Генератор152ФЗ · Журнал
АналитикаУстановление ответственности за нарушения в сфере персональных данных: ст. 13.11 КоАП РФ и ст. 272.1 УК РФ
Пакет 420-ФЗ и 421-ФЗ · разграничение административного и уголовного контуров
Аннотация
Проанализированы Федеральный закон от 30 ноября 2024 г. № 420-ФЗ (изменения ст. 13.11 КоАП РФ с 30 мая 2025 г.) и Федеральный закон от 30 ноября 2024 г. № 421-ФЗ (ст. 272.1 УК РФ с 11 декабря 2024 г.). Сопоставлены адресаты и предмет норм: обязанности оператора и незаконный оборот компьютерной информации с персональными данными. Сформулированы практические следствия для документации, доступа и реагирования на инциденты.
Ключевые слова: персональные данные, административная ответственность, уголовная ответственность, ст. 13.11 КоАП РФ, ст. 272.1 УК РФ, 420-ФЗ, 421-ФЗ, утечка, оператор.
Abstract
Abstract. The package establishing tougher administrative and new criminal liability for personal data offences was analysed. Federal Law No. 420-FZ of 30 November 2024 (Article 13.11 CAO RF as applied from 30 May 2025) was compared with Federal Law No. 421-FZ of 30 November 2024 (Article 272.1 CC RF from 11 December 2024). Differences in addressees and subject matter were shown: operator duties versus unlawful circulation of computer information containing personal data. Practical implications for documentation, access control and incident response were formulated.
Keywords: personal data, administrative liability, criminal liability, Article 13.11 CAO RF, Article 272.1 CC RF, 420-FZ, 421-FZ, data breach, operator.
Введение
В конце 2024 года законодатель усилил административную ответственность по ст. 13.11 КоАП РФ и ввёл ст. 272.1 УК РФ. В обиходе оба изменения часто сводят к одной фразе про «штраф за утечку», хотя адресаты и содержание норм разные.
Цель настоящего исследования – показать, где риск лежит на операторе по КоАП, а где речь идёт об уголовной ответственности физического лица, и какие меры по документации и доступу имеют смысл для обеих ситуаций без иллюзии, что достаточно обновить текст политики.
Материал опирается на тексты законов и не заменяет уголовно-правовую квалификацию конкретного дела. Размеры санкций нужно сверять с актуальной редакцией КоАП РФ и УК РФ. О политике обработки и штрафах – в отдельной статье; о принятом, но ещё не вступившем и о проектах – в обзоре готовящихся изменений.
1. Административная и уголовная ответственность
Административная ответственность по ст. 13.11 КоАП РФ связана с нарушением обязательных требований к обработке персональных данных: режимы обработки, информирование, уведомления, меры, документация. К ответственности привлекают граждан, должностных лиц и юридических лиц – в пределах конструкций КоАП.
Статья 272.1 УК РФ описывает незаконные использование и (или) передачу, сбор и (или) хранение компьютерной информации, содержащей персональные данные, полученной незаконным путём, а также создание и обеспечение функционирования информационных ресурсов для незаконного хранения и (или) распространения такой информации. Речь о другом предмете: не о том, что организация не обновила политику, а о деяниях с незаконно полученной компьютерной информацией и о ресурсах под её оборот.
Назначение ответственного за организацию обработки (ст. 22.1 152-ФЗ и смежные локальные акты) само по себе не создаёт для работника отдельного «состава за персональные данные» и не снимает административный риск с оператора-юридического лица. Вопросы трудовой и дисциплинарной ответственности решаются по иным правилам; см. также статью о системе лиц и должностей.
2. Статья 13.11 КоАП РФ (420-ФЗ)
Федеральный закон от 30 ноября 2024 г. № 420-ФЗ изменил ст. 13.11 КоАП РФ. Ключевые последствия для оператора, применяемые с 30 мая 2025 г.: повышены размеры ряда «базовых» составов, введены и уточнены составы, связанные с неправомерной передачей (предоставлением, распространением, доступом) персональных данных и с нарушением порядка уведомления уполномоченного органа об инцидентах; для повторных утечек предусмотрены оборотные штрафы с нижним и верхним пределами.
Ориентиры по ч. 1 и 1.1 ст. 13.11 (обработка вне предусмотренных законом случаев / несовместимая с целями; повтор): для юридических лиц по ч. 1 – 150–300 тыс. руб., по ч. 1.1 – 300–500 тыс. руб.; для граждан и должностных лиц – иные диапазоны. Составы об утечках измеряются миллионами рублей и зависят от объёма. Точные части, квалифицирующие признаки и суммы – только в актуальной редакции КоАП; обзорные цифры не заменяют таблицу составов.
Для оператора практический вывод простой: документация и процессы уведомления об инцидентах перестали быть «формальностью на полке». Несогласованность политики, уведомления по ст. 22 152-ФЗ и фактической обработки повышает административный риск независимо от того, был ли «злоумышленник с флешкой».
3. Статья 272.1 УК РФ (421-ФЗ)
Федеральный закон от 30 ноября 2024 г. № 421-ФЗ дополнил УК РФ статьёй 272.1. Закон вступил в силу 11 декабря 2024 г. (по общему правилу через десять дней после официального опубликования 30 ноября 2024 г.).
Диспозиция охватывает, в частности, незаконные использование и (или) передачу (распространение, предоставление, доступ), сбор и (или) хранение компьютерной информации, содержащей персональные данные, полученной путём неправомерного доступа к средствам её обработки, хранения или иного вмешательства в их функционирование либо иным незаконным путём, а также создание и (или) обеспечение функционирования информационного ресурса, заведомо предназначенного для незаконных хранения и передачи такой информации. Усиливающие признаки включают, среди прочего, данные несовершеннолетних, специальные категории и биометрию, корыстный мотив, служебное положение, крупный ущерб, трансграничный элемент, тяжкие последствия – в пределах частей статьи; санкции – от штрафов и принудительных работ до лишения свободы (см. текст УК).
Квалификация зависит от способа получения информации, субъекта, умысла и иных признаков состава: сама по себе утечка у оператора не означает уголовное дело в отношении руководителя. При этом при проектировании доступа норму учитывать нужно. Незаконный съём и оборот баз сотрудником – типичная зона ст. 272.1, а оператор параллельно может отвечать по КоАП за непринятие надлежащих мер.
4. Что делать оператору
Во-первых, разделить сценарии реагирования. По линии КоАП – уведомление уполномоченного органа, фиксация мер, пересмотр классификации ИСПДн и доступов. Если есть признаки незаконного оборота персональных данных, вопрос об обращении в правоохранительные органы и о сохранении логов решается с юристом по конкретному факту и не подменяет уведомление по 152-ФЗ.
Во-вторых, усилить превентивные меры: отдельные согласия там, где это требуется с 01.09.2025, согласованность политики и фактических процессов, журналирование и разграничение прав, обязательства о неразглашении, понятные роли без переноса статуса оператора на работника.
В-третьих, не подменять юридическую квалификацию обещаниями шаблона. Конструктор «ГЕНЕРАТОР152ФЗ» помогает собрать согласованный комплект документов; оценку состава правонарушения или преступления по конкретному факту даёт специалист.
Заключение
- 420-ФЗ и 421-ФЗ усилили административную ответственность и ввели уголовную статью о незаконном обороте компьютерной информации с персональными данными, но нормы адресованы по-разному.
- Ст. 13.11 КоАП РФ с 30.05.2025 повышает давление на оператора по обязанностям обработки, уведомлениям и последствиям утечек.
- Ст. 272.1 УК РФ с 11.12.2024 касается незаконного оборота компьютерной информации с персональными данными и связанных ресурсов.
- Таким образом, оператору нужны согласованные документы, доступ и понятный порядок действий при инциденте.
Список литературы
- Федеральный закон от 27 июля 2006 г. № 152-ФЗ «О персональных данных».
- Федеральный закон от 30 ноября 2024 г. № 420-ФЗ «О внесении изменений в Кодекс Российской Федерации об административных правонарушениях» // Собрание законодательства РФ. – 2024. – № 49 (ч. 1). – Ст. 6638.
- Федеральный закон от 30 ноября 2024 г. № 421-ФЗ «О внесении изменений в Уголовный кодекс Российской Федерации» // Официальный интернет-портал правовой информации. – URL: http://publication.pravo.gov.ru/Document/View/0001202411300012 (дата обращения: 14.09.2026).
- Кодекс Российской Федерации об административных правонарушениях (ст. 13.11).
- Уголовный кодекс Российской Федерации (ст. 272.1).