Покупка базы лидов для обзвона: уголовная ответственность по ст. 272.1 УК в 2026 году

Отдел продаж онлайн-школы обзванивает “тёплые” контакты из купленной базы, а через полгода выясняется, что база – это утечка из другого сервиса. До декабря 2024 года это была в худшем случае административная история: штраф на юрлицо по ст. 13.11 КоАП. Теперь у истории появилось уголовное продолжение. И касается оно уже не одного похитителя или продавца – а каждого, кто эту базу получил, использовал и хранил у себя на компьютере.

Юристы всё чаще слышат один и тот же вопрос: покупка базы лидов ответственность – насколько это реально сегодня, а не абстрактная угроза из закона. В статье разбираем, что именно говорит ст. 272.1 УК РФ, распространяется ли она на покупателя базы, какие санкции предусмотрены по каждой части, чем уголовная ответственность отличается от административной по 152-ФЗ и что делать, если база для обзвона уже куплена. Другие материалы о рисках работы с персональными данными онлайн-школ – в рубрике “Персональные данные”.

Что такое ст. 272.1 УК РФ и с какого числа она действует

До появления этой статьи покупка или использование украденной базы данных редко доводились до уголовного дела. Приходилось натягивать историю на ст. 272 УК (неправомерный доступ к компьютерной информации), а она требовала доказать сам факт взлома – почти невозможная задача, если речь о человеке, который просто купил файл в мессенджере. Ст. 272.1 УК РФ закрывает эту дыру: обвиняемому не нужно самому взламывать систему. Достаточно того, что он использовал, передал, собрал или хранил компьютерную информацию с персональными данными, зная или имея основания полагать, что она получена незаконным путём – через неправомерный доступ, утечку, кражу базы сотрудником или иным способом в обход закона.

Формально норма построена по тому же принципу, что и статьи о скупке краденого: неважно, кто именно совершил кражу, важно, что вещь (здесь – файл с личными данными) находится в незаконном обороте, а вы этим оборотом пользуетесь. Автор поправок, депутат Александр Хинштейн, публично подчёркивал, что цель статьи – перекрыть рынок “пробива” и слитых баз, который годами существовал в мессенджерах и на теневых форумах (проверено: август 2026). Минцифры отдельно уточняло, что норма не должна касаться специалистов по кибербезопасности, которые работают с утечками ради защиты граждан (проверено: август 2026) – но это исключение узкое и не применяется к обычному отделу продаж.

Отвечает ли покупатель базы, а не только продавец

Ключевое условие ответственности – данные получены “путём неправомерного доступа к средствам их обработки, хранения или иного вмешательства в их функционирование либо иным незаконным путём” (проверено: август 2026). На практике это значит: если продавец в переписке прямо говорит, что база “слита” с сайта конкурента, “пробита” через инсайдера в банке или взята с закрытого форума – у покупателя уже есть основания знать о незаконном происхождении данных. Такое знание, или хотя бы возможность понимать очевидное, и превращает обычную сделку в состав преступления.

Важная оговорка есть в примечании к статье: она не применяется к обработке персональных данных физическим лицом исключительно для личных и семейных нужд (проверено: август 2026). Но это исключение защищает человека, который, например, хранит контакты друзей в своём телефоне, а не компанию, которая купила выгрузку из чужой CRM для холодных звонков по работе. Коммерческое использование базы под это исключение не подпадает.

Практика по статье пока только формируется: она действует с конца 2024 года, и опубликованных приговоров именно по покупателям баз лидов для маркетинга на момент подготовки статьи немного (проверено: август 2026). Это не повод расслабляться – скорее наоборот: первые резонансные дела обычно строятся на самых очевидных и легко доказуемых эпизодах, а переписка с продавцом базы в мессенджере – именно такой эпизод.

Возбуждают такие дела по заявлению пострадавшего физлица (человека, чьи данные оказались в проданной базе и который узнал об этом, например, по звонку от вашего отдела продаж), а также по материалам, которые МВД и Роскомнадзор получают при расследовании самих утечек – когда правоохранители устанавливают продавца базы, они по цепочке видят и её покупателей. Именно поэтому покупка “оптом” у одного и того же продавца несёт кумулятивный риск: чем больше клиентов у продавца слитой базы, тем выше шанс, что дело против него откроет и всю цепочку покупателей.

Санкции по частям статьи: от штрафа до 10 лет колонии

Для типовой ситуации с покупкой базы лидов для холодного обзвона чаще всего применима часть 1, а при наличии отягчающих признаков – часть 3: если покупка совершена из корыстной заинтересованности (для отдела продаж это почти всегда так – база нужна для заработка), причинила крупный ущерб (свыше 1 млн руб. – это порог из примечания к ст. 272 УК, на которое ссылается и 272.1 (проверено: август 2026)) либо куплена группой лиц (например, маркетолог и его руководитель договорились вместе) или с использованием служебного положения (директор, который распорядился о покупке в рамках своих полномочий).

Отдельно статья наказывает создание и обеспечение функционирования информационных ресурсов (сайтов, ботов, каналов), которые предназначены именно для незаконного хранения или распространения баз с персональными данными – это ближе к организаторам площадок вроде теневых “пробивных” ботов, чем к обычному покупателю (проверено: август 2026). Но если компания сама ведёт внутреннюю базу купленных контактов и системно её пополняет из сомнительных источников, риск попасть под более тяжёлую квалификацию растёт.

Чем уголовная ответственность отличается от штрафа по 152-ФЗ

Это два разных механизма, и они не исключают друг друга. Компания может получить административный штраф по ст. 13.11 КоАП РФ за нарушение правил обработки ПДн – штрафы для юрлиц по этой статье доходят до 500 000 руб. за первое нарушение и до 15 000 000 руб. за повторное по ряду составов (подробный разбор сумм – в статье о штрафах по 152-ФЗ в 2026 году) (проверено: август 2026). Одновременно с этим конкретный сотрудник, который лично покупал и использовал именно “слитую” базу – работал с данными заведомо незаконного происхождения, – рискует получить уголовное дело по ст. 272.1 УК РФ.

Разница принципиальная: административный штраф – это ответственность организации, её можно заложить в бюджет как риск. Уголовная статья – это личная ответственность физлица: судимость, ограничение права занимать определённые должности, реальный или условный срок. Директор, который сказал “найдите базу и обзвоните”, отвечает не как компания, а как гражданин Иванов – лично.

Как понять, что база лидов “палёная”

На практике маркетологи сталкиваются с несколькими типовыми предложениями “готовых баз”: выгрузки из CRM закрывшихся компаний, списки “заинтересованных в обучении” без указания, откуда взят интерес, базы номеров из телеком-операторов и банков (классический “пробив”), а также демпинговые предложения в духе “10 000 контактов онлайн-школ за 3000 рублей”. В каждом из этих случаев цепочка согласия физлица на передачу данных именно вам разорвана, и формально вы получаете компьютерную информацию, содержащую персональные данные, из источника, который не может подтвердить законность их сбора.

Отдельный тревожный сигнал – когда продавец настаивает на анонимной оплате и просит не упоминать происхождение базы в переписке. Это не техническая деталь, а прямое доказательство того, что обе стороны сделки понимают: данные получены незаконно. Именно переписка такого рода чаще всего становится доказательной базой в подобных делах.

Что делать, если база для обзвона уже куплена

Первый шаг – технический: остановить любую дальнейшую обработку сомнительной базы, удалить её из CRM и систем автообзвона, чтобы не накапливать новые эпизоды использования. Второй шаг – зафиксировать всё, что есть: скриншоты переписки с продавцом, реквизиты платежа, файл базы в исходном виде. Это не признание вины, а фиксация фактов, которая пригодится и для юридической защиты, и для внутреннего разбирательства – кто именно в компании принял решение о покупке.

Третий шаг – оценить масштаб: сколько контактов из базы уже обзвонили, поступали ли жалобы от физлиц, была ли база передана третьим лицам (например, партнёрскому колл-центру). Каждый такой факт – отдельный эпизод использования или передачи, а значит, отдельный кирпичик в квалификации дела. Дальше имеет смысл разобраться с юристом, нужно ли уведомлять Роскомнадзор, и как выстроить защиту, если дело всё же дойдёт до проверки или доследственных мероприятий.

Если утечка произошла в обратную сторону – слили не вы, а из вашей базы – порядок действий другой, он подробно разобран в статье о том, что делать при утечке персональных данных.

Как собирать лидов легально и не попасть под статью

Разница между покупкой “готовой базы” и работой с рекламными площадками (таргет, контекст, лид-магниты) в том, что во втором случае согласие физлица берётся именно на передачу данных вашей компании – и это фиксируется документально у площадки. Если вы работаете с партнёрами по трафику, важно закрепить в договоре, что партнёр гарантирует законность сбора согласий и несёт ответственность за это перед вами – это не снимает риск полностью, но создаёт документальную позицию для защиты.

Для отдела продаж имеет смысл ввести простое правило: любая “готовая база” контактов, которую предлагают купить в обход стандартных рекламных каналов, требует согласования с юристом до оплаты – не после. Это тот случай, когда пять минут проверки экономят компании и конкретным сотрудникам годы разбирательств.

Отдельно стоит продумать хранение уже накопленной базы собственных лидов: даже легально собранные контакты нужно защищать так, чтобы самим не стать источником утечки для кого-то другого. Ответственный за обработку персональных данных в компании обязан вести учёт таких баз и контролировать доступ к ним – как это оформить правильно, разобрано в статье про ответственного за обработку персональных данных.

Не хотите разбираться в 152-ФЗ сами?

Проверим документы и подготовим к проверке Роскомнадзора.

Оставить заявку ->

Статья подготовлена на основе законодательства РФ на август 2026 года. Для консультации по вашему случаю обратитесь к специалисту.