Когда получение персональных данных из открытых источников считается незаконным по ст. 272.1 УК РФ?

Приведённая мотивировка суда уязвима. Для квалификации по статье 272.1 УК РФ обвинение должно доказать не только незаконность дальнейшего хранения, использования или распространения персональных данных, но и то, что информация ранее была получена неправомерным доступом, вмешательством в работу средств обработки либо иным конкретно установленным незаконным путём.

1. Что входит в состав статьи 272.1 УК РФ

Часть 1 статьи 272.1 УК РФ предусматривает ответственность за незаконные использование, передачу, сбор или хранение компьютерной информации, содержащей персональные данные, которая получена:

путём неправомерного доступа к средствам обработки или хранения;

путём иного вмешательства в их функционирование;

иным незаконным путём.

Следовательно, незаконное происхождение информации является самостоятельным обязательным признаком предмета преступления. Закон не ограничивается формулировкой «незаконное использование персональных данных». Он дополнительно требует установить, что данные были получены незаконным способом.

При этом статья введена только 30 ноября 2024 года и действует с 11 декабря 2024 года, поэтому сформированной позиции Верховного Суда именно по толкованию выражения «иным незаконным путём» пока нет. Сам текст нормы требует особенно строгого установления всех признаков состава, а единичные приговоры нижестоящих судов нельзя считать устойчивой практикой. Такой подход соответствует правилам проверки новой судебной практики.

2. Обязательно ли устанавливать точный способ получения

Обвинение должно установить способ получения в степени, позволяющей признать его незаконным.

Это не означает, что всегда требуется назвать конкретную программу для взлома, IP-адрес, пароль или лицо, похитившее базу. Незаконное происхождение может подтверждаться совокупностью косвенных доказательств. Например:

информацией о взломе конкретной системы;

совпадением массива с похищенной базой;

перепиской о покупке «слива»;

сведениями о закрытом характере базы;

показаниями продавца;

данными платежей;

файлами и метаданными;

указанием в переписке, что информация похищена;

обстоятельствами, исключающими законный доступ.

Но суд не вправе заменить доказательство рассуждением о том, что паспортные данные охраняются законом, поэтому законно получить их было невозможно. Охраняемый характер информации не доказывает конкретный способ её происхождения.

Согласно статье 73 УПК РФ доказыванию подлежат событие преступления, включая способ его совершения, виновность лица и форма вины. Обвинительный приговор не может быть основан на предположениях, а бремя доказывания обвинения и опровержения доводов защиты возложено на обвинение.

Поэтому правильная формула такая. Не обязательно доказать каждую техническую деталь первоначального хищения, но необходимо доказать фактические обстоятельства, из которых надёжно следует незаконность происхождения данных. Простого предположения «такие сведения не могли оказаться в интернете законно» недостаточно.

3. В чём проблема первой части мотивировки суда

Суд указал, что скачивание по открытой ссылке не свидетельствует о законности получения, поскольку персональные данные охраняются законом и подсудимые впоследствии ими распоряжались определённым способом.

Первая часть тезиса верна лишь частично. Открытая ссылка действительно не гарантирует законность происхождения размещённых файлов. Владелец Яндекс-Диска мог незаконно разместить похищенные документы.

Но из этого не следует обратное, что открытая ссылка автоматически доказывает незаконность получения данных подсудимыми.

Суд фактически смешивает два разных обстоятельства:

каким образом информация первоначально попала в интернет;

каким образом подсудимые получили её из интернета и что затем с ней делали.

Незаконное распространение или использование файлов подсудимыми не доказывает незаконный способ их первоначального получения. Последующее действие не может ретроспективно сделать незаконным скачивание, которое в момент получения осуществлялось без обхода защиты и по открытой ссылке.

Фраза суда о том, что «в контексте способа распоряжения подсудимыми такими данными» нельзя признать законным путь их получения, логически спорна. Способ последующего распоряжения может подтверждать умысел на незаконное использование или распространение, но не заменяет доказательства происхождения массива.

4. Переложил ли суд бремя доказывания на подсудимых

Второй фрагмент мотивировки ещё более спорный.

Часть 3 статьи 9 Закона № 152-ФЗ действительно возлагает на оператора обязанность подтвердить получение согласия субъекта либо наличие другого законного основания обработки.

Но это правило регулирует обязанности оператора при обработке персональных данных. Оно не отменяет презумпцию невиновности в уголовном деле.

В уголовном процессе подсудимый не обязан доказывать отсутствие состава преступления и представлять согласия граждан, чтобы опровергнуть обвинение. Обвинение должно доказать:

отсутствие законного основания обработки, если это входит в предъявленное обвинение;

незаконность сбора, хранения, использования или распространения;

незаконное происхождение компьютерной информации;

умысел подсудимого;

квалифицирующие признаки.

Фраза суда о том, что подсудимые «доказательств наличия соответствующих документов суду не представили», может свидетельствовать о недопустимом переложении бремени доказывания. Особенно если отсутствие согласий не подтверждалось допросами субъектов данных, сведениями операторов, исследованием источника файлов или иными доказательствами обвинения.

Есть, однако, важное разграничение. Если подсудимый утверждает конкретный положительный факт, например что определённый гражданин лично передал ему скан паспорта для оформления услуги, защита вправе представить подтверждение. Но отсутствие такого подтверждения не превращает недоказанную версию защиты в доказанный признак преступления. Суд всё равно обязан оценивать, доказало ли обвинение отсутствие законного основания.

5. Требует ли статья получения данных только из закрытого источника

Нет. Формулировка «иным незаконным путём» шире неправомерного доступа к закрытой системе.

К таким способам могут относиться:

получение данных путём обмана;

подкуп сотрудника оператора;

копирование базы лицом, которое имело служебный доступ, но не имело права передавать её;

приобретение заведомо похищенной базы;

получение данных с нарушением установленного законом режима;

незаконное извлечение из документов или систем без технического взлома;

получение от лица, которое заведомо не имело права передавать информацию.

Теневой интернет, взлом, кража базы или покупка «слива» являются возможными примерами, но не исчерпывают содержание нормы.

При этом выражение «иным незаконным путём» нельзя толковать как «любым способом, после которого данные использовались незаконно». Иначе слова закона о способе получения теряют самостоятельное значение, а статья превращается в ответственность за любую обработку персональных данных с нарушением Закона № 152-ФЗ. Такое расширительное толкование уголовного закона недопустимо.

6. Что происходит при скачивании сканов из поисковой выдачи

Сам факт того, что скан паспорта найден в Яндекс.Картинках или доступен по открытой ссылке, не означает, что персональные данные стали общедоступными в юридическом смысле.

По статье 8 Закона № 152-ФЗ включение персональных данных в общедоступный источник предполагает письменное согласие субъекта. Попадание изображения в поисковую выдачу не доказывает такого согласия.

Однако нужно разделять два вопроса.

Первый вопрос. Законно ли лицо хранит, собирает, использует или распространяет найденные сканы. Здесь могут отсутствовать согласие и иное основание обработки.

Второй вопрос. Получены ли эти данные «иным незаконным путём» в смысле статьи 272.1 УК РФ. Здесь одного отсутствия согласия и факта нахождения изображения в поиске может быть недостаточно.

Если человек ввёл запрос «сканы паспортов» и скачал изображение, которое поисковик показывал без авторизации, пароля, оплаты и обхода ограничений, само действие по техническому получению файла не выглядит неправомерным доступом. Для признания его «иным незаконным путём» обвинению придётся указать конкретную нарушенную норму и доказать, почему именно скачивание составило незаконный способ получения.

Ситуация может оцениваться иначе, если лицо:

целенаправленно искало массивы похищенных документов;

знало из названия, описания или переписки, что это «слив»;

получило доступ к скрытой папке по украденной ссылке;

приобрело базу у продавца незаконных данных;

участвовало в организации утечки;

использовало найденные файлы в корыстных или преступных целях.

Но и тогда необходимо отделять доказательство осведомлённости о незаконном происхождении от предположения, основанного только на характере файлов.

Итог

Позиция защиты о необходимости доказать незаконный путь получения персональных данных имеет серьёзные основания. Обвинение может доказать этот признак косвенными доказательствами и не обязано устанавливать все технические детали утечки, но суд должен назвать конкретные установленные обстоятельства, из которых следует незаконность происхождения данных.

Приведённое обоснование суда недостаточно убедительно, если в других частях приговора нет доказательств источника массива, обстоятельств его размещения, связи подсудимых с утечкой, заведомой осведомлённости о незаконном происхождении или иных фактов. Ссылка на охраняемый характер персональных данных и отсутствие представленных подсудимыми согласий не заменяет доказывание обвинения и может рассматриваться как расширительное толкование статьи 272.1 УК РФ и переложение бремени доказывания на защиту.