Персональные данные под арестом: утечка как дорога из административного правонарушения в уголовное

Период 2025–2026 годов войдет в историю российского ИТ-рынка как время жесткой реформы законодательства о персональных данных. Эпоха, когда за компрометацию миллионов записей пользователей компания отделывалась символическим штрафом в 60 тысяч рублей, полностью завершена. Сегодня на кону стоят не только многомиллионные оборотные штрафы юридического лица, но и реальная свобода топ-менеджмента и офицеров по информационной безопасности (DPO).

Анатомия сдвига: почему административный штраф больше не закрывает проблему

Главное изменение в логике регуляторов заключается в автоматической связи между масштабом утечки и глубиной проверки. Когда в открытый доступ попадает база данных, компания сталкивается с жестким давлением со стороны Роскомнадзора и правоохранительных органов. Новые штрафы исчисляются процентами от выручки компании, что ставит бизнес на грань банкротства.

В этой ситуации акционеры и следствие начинают искать конкретного виновника среди людей, отвечавших за безопасность. Обычный технический сбой или хакерская атака больше не принимаются как оправдание. Проверяющие органы ставят вопрос иначе: почему архитектура системы позволила злоумышленникам выгрузить массив данных? Если выявляется, что ИТ-служба проигнорировала базовые регламенты защиты, инцидент мгновенно мигрирует из КоАП РФ в Уголовный кодекс РФ.

Как техническая ошибка превращается в состав уголовного преступления

Практика показывает, что абсолютное большинство утечек происходит не из-за применения хакерами сверхсложного оборудования, а по причине человеческого фактора на стороне разработчиков или системных администраторов. Рассмотрим три классических сценария, которые сегодня ведут к уголовному преследованию должностных лиц:

• Открытые порты СУБД: Оставленная без пароля и выставленная в открытый интернет база данных (например, Elasticsearch, MongoDB или Redis) для удобства удаленной работы программистов. В глазах следствия это не просто ошибка, а создание условий для беспрепятственного хищения данных, что квалифицируется по статье 293 УК РФ (Халатность).
• Тестовые контура с реальными данными: Создание копии рабочей базы данных клиентов для проведения тестирования нового релиза (Staging/Test). Защита тестовых серверов традиционно слабее, и при их взломе утекают реальные паспорта и телефоны. Для DPO это означает обвинение в неисполнении должностных обязанностей.
• Отсутствие патч-менеджмента: Известная критическая уязвимость в системе (например, в CMS или веб-сервере) не закрывалась месяцами, несмотря на официальные предупреждения регуляторов. Если через эту уязвимость выкачали данные, руководству могут вменить статью 272 УК РФ (Неправомерный доступ к компьютерной информации), так как бездействие ответственных лиц приравняли к соучастию в саботаже.

Основные уголовные статьи для руководителей и DPO

При фиксации инцидента правоохранительные органы используют три базовые статьи Уголовного кодекса:

1. Статья 293 УК РФ (Халатность): Применяется к генеральным директорам, ИТ-директорам и официальным DPO. Обвинение строится на том, что должностное лицо подписало политику безопасности, но не проконтролировало ее фактическое исполнение инженерами.
2. Статья 272 УК РФ (Неправомерный доступ к компьютерной информации): Если следствие докажет, что сотрудник компании умышленно или по грубой неосторожности предоставил доступы третьим лицам (например, продал или передал учетную запись), наказание может составить до 7 лет лишения свободы.
3. Статья 274.1 УК РФ (Воздействие на КИИ): Самая опасная статья. Если ИТ-компания обрабатывает данные клиентов из сферы здравоохранения, транспорта, связи или банковского сектора, ее информационные системы признаются объектами критической инфраструктуры. Утечка из такого контура автоматически означает до 10 лет лишения свободы для ответственных специалистов.

Необходимый ИБ-комплаенс: как юридически и технически защитить команду

Чтобы защитить руководство и ИТ-директора от уголовных рисков, компания должна развернуть комплекс мер, доказывающих регуляторам состояние максимальной добросовестности (Due Diligence). Сегодня в обязательный стандарт защиты входят пять элементов: