Закон 152-ФЗ о персональных данных: основные требования

Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» — один из самых жёстких регуляторов цифровой экономики России. За почти двадцать лет действия закон прошёл несколько волн ужесточения: введение требования о локализации в 2014–2015 годах, переход к обязательному уведомлению Роскомнадзора практически для всех операторов в 2022 году, режим 24-часового уведомления об инцидентах с того же года, введение оборотных штрафов за повторные утечки персональных данных с 2025 года. Сегодня 152-ФЗ — это не декларативный документ, а правовая среда, требующая системного отношения от каждой организации, обрабатывающей сведения о физических лицах.

Настоящая статья — навигатор по 152-ФЗ для практикующего юриста и руководителя бизнеса, работающего с данными. Мы последовательно разберём понятийный аппарат, принципы и условия обработки, права субъектов и обязанности оператора, режим согласий, локализацию и трансграничную передачу, обязанности по уведомлению Роскомнадзора, меры защиты, ответственность за нарушения и ключевые позиции судебной практики.

Сфера действия и понятийный аппарат

Закон 152-ФЗ применяется к обработке персональных данных любыми лицами — государственными органами, муниципальными органами, юридическими и физическими лицами — с использованием средств автоматизации или без таких средств, если такая обработка соответствует характеру действий с персональными данными, совершаемых с использованием средств автоматизации. Статья 1 152-ФЗ устанавливает три исключения из сферы действия: обработка персональных данных физическими лицами исключительно для личных и семейных нужд, обработка персональных данных в архивных целях, обработка персональных данных, отнесённых к сведениям, составляющим государственную тайну.

Главное определение — персональные данные — формулируется максимально широко: любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу. Такая формулировка приводит к тому, что в категорию персональных данных попадает практически любая информация, позволяющая хотя бы косвенно идентифицировать конкретного человека — от фамилии и номера телефона до cookie-идентификаторов, IP-адресов в сочетании с иными данными, биометрических идентификаторов, геолокации, истории покупок.

Закон выделяет особые категории персональных данных, требующие усиленных оснований для обработки. К ним относятся специальные категории — расовая, национальная принадлежность, политические взгляды, религиозные или философские убеждения, состояние здоровья, интимная жизнь, — а также биометрические персональные данные, которые характеризуют физиологические и биологические особенности человека и могут быть использованы для установления его личности. Обработка таких категорий по умолчанию запрещена и допускается только в случаях, прямо перечисленных в статьях 10 и 11 закона.

Ключевые роли — оператор и лицо, осуществляющее обработку по поручению оператора (обработчик). Оператор — лицо, определяющее цели обработки персональных данных, состав обрабатываемых данных, действия, совершаемые с данными. Обработчик действует строго в рамках поручения оператора и не вправе самостоятельно определять цели. Если фактически лицо, формально называющее себя обработчиком, определяет цели обработки, оно автоматически приобретает статус оператора со всеми соответствующими обязанностями.

Принципы и условия обработки

Закон формулирует семь принципов обработки персональных данных в статье 5 152-ФЗ: законность и справедливость; ограничение обработки достижением конкретных, заранее определённых и законных целей; недопустимость объединения баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой; обработка только тех данных, которые отвечают целям обработки; адекватность, относимость и не избыточность по отношению к целям; точность, достаточность, актуальность; хранение в форме, позволяющей определить субъекта, не дольше, чем требуется для целей обработки.

Каждый из этих принципов имеет конкретное правоприменительное наполнение. Принцип конкретности цели запрещает формулировки типа «улучшение качества услуг» или «маркетинговые цели» без расшифровки. Принцип адекватности и неизбыточности означает, что нельзя собирать паспортные данные клиента для отправки рассылки или копию свидетельства о браке для оформления подписки. Принцип ограничения срока хранения требует от оператора иметь утверждённые сроки хранения по каждой категории данных и фактически уничтожать данные по истечении этих сроков — простое прекращение использования не освобождает от ответственности.

Обработка персональных данных допускается при наличии хотя бы одного из условий, перечисленных в статье 6 152-ФЗ. Самые распространённые — согласие субъекта; необходимость для исполнения договора, стороной которого является субъект; необходимость для осуществления прав и законных интересов оператора или третьих лиц; необходимость для выполнения обязанностей оператора, установленных законом. Согласие — наиболее очевидное, но не всегда оптимальное основание: оно может быть отозвано в любой момент, что не всегда удобно бизнесу. Поэтому грамотный юрист тщательно подбирает основание под конкретный поток данных.

Согласия: форма, содержание, юридические ловушки

Согласие на обработку персональных данных по общему правилу даётся в любой позволяющей подтвердить факт его получения форме. Статья 9 152-ФЗ описывает обязательное содержание письменного согласия: ФИО, адрес субъекта, реквизиты документа, удостоверяющего личность, ФИО (наименование) и адрес оператора (а также обработчика, если применимо), цель обработки, перечень обрабатываемых данных, перечень действий с данными, общее описание используемых способов обработки, срок действия согласия, способ отзыва, подпись субъекта. Письменная форма обязательна для специальных категорий, биометрии, а также для передачи данных третьим лицам в маркетинговых целях.

Для обработки общедоступных персональных данных — то есть данных, которые субъект сам разместил в открытом доступе, — с 1 марта 2021 года действует особый режим: требуется согласие на распространение, оформляемое отдельным документом и подаваемое через информационную систему Роскомнадзора. Это правило фундаментально изменило практику работы с публичными профилями в социальных сетях и иных открытых источниках; согласие, полученное при регистрации, перестало автоматически распространяться на использование данных за пределами конкретной платформы.

Типичные ошибки при оформлении согласий: использование пред-проставленных галочек (запрещено судебной практикой и Роскомнадзором); объединение разных целей обработки в одно согласие без возможности раздельного согласия по каждой цели; включение в согласие условий, ставящих субъекта в положение «дать согласие или отказаться от услуги», когда такая обусловленность не оправдана природой услуги; отсутствие чёткого механизма отзыва; неуказание срока действия согласия. Любая из этих ошибок при проверке Роскомнадзора квалифицируется как обработка без законного основания — со всеми соответствующими санкциями.

Локализация: ключевое отличие российского режима

Требование о локализации появилось в части 5 статьи 18 152-ФЗ в 2014 году и стало едва ли не самым обсуждаемым нововведением закона. Норма обязывает оператора при сборе персональных данных, в том числе через сеть «Интернет», обеспечить запись, систематизацию, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации. Иными словами, первичная обработка должна вестись в российских базах данных, а вторичная (анализ, передача в иностранные системы) допускается с учётом ограничений на трансграничную передачу.

Норма распространяется на оператора независимо от его географической прописки. Иностранная компания, собирающая через свой сайт данные российских граждан, обязана развернуть локализационную инфраструктуру в России — самостоятельно или через российского обработчика. Известные случаи блокировки иностранных сервисов Роскомнадзором (LinkedIn в 2016 году) показали, что регулятор готов применять жёсткие меры за неисполнение требования о локализации.

Практическое решение для большинства бизнесов — заключение договора с российским облачным провайдером и размещение первичной базы данных в российском дата-центре. После этого синхронизированные копии (зеркала) могут размещаться за рубежом, но первичная запись данных должна происходить в России. Письмо Минкомсвязи России от 29.12.2015 № П11-7549-ОГ разъясняет, что требование о локализации распространяется именно на физическое местонахождение баз данных, а не на национальность производителя ПО.

Трансграничная передача данных

Трансграничная передача регулируется статьёй 12 152-ФЗ и с 2023 года обставлена существенными ограничениями. Перед началом трансграничной передачи оператор обязан уведомить Роскомнадзор в специальной форме — это требование распространяется на передачу в любые иностранные государства, независимо от уровня их защиты. Передача в государства, не обеспечивающие адекватной защиты, дополнительно требует получения уведомления Роскомнадзором, и регулятор вправе ограничить или запретить такую передачу.

Перечень государств, обеспечивающих адекватную защиту, утверждается Роскомнадзором и включает страны, ратифицировавшие Конвенцию Совета Европы № 108 о защите физических лиц при автоматизированной обработке персональных данных, а также страны, признанные адекватными по результатам анализа их законодательства. По состоянию на 2025 год большинство западных государств, включая страны Евросоюза, формально находятся в этом перечне, однако правоприменительная практика существенно осложнилась из-за санкционных ограничений и ответных мер России.

Дополнительная сложность — статья 21 152-ФЗ требует от оператора прекратить трансграничную передачу при получении сведений о факте нарушения прав субъектов персональных данных в государстве, куда передаются данные. Практически это означает, что оператор должен постоянно мониторить состояние защиты данных в принимающих странах — задача, выполнимая только при наличии профильной юридической поддержки.

Уведомление Роскомнадзора: реестр операторов

С 1 сентября 2022 года статья 22 152-ФЗ обязывает уведомлять Роскомнадзор о намерении осуществлять обработку персональных данных всех операторов, кроме узкого закрытого списка исключений. До 2022 года исключений было больше, и многие организации работали с данными без формального включения в реестр операторов. После реформы такая возможность практически исчезла: даже обработка данных работников в рамках кадрового учёта формально требует уведомления, хотя из этого правила есть исключения.

Сохранившиеся исключения включают: обработку только в целях трудовых отношений с работниками, при условии что данные не передаются третьим лицам без согласия и не размещаются в открытом доступе; обработку, полученной в связи с заключением договора, без передачи данных третьим лицам; обработку без использования средств автоматизации; обработку в соответствии с законодательством о транспортной безопасности. Однако формулировки этих исключений составлены так, что любая значимая деятельность бизнеса (маркетинг, аналитика, передача данных подрядчикам) выводит организацию из режима исключений и обязывает уведомить Роскомнадзор.

Уведомление подаётся через электронный сервис Роскомнадзора с использованием квалифицированной электронной подписи. После регистрации сведения об операторе становятся общедоступными в Реестре операторов, осуществляющих обработку персональных данных. Внесение изменений в реестр (изменение целей обработки, перечня данных, перечня лиц, осуществляющих обработку) производится в порядке, аналогичном первичному уведомлению, в течение 15 рабочих дней с момента изменения соответствующих сведений.

Уведомление об инцидентах: режим 24/72 часа

С 1 сентября 2022 года в статью 21 152-ФЗ внесены ключевые поправки, установившие двухступенчатый режим уведомления об инцидентах. В течение 24 часов с момента выявления инцидента, повлёкшего неправомерную или случайную передачу персональных данных, оператор уведомляет Роскомнадзор о произошедшем инциденте, его предполагаемых причинах, лице, уполномоченном на взаимодействие, и принятых мерах. В течение 72 часов с момента выявления оператор предоставляет результаты внутреннего расследования и идентифицирует лиц, чьи действия привели к инциденту.

Форма уведомления и порядок взаимодействия с Роскомнадзором утверждены приказом Роскомнадзора. Уведомление направляется через специальный электронный сервис; повторное уведомление за тот же инцидент не требуется, но дополнения и уточнения подаются в порядке, аналогичном основному уведомлению. Особое внимание Роскомнадзор уделяет полноте уведомления: указание только факта инцидента без описания затронутых данных и принятых мер квалифицируется как ненадлежащее уведомление с соответствующими административными последствиями.

Параллельно оператор обязан уведомлять Государственную систему обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации (ГосСОПКА), если инцидент квалифицируется как компьютерный — то есть, как правило, при любых утечках в результате внешних атак, неправомерного доступа или вредоносного программного обеспечения. Сроки уведомления ГосСОПКА регулируются отдельным законодательством и должны учитываться оператором параллельно с 152-ФЗ.

Меры защиты: 1119 и ФСТЭК № 21

Технические и организационные меры защиты раскрыты в двух подзаконных актах: постановлении Правительства РФ от 01.11.2012 № 1119 и в приказе ФСТЭК России от 18.02.2013 № 21. Постановление № 1119 устанавливает четыре уровня защищённости персональных данных (УЗ-1 — самый высокий, УЗ-4 — самый низкий). Уровень определяется типом обрабатываемых данных, количеством субъектов и категорией актуальных угроз (внутренние, внешние, угрозы 1-го, 2-го или 3-го типа). Определение уровня защищённости — обязательное действие каждого оператора, оформляется внутренним актом и подлежит периодическому пересмотру.

Приказ ФСТЭК № 21 детализирует перечень мер, обязательных для каждого уровня защищённости. Меры структурированы по группам: идентификация и аутентификация субъектов и объектов доступа; управление доступом субъектов к объектам; ограничение программной среды; защита машинных носителей информации; регистрация событий безопасности; антивирусная защита; обнаружение и предотвращение вторжений; контроль и анализ защищённости; обеспечение целостности; обеспечение доступности; защита среды виртуализации; защита технических средств; защита информационной системы и её компонентов; управление конфигурацией. Конкретный набор мер для каждого уровня защищённости приведён в приложении к приказу.

Использование сертифицированных средств защиты информации не является обязательным во всех случаях, но необходимо при обработке в государственных информационных системах, а также при определённых сочетаниях типа угроз и уровня защищённости. На практике серьёзные операторы — банки, страховые компании, телеком, государственные структуры — используют сертифицированные ФСТЭК средства защиты по умолчанию, что снижает риски при проверках регулятора.

Права субъектов персональных данных

Глава 3 152-ФЗ закрепляет права субъектов персональных данных. Базовое право — получать информацию о своих персональных данных, обрабатываемых оператором. Статья 14 152-ФЗ обязывает оператора предоставлять субъекту по его запросу сведения о наличии его персональных данных, а также возможность ознакомления с ними; о цели и сроках обработки; о наименовании и месте нахождения оператора; о лицах, имеющих доступ к данным; о юридических последствиях обработки.

Срок ответа на запрос субъекта — 10 рабочих дней с момента получения запроса. Этот срок строго контролируется Роскомнадзором: его нарушение является самостоятельным составом административного правонарушения. На практике крупные операторы создают специализированные группы по работе с запросами субъектов, поскольку при значительных объёмах трафика обработка запросов вручную невозможна.

Помимо права на информацию, субъекты вправе требовать уточнения, блокирования или уничтожения данных, если данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки. Особый статус имеет право на отзыв согласия: согласие может быть отозвано в любое время путём направления оператору письменного заявления. После отзыва оператор обязан прекратить обработку и уничтожить данные, если иное основание для обработки не сохраняется.

Право на возмещение убытков и компенсацию морального вреда субъекту, причинённых нарушением 152-ФЗ, закреплено в статье 17 152-ФЗ. Размеры компенсаций морального вреда в практике судов растут: если в 2010-х годах суды присуждали 1000–5000 рублей за факт утечки, то в 2024–2025 годах распространены решения о компенсации в 30 000–100 000 рублей по индивидуальному иску. Коллективные иски пока не получили широкого распространения, но прецеденты есть.

Ответственность за нарушения

Административная ответственность установлена статьёй 13.11 КоАП РФ и поэтапно ужесточалась с 2017 года. В редакции 2025 года статья содержит ряд составов с различными санкциями. За обработку персональных данных без законных оснований штраф для юридических лиц составляет от 60 000 до 100 000 рублей, при повторном нарушении — от 100 000 до 300 000 рублей. За обработку без письменного согласия, когда оно требуется законом, штраф для юридических лиц — от 700 000 до 1 500 000 рублей, повторно — от 1 000 000 до 1 500 000 рублей.

Наиболее жёсткие санкции связаны с инцидентами безопасности. За утечку, повлёкшую неправомерную передачу персональных данных, штраф для юридических лиц составляет от 3 000 000 до 15 000 000 рублей (в зависимости от объёма утечки); при повторной утечке — оборотный штраф от 1 до 3 процентов годовой выручки оператора, но не менее установленного минимума и не более 500 000 000 рублей. За неуведомление Роскомнадзора об инциденте в 24-часовой срок установлен отдельный штраф для юридических лиц от 1 000 000 до 3 000 000 рублей.

Уголовная ответственность возможна в исключительных случаях. Статья 137 УК РФ предусматривает наказание за незаконное собирание или распространение сведений о частной жизни лица, составляющих его личную или семейную тайну, без его согласия — штраф до 200 000 рублей либо лишение свободы на срок до двух лет. На практике уголовные дела по статье 137 УК РФ возбуждаются редко и связаны, как правило, с действиями сотрудников банков, операторов связи или иных лиц, имевших доступ к чувствительным данным.

Гражданско-правовая ответственность вытекает из общих норм Гражданского кодекса РФ. По требованию субъекта о возмещении убытков и компенсации морального вреда применяются статьи 15 и 151 ГК РФ. Доказывание убытков остаётся непростой задачей: субъект должен подтвердить размер и причинно-следственную связь с нарушением. Компенсация морального вреда присуждается при доказанности самого факта нарушения и нравственных страданий субъекта.

Судебная практика

Ключевой ориентир — позиции Верховного Суда Российской Федерации. Применимы общие подходы Пленума ВС РФ № 25 от 23.06.2015 о применении общих положений ГК РФ — в части добросовестности участников оборота, недопустимости злоупотребления правом, толкования договорных условий. Применительно к персональным данным эти принципы означают, что согласие, полученное в условиях, ущемляющих права субъекта (например, при отсутствии реальной возможности отказаться), может быть признано недействительным.

Конституционный Суд Российской Федерации неоднократно подтверждал приоритет защиты персональных данных как элемента права на неприкосновенность частной жизни (статья 23 Конституции Российской Федерации). Постановление КС РФ от 26.10.2017 № 25-П и иные акты закрепляют, что любое ограничение права на защиту персональных данных должно быть обусловлено конкретной законной целью, соразмерно ей и не должно лишать субъекта возможности контролировать обработку своих данных.

Среди обзоров судебной практики профильное значение имеет Обзор практики, утверждённый Президиумом Верховного Суда Российской Федерации, в котором собраны позиции о квалификации различных видов информации как персональных данных, об основаниях ответственности оператора и о размерах компенсаций морального вреда. Документ остаётся актуальным руководством для нижестоящих судов и для практикующих юристов.

Среди значимых тенденций последних лет — устойчивая практика взыскания компенсации морального вреда с операторов, допустивших утечки. Размер компенсаций варьируется от 10 000 до 100 000 рублей по индивидуальным искам; при коллективных нарушениях размер увеличивается. См., например, обзор судебных решений, доступный через ресурс «Судебные акты Российской Федерации».

Практические рекомендации

Грамотная архитектура соответствия 152-ФЗ начинается не с написания политики, а с инвентаризации потоков данных. Юрист должен составить карту: какие данные обрабатываются, в каких системах, с какими целями, на каких основаниях, кому передаются, где хранятся, сколько хранятся, как удаляются. На основе этой карты строится политика обработки, набор согласий, перечень мер защиты, регламент работы с запросами субъектов, регламент реагирования на инциденты, договоры с обработчиками и DPA.

Обязательный минимум локальных документов оператора включает: политику обработки персональных данных (опубликованную на сайте); приказ о назначении лица, ответственного за организацию обработки; регламент реагирования на запросы субъектов; регламент уведомления об инцидентах с привязкой к срокам 152-ФЗ; перечень мер защиты с указанием уровня защищённости; журнал учёта обращений субъектов; договоры с обработчиками (DPA); инструкции для работников, имеющих доступ к данным; обязательства работников о неразглашении; согласия субъектов в утверждённых формах. Для каждой существенной информационной системы — модель угроз и техническое задание на систему защиты.

Регулярный аудит соответствия — обязательная практика. Внутренний аудит должен проводиться не реже одного раза в год с привлечением профильных специалистов (юриста по персональным данным, специалиста по информационной безопасности); внешний аудит — при существенных изменениях в обработке (запуск нового продукта, выход на новый рынок, заключение крупного договора с обработчиком), при подготовке к проверке Роскомнадзора, при покупке или продаже бизнеса. Документально оформленный аудит является сильным доказательством добросовестности оператора в случае проверки или судебного спора.

Заключение

Закон 152-ФЗ — это не статичный документ, а живая правовая среда, которая за двадцать лет существенно ужесточилась. Современные требования — локализация, 24-часовой режим уведомления об инцидентах, оборотные штрафы, обязательная регистрация в реестре Роскомнадзора — требуют от каждого оператора системного подхода: инвентаризации данных, грамотной архитектуры локальных документов, налаженных регламентов, регулярных аудитов. Цена несоответствия — административные штрафы в десятки и сотни миллионов рублей, гражданские иски субъектов, репутационный ущерб. Цена грамотного соответствия — несколько месяцев работы юриста и специалиста по информационной безопасности и затем — относительно небольшая постоянная нагрузка на поддержание системы. Эта работа всегда окупается; вопрос только в том, когда — до первой проверки или после неё. Полный текст закона доступен в официальном источнике.