другого преступления) — до десяти лет лишения свободы.

Связь с другими нормами

Ст. 272.1 действует в системе с 152-ФЗ (административная ответственность операторов) и ст. 137 УК (нарушение неприкосновенности частной жизни). При утечках данных теперь возможно одновременное применение всех трёх норм к разным участникам цепочки — от взломщика до конечного пользователя базы.

Практический вывод

Проверка сведений о человеке через нелегальные сервисы, так называемый «пробив», с декабря 2024 года создаёт для заказчика уголовно-правовые риски независимо от того, взламывал ли он что-либо лично. Легальный OSINT по открытым источникам этих рисков не несёт — именно поэтому выбор инструмента имеет юридическое значение.