Федеральный закон № 152-ФЗ «О персональных данных»: как устроена правовая защита данных граждан России

Закон принят 27 июля 2006 года, вступил в силу 26 января 2007 года. Последняя редакция — ФЗ-265 от 26 июля 2026 года. За неполные двадцать лет документ претерпел более 30 изменений: каждая поправка реагировала на новые угрозы — от массовых утечек до трансграничной передачи данных в «небезопасные» юрисдикции.

Правовая основа. Закон опирается на две конституционные нормы: статья 23 Конституции РФ гарантирует неприкосновенность частной жизни, статья 24 запрещает сбор и хранение информации о частной жизни без согласия человека. Международный стандарт — Конвенция Совета Европы № 108 об автоматизированной обработке личных данных — задаёт критерии «адекватной защиты» для трансграничного обмена.

Структура. Закон состоит из 6 глав и 25 статей:

• Глава 1 — общие положения и понятийный аппарат (ст. 1–3);
• Глава 2 — принципы и основания обработки ПД (ст. 4–12);
• Глава 3 — права субъекта персональных данных (ст. 13–17);
• Глава 4 — обязанности оператора (ст. 18–22.1);
• Глава 5 — Роскомнадзор как уполномоченный орган (ст. 23);
• Глава 6 — ответственность и заключительные положения (ст. 24–25).

Кто под законом. Требования распространяются на всех, кто обрабатывает персональные данные граждан РФ с использованием средств автоматизации: государственные органы, организации, ИП и физические лица. Исключения — обработка исключительно для личных и семейных нужд, сведения, составляющие государственную тайну, архивные фонды.

Надзор. Главный регулятор — Роскомнадзор (Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций, rkn.gov.ru). Технический надзор за информационными системами персональных данных (ИСПД) ведёт ФСТЭК России, криптографическую защиту каналов передачи контролирует ФСБ.

В статье последовательно разберём: что закон считает персональными данными, как устроен механизм их обработки, какие права есть у граждан, что грозит нарушителям и как ФЗ-152 изменился с 2006 по 2026 год.

Что такое персональные данные по российскому закону

Статья 3 пункт 1 ФЗ-152 даёт лаконичное, но ёмкое определение: персональные данные — это любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных).

Ключевое слово — «косвенно». Данные не обязаны называть имя напрямую, чтобы стать персональными. Достаточно, что они в совокупности позволяют установить личность человека. IP-адрес сам по себе может не идентифицировать никого конкретно, но в связке с именем пользователя и временем входа — это уже персональные данные.

Практический критерий: задайте вопрос — «позволяет ли эта информация, самостоятельно или вместе с другими данными, установить конкретного человека?». Если ответ «да» — вы работаете с персональными данными и обязаны соблюдать требования закона.

Важно понимать: ФЗ-152 защищает сведения только о физических лицах — гражданах, иностранцах, лицах без гражданства. Информация о юридических лицах под действие закона не подпадает. ООО «Ромашка» не является субъектом персональных данных, а вот генеральный директор Иван Петров, чьи ФИО и должность упомянуты в договорах компании, таковым является.

Закон выделяет несколько категорий персональных данных в зависимости от степени чувствительности и режима обработки. Их рассмотрим подробнее в следующих подразделах.

Таблица: что входит в персональные данные, а что — нет

Понять, с чем именно приходится работать оператору, помогает простое разграничение.

Отдельного внимания заслуживают IP-адрес и cookies: сами по себе они не всегда идентифицируют конкретного человека, но в связке с данными аккаунта, историей браузера или пользовательским профилем становятся персональными. Именно поэтому сайты обязаны уведомлять пользователей об использовании cookies и получать согласие на их обработку.

Быстрая самопроверка для оператора: если данные позволяют позвонить, написать или разыскать человека — они персональные.

Три категории персональных данных: общие, специальные и биометрические

Не все персональные данные одинаково чувствительны. Закон выстраивает иерархию с разными требованиями к защите.

Специальные категории (ст. 10). Обрабатывать сведения о здоровье, расе или религиозных убеждениях по умолчанию запрещено. Разрешение даётся строго в рамках 10 исключений: явное письменное согласие субъекта; медицинские цели (диагностика, лечение); нормы трудового законодательства; деятельность религиозных организаций в отношении своих членов; судопроизводство и исполнение судебных актов; защита жизни субъекта, если согласие получить физически невозможно, и ряд других. Нарушение этого запрета — уголовная ответственность или максимальный административный штраф.

Биометрические данные (ст. 11). Обработка возможна только на основании письменного согласия. Исключения — требования государственной безопасности, обязательная дактилоскопическая регистрация, транспортная безопасность. Ключевая гарантия закреплена в ст. 11 ч. 3: оператор не вправе отказать гражданину в обслуживании только потому, что тот отказывается предоставить биометрические данные. Банк не может закрыть клиенту доступ к счёту из-за нежелания проходить биометрическую верификацию.

Данные, разрешённые для распространения (ст. 10.1). Отдельный режим для информации, которую субъект готов сделать публичной. Согласие должно быть специальным — явным и конкретным. Статья 10.1 часть 8 прямо указывает: отсутствие возражений не означает согласия, молчание или бездействие не равнозначно согласию.

Принципы и правовые основания обработки персональных данных

Само слово «обработка» охватывает значительно больше действий, чем принято думать. Статья 3 пункт 3 ФЗ-152 перечисляет 13 операций, составляющих понятие обработки: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.

Это означает: если вы занесли клиентский e-mail в CRM, скопировали его в таблицу, отправили коллеге, а потом удалили — каждое из этих действий является обработкой персональных данных и подпадает под требования закона о защите персональных данных.

Обработка считается законной, если одновременно соблюдены два условия: принципы ст. 5 и хотя бы одно из оснований ст. 6. Нарушение любого из этих условий делает обработку незаконной — даже при наличии согласия субъекта.

Шесть принципов обработки — обязательный стандарт для операторов (ст. 5)

Принципы обработки — не рекомендации, а обязательные требования. Нарушение любого из них образует состав административного правонарушения по ст. 13.11 КоАП.

1. Законность и справедливость. Обработка допустима только при наличии правового основания — согласия или нормы закона. Нельзя хранить данные клиентов «на всякий случай», без цели и без основания.

1. Целевое ограничение. Персональные данные собираются только для заранее определённых, конкретных и правомерных целей. Нельзя использовать адрес доставки клиента для последующих рекламных рассылок без отдельного согласия.

1. Минимизация данных. Объём собираемых ПД должен соответствовать цели обработки — не больше и не меньше. Интернет-магазин не вправе требовать от покупателя национальность или политические взгляды при оформлении заказа.

1. Точность. Данные должны быть достоверными и актуальными. Оператор обязан принимать меры по обновлению устаревшей информации или удалению недостоверной по запросу субъекта.

1. Ограничение хранения. Персональные данные хранятся не дольше, чем необходимо для достижения цели обработки. Достигнута цель — данные уничтожаются в течение 30 дней.

1. Запрет объединения несовместимых баз. Нельзя совмещать базы данных, обрабатываемые для несовместимых целей. Медицинская карта пациента не может автоматически пополнять маркетинговую CRM без отдельного правового основания.

Практическое правило: перед запуском любой новой системы обработки ПД задайте три вопроса — зачем собираем? сколько нужно? когда удалим? Ответы на них должны быть зафиксированы в политике обработки персональных данных.

Одиннадцать оснований для законной обработки без дополнительного согласия (ст. 6)

Главное заблуждение о законе: считается, что для любой обработки персональных данных нужно согласие субъекта. На деле согласие — лишь первое из 11 оснований, закреплённых в ст. 6 ч. 1 ФЗ-152.

1. Согласие субъекта — добровольное, конкретное, информированное (ст. 9).
2. Международный договор или закон — обработка прямо предусмотрена нормативным актом.
3. Исполнение функций государственного органа — предусмотрено законодательством РФ.
4. Осуществление правосудия — судопроизводство, исполнение судебного акта.
5. Исполнение полномочий органов исполнительной власти — по нормативным актам.
6. Исполнение договора с субъектом — договор, в котором субъект является стороной или выгодоприобретателем. Именно это основание позволяет работодателю обрабатывать ПД сотрудника без отдельного согласия — в рамках трудового договора.
7. Защита жизни, здоровья или иных жизненно важных интересов субъекта или других лиц, если получить согласие невозможно.
8. Законные интересы оператора или третьих лиц — при условии, что они не превышают прав субъекта. Банк анализирует транзакционные данные для предотвращения мошенничества без согласия клиента, но на законном основании.
9. Профессиональная деятельность журналиста, СМИ или научная деятельность — если права субъекта при этом не нарушаются.
10. Статистика и иные исследовательские цели — при условии обязательного обезличивания данных.
11. Обязательное опубликование — если ПД должны быть раскрыты по закону (сведения о государственных закупках, реестры и пр.).

Практические примеры. СНТ обрабатывает ФИО и адреса участков членов товарищества на основании пп. 5 и 6 — без согласия каждого члена. Банк хранит историю платежей клиента на основании пп. 6 и 2 (ФЗ «О банках и банковской деятельности»). Согласие требуется, только когда ни одно из других десяти оснований не применимо.

Согласие субъекта на обработку персональных данных: когда нужно и как оформить

Когда другие основания из ст. 6 не подходят, оператор обращается к согласию субъекта. Статья 9 ФЗ-152 устанавливает пять обязательных характеристик: согласие должно быть конкретным (на определённую цель), предметным (указывать конкретные данные), информированным (субъект понимает, что происходит с его данными), сознательным (без принуждения) и однозначным (без двоякой трактовки).

Закон допускает три формы согласия:

• Любая форма — для обработки общих персональных данных, если иное не предусмотрено.
• Письменная — обязательна для специальных категорий ПД (здоровье, раса, убеждения) и биометрии.
• Электронная с электронной подписью (ЭП) — юридически приравнивается к письменной.

Бремя доказывания наличия согласия лежит на операторе: именно он должен доказать, что субъект его дал. Если согласие не сохранено — считается, что его не было.

Девять обязательных элементов письменного согласия — чек-лист по ст. 9 ч. 4

Письменное согласие признаётся недействительным, если в нём отсутствует хотя бы один из девяти обязательных элементов, предусмотренных ст. 9 ч. 4 ФЗ-152. Используйте этот чек-лист при разработке собственной формы.

1. ФИО, адрес и реквизиты документа, удостоверяющего личность субъекта — позволяют однозначно идентифицировать лицо, давшее согласие.
2. ФИО, адрес и реквизиты документа представителя (если согласие подписывает законный представитель) с указанием документа, подтверждающего полномочия.
3. Наименование или ФИО и адрес оператора — юридическое лицо или ИП, обрабатывающий данные.
4. Цель обработки персональных данных — конкретно и однозначно, без расплывчатых формулировок вроде «в маркетинговых целях».
5. Перечень персональных данных, на обработку которых даётся согласие.
6. Наименование или ФИО и адрес лица, осуществляющего обработку по поручению оператора (если такое лицо привлечено).
7. Перечень действий с персональными данными: сбор, запись, хранение, передача и т.д.
8. Срок действия согласия и порядок его отзыва.
9. Подпись субъекта или его законного представителя.

Электронное согласие, подписанное квалифицированной или неквалифицированной ЭП, юридически равнозначно письменному. Простое проставление галочки на сайте без ЭП к письменной форме не относится — это согласие «в любой форме», достаточное лишь для общих ПД.

Как субъект может отозвать согласие и каковы последствия для оператора

Право на отзыв согласия закреплено в ст. 9 ч. 2 ФЗ-152. Гражданин вправе отозвать согласие в любой момент без объяснения причин.

Последствия для оператора. После получения отзыва оператор обязан:

• прекратить обработку персональных данных;
• уничтожить данные в течение 30 дней с момента отзыва, если иное не предусмотрено договором или законом.

Важные исключения. Отзыв согласия не влечёт автоматического прекращения обработки, если оператор может опереться на другое основание из ст. 6 пп. 2–11. Например, работодатель продолжает хранить ПД уволенного сотрудника в течение срока, предусмотренного трудовым законодательством, — независимо от отзыва согласия, поскольку основание — исполнение требований закона.

Порядок отзыва. Закон не устанавливает строгой формы: заявление подаётся письменно или в электронном виде. Оператор обязан подтвердить исполнение требования об уничтожении данных. Если оператор игнорирует отзыв — субъект вправе обратиться с жалобой в Роскомнадзор или подать иск в суд.

Обязанности оператора персональных данных по 152-ФЗ

Оператором персональных данных является любой государственный орган, муниципальный орган, юридическое лицо, ИП или физическое лицо, которые самостоятельно или совместно с другими организуют и осуществляют обработку персональных данных. Определение из ст. 3 п. 2 нарочно широкое: под него подпадают и федеральные ведомства, и небольшие интернет-магазины, и садовые товарищества.

Ключевая фигура в системе обязанностей — лицо, ответственное за организацию обработки персональных данных (ст. 22.1). Оператор обязан его назначить: принимать обращения субъектов, вести внутренний контроль, обеспечивать актуальность документации. В крупных организациях эту роль нередко берёт на себя специалист по информационной безопасности.

Хотите системно разобраться в требованиях ФЗ-152 и профессионально освоить инструменты защиты информационных систем? В ProfiFuture действует программа «Специалист по информационной безопасности» — онлайн-курс продолжительностью около 6 недель с господдержкой, стоимость от 24 480 ₽.

Кто является оператором: типы и практические примеры (включая СНТ)

На практике операторами персональных данных выступают организации и лица самого разного масштаба.

Государственные органы — ФНС, Социальный фонд России, Росреестр, поликлиники и больницы в статусе государственных учреждений. Обрабатывают ПД граждан в рамках своих полномочий на основании закона.

Юридические лица — банки, страховые компании, интернет-магазины, кадровые агентства, управляющие компании ЖКХ. Большинство коммерческих организаций, имеющих хотя бы одного сотрудника или покупателя, являются операторами.

Индивидуальные предприниматели — ИП с наёмными работниками или клиентской базой. Регулярно обрабатывают ПД через кассовые программы, CRM-системы и мессенджеры.

Кейс: СНТ как оператор. Садовое некоммерческое товарищество — классический пример, который часто упускают из виду. СНТ собирает и хранит ФИО членов, адреса участков, кадастровые номера, контактные телефоны, сведения о задолженности по взносам. Это полноценная обработка персональных данных. СНТ обязано уведомить Роскомнадзор, разработать и опубликовать политику обработки ПД, назначить ответственного. При этом согласие каждого члена не требуется: достаточно основания из ст. 6 п. 6 (договор с членом товарищества) или п. 5 (исполнение функций некоммерческой организации).

Кейс: работодатель. Трудовой договор, СНИЛС, ИНН, сведения о доходах, медицинские справки для оформления льгот — всё это ПД сотрудника. Работодатель вправе обрабатывать их в рамках трудового договора без отдельного согласия (ст. 6 п. 6). Согласие требуется, если работодатель, например, планирует публиковать фото сотрудника на сайте компании — это уже выходит за рамки трудовых отношений.

Кейс: интернет-магазин. Собирает имя, адрес доставки, e-mail, номер телефона, историю заказов, cookies для таргетинга. Для исполнения договора доставки — основание ст. 6 п. 6. Для ретаргетинга рекламой — нужно отдельное согласие.

Десять ключевых обязанностей оператора: таблица сроков и действий

Обязанности оператора рассредоточены по Главе 4 ФЗ-152. Ниже они сведены в единую таблицу с конкретными статьями и сроками.

Алгоритм при утечке. С 2024 года (ФЗ-519) действует чёткий двухступенчатый порядок уведомления об инцидентах. В течение 24 часов с момента обнаружения — первичное уведомление в Роскомнадзор: факт инцидента, предполагаемые причины, принятые меры по локализации. В течение 72 часов — результаты внутреннего расследования: установленные виновные, объём пострадавших данных, меры по предотвращению повторения. До ФЗ-519 сроки были размытыми, что порождало затягивание уведомлений на недели.

Важный нюанс: поручение обработки третьему лицу не снимает ответственности с оператора (ст. 6 ч. 5). Если подрядчик допустил утечку клиентских данных вашего магазина, административный иск будет предъявлен прежде всего вам как оператору.

Уведомление Роскомнадзора: кто обязан, как подать, что указать

По общему правилу ст. 22 ч. 1 ФЗ-152 оператор обязан уведомить Роскомнадзор до начала обработки персональных данных. Уведомление подаётся через официальный сайт rkn.gov.ru — электронно, с усиленной квалифицированной ЭП.

Кто освобождён от уведомления:

• операторы, обрабатывающие ПД исключительно без средств автоматизации (п. 8 ч. 2 ст. 22);
• операторы, обрабатывающие ПД сотрудников только в кадровых целях в рамках трудового законодательства (п. 1 ч. 2 ст. 22);
• операторы в сфере государственной тайны и транспортной безопасности.

Большинство коммерческих организаций, ведущих CRM, кадровые базы или принимающих онлайн-заказы, под исключения не подпадают.

Состав уведомления (ст. 22 ч. 3): наименование и адрес оператора; цель обработки; категории ПД; категории субъектов; порядок и условия обработки; меры безопасности; сведения о местонахождении баз данных — обязательный пункт с 2014 года.

После получения уведомления Роскомнадзор вносит оператора в реестр в течение 30 дней. Реестр публичен и доступен на rkn.gov.ru — любой может проверить, подала ли организация уведомление.

Права субъекта персональных данных: как гражданин защищает себя

Глава 3 ФЗ-152 посвящена правам субъекта — каждого гражданина, чьи данные кто-то обрабатывает. Закон закрепляет девять ключевых прав, образующих механизм активной защиты: от получения информации до требования уничтожения данных и взыскания компенсации.

Общий алгоритм реализации прав — трёхступенчатый:

1. Запрос оператору — письменно или электронно; оператор обязан ответить в установленный срок.
2. Жалоба в Роскомнадзор — если оператор не ответил или ответил отказом; бесплатно.
3. Иск в суд — если административный путь не дал результата или субъект хочет получить компенсацию морального вреда.

Права субъекта не зависят от гражданства: иностранные граждане и лица без гражданства, чьи ПД обрабатываются на территории РФ, пользуются теми же гарантиями.

Девять прав субъекта и механизм их реализации

Пора сменить профессию? Начните с понятного плана

Подберите программу под ваш опыт, цели и желаемый формат занятости

• Востребованные навыки без лишней теории.
• Поддержку экспертов на каждом этапе
• Помощь с выходом на рынок труда

Подобрать обучение

Несколько прав требуют отдельного пояснения.

Доступ (ст. 14). Субъект вправе получить: подтверждение факта обработки; перечень обрабатываемых данных; цель, сроки, источники получения, перечень получателей. Оператор обязан ответить в течение 10 рабочих дней — бесплатно.

Защита от профилирования (ст. 16). Если оператор принимает решения, влекущие юридические или иные значимые последствия, исключительно на основе автоматизированной обработки (кредитный скоринг, алгоритмический найм) — субъект вправе оспорить такое решение и требовать пересмотра с участием живого человека. Автоматизированные решения с правовыми последствиями допустимы только с прямого письменного согласия субъекта.

Возмещение морального вреда (ст. 17 ч. 2). Это право существует независимо от наличия имущественного ущерба. Если утечка ПД причинила психологические страдания, субъект вправе взыскать компенсацию в суде, даже если финансовые потери не подтверждены. На практике суды присуждают от 5 000 до 100 000 руб. в зависимости от тяжести нарушения.

Как подать запрос оператору и куда жаловаться при нарушениях

Запрос оператору. Субъект направляет запрос в произвольной форме — главное указать паспортные данные для идентификации, суть требования и способ получения ответа. Запрос подаётся лично, по почте или в электронном виде. Оператор обязан ответить в установленный срок или сообщить об отказе с мотивировкой.

Жалоба в Роскомнадзор. Подаётся через портал rkn.gov.ru — бесплатно. РКН рассматривает жалобу, при необходимости проводит проверку оператора и может выдать предписание или составить протокол об административном правонарушении.

Иск в суд. Подаётся в суд общей юрисдикции по месту нахождения оператора или жительства субъекта. Можно требовать прекращения обработки, уничтожения данных и возмещения морального вреда (ст. 17 ч. 2). Привлекать Роскомнадзор в качестве третьего лица необязательно — достаточно прямого иска к оператору.

Роскомнадзор в суде. Если нарушение затронуло неопределённый круг лиц, РКН вправе сам обратиться в суд в защиту прав субъектов (ст. 23 ч. 3 п. 5) — без поручения конкретного гражданина.

Особые режимы: специальные категории, биометрия и трансграничная передача

ФЗ-152 выделяет три зоны усиленного регулирования, где стандартных форм согласия и оснований недостаточно: специальные категории ПД (ст. 10), биометрические данные (ст. 11) и трансграничная передача (ст. 12). Во всех трёх случаях оператор несёт повышенную нагрузку доказывания, а роль Роскомнадзора в контроле ощутимо возрастает.

Общий признак особых режимов: данные либо особо чувствительны (здоровье, биометрия), либо рискуют покинуть российскую юрисдикцию и оказаться вне досягаемости российского права. В обоих случаях закон требует отдельного правового обоснования и письменного подтверждения.

Специальные и биометрические данные — когда разрешена обработка (ст. 10–11)

Специальные категории (ст. 10). К ним относятся: сведения о здоровье и медицинских диагнозах, расовая и национальная принадлежность, политические взгляды, религиозные убеждения, сексуальная жизнь, судимость. По умолчанию обработка таких данных запрещена. Исключения:

• явное письменное согласие субъекта;
• обработка медицинскими организациями в целях лечения или диагностики;
• нормы трудового законодательства (справки о нетрудоспособности, медицинские осмотры);
• деятельность религиозных организаций в отношении своих членов;
• судопроизводство и исполнение судебных актов;
• защита жизни при невозможности получить согласие;
• ещё четыре исключения, установленных ч. 2 ст. 10.

Биометрические данные (ст. 11). Обработка возможна только на основании письменного согласия. Без него — исключительно в случаях, прямо предусмотренных законами о государственной безопасности, дактилоскопической регистрации, транспортной безопасности. Ключевое правило ст. 11 ч. 3: оператор не вправе отказать гражданину в обслуживании, если тот отказывается предоставить биометрические данные. Банк не может закрыть клиенту доступ к счёту из-за отказа от Face ID.

Обезличенные данные о здоровье (ст. 10 ч. 2.1, ст. 13.1): допускаются для целей разработки и совершенствования систем искусственного интеллекта при соблюдении требований к обезличиванию. Это исключение отражает потребность ИИ-отрасли в медицинских датасетах.

Трансграничная передача персональных данных: порядок и основания для запрета

Трансграничная передача — любая передача ПД российских граждан за пределы России: хранение на иностранных серверах, передача данных зарубежному контрагенту, использование иностранных облачных сервисов для клиентских баз.

Двойное уведомление. Оператор обязан уведомить Роскомнадзор о намерении передать ПД за рубеж отдельно от общего уведомления об обработке (ст. 12 ч. 3). Роскомнадзор должен принять решение в течение 10 рабочих дней с возможным продлением ещё на 5 дней.

«Безопасные» страны. Перечень утверждает Роскомнадзор. В него входят государства, ратифицировавшие Конвенцию Совета Европы № 108 и обеспечивающие адекватный уровень защиты. Для передачи в такие страны достаточно уведомления РКН — отказ не выносится.

«Небезопасные» страны. Для государств, не вошедших в перечень, оператор ожидает решения Роскомнадзора. РКН может запретить передачу, если она угрожает конституционному строю, обороноспособности, экономической безопасности или культурному суверенитету России.

При запрете передачи оператор обязан потребовать от иностранного получателя уничтожить ранее переданные данные и документально подтвердить это уничтожение.

Важный нюанс для бизнеса: использование иностранных CRM, почтовых сервисов или облачных хранилищ, в которые попадают ПД граждан РФ, — это трансграничная передача. Она требует отдельной правовой оценки и, как правило, уведомления РКН.

Ответственность за нарушение 152-ФЗ: три уровня санкций

ФЗ-152 сам по себе не устанавливает конкретных штрафов — он лишь фиксирует, что нарушители несут ответственность в соответствии с российским законодательством (ст. 24). Реальные санкции сосредоточены в трёх независимых правовых источниках, которые могут применяться одновременно и к разным субъектам.

Административная ответственность — статья 13.11 КоАП РФ. Применяется к юридическим лицам, ИП и должностным лицам. Протоколы составляет Роскомнадзор самостоятельно. Штрафы от 1 000 руб. до 18 000 000 руб. в зависимости от вида нарушения и субъекта.

Уголовная ответственность — статья 137 УК РФ «Нарушение неприкосновенности частной жизни». Применяется к физическим лицам при доказанном умысле. До 5 лет лишения свободы.

Гражданская ответственность — ст. 24 ФЗ-152 в совокупности с нормами ГК РФ. Возмещение морального вреда и убытков в пользу субъекта ПД. Не зависит от результатов административного или уголовного дела.

Штрафы КоАП статья 13.11 — таблица актуальных размеров по видам нарушений

Статья 13.11 КоАП — основной инструмент Роскомнадзора. С 2022 года санкции существенно выросли, появились оборотные штрафы за повторные нарушения.

Ключевые акценты:

• Максимальный штраф для юридических лиц при повторном нарушении — 18 000 000 руб. Это оборотный штраф, введённый реформой 2022 года.
• Протоколы об административных правонарушениях составляет Роскомнадзор самостоятельно (ст. 23 ч. 3 п. 9) — без суда и без возбуждения уголовного дела.
• Срок давности привлечения к ответственности по нарушениям ч. 1–7 составляет 1 год (ст. 4.5 КоАП по специальной норме о персональных данных).

Уголовная ответственность по статье 137 УК РФ за нарушение тайны данных

Уголовная ответственность наступает, когда нарушение носит умышленный характер и затрагивает тайну частной жизни, а не просто процедурные требования к оператору.

Состав ст. 137 УК РФ — незаконный сбор или распространение сведений о частной жизни физического лица, составляющих его личную или семейную тайну, без его согласия либо распространение этих сведений в публичном выступлении, средствах массовой информации или информационной системе.

Три части статьи:

• Ч. 1 (базовый состав): штраф до 200 000 руб. или лишение свободы до 2 лет.
• Ч. 2 (через СМИ или информационные системы): штраф до 300 000 руб. или лишение свободы до 4 лет с лишением права занимать определённые должности.
• Ч. 3 (в отношении несовершеннолетнего): лишение свободы до 5 лет с дополнительными санкциями.

Отличие от КоАП. Уголовная ответственность требует доказанного умысла: нарушитель знал, что действует незаконно, и желал этого. Ошибочная настройка CRM с открытым доступом к базе — КоАП. Целенаправленная продажа клиентской базы конкуренту — УК. Роскомнадзор направляет материалы проверки в прокуратуру, когда признаки умысла очевидны (ст. 23 ч. 3 п. 7).

Гражданская ответственность: возмещение морального вреда субъекту (ст. 24)

Статья 24 ФЗ-152 закрепляет право субъекта на возмещение убытков и морального вреда, причинённых нарушением закона о персональных данных. Принципиальный момент: моральный вред возмещается независимо от наличия имущественного ущерба. Если утечка ПД не повлекла финансовых потерь, но причинила психологические страдания — субъект всё равно вправе требовать компенсацию.

Механизм — иск в суд общей юрисдикции по ст. 151, 1099–1101 ГК РФ. Истец доказывает факт нарушения и причинно-следственную связь между нарушением и страданиями. На практике суды присуждают от 5 000 до 100 000 руб. в зависимости от тяжести нарушения и обстоятельств дела. Иски, связанные с утечкой медицинских или биометрических данных, нередко получают более высокие суммы.

Изменения в законодательстве о персональных данных: от локализации до требований 2026 года

ФЗ-152 — живой документ. С момента принятия в 2006 году он менялся более 30 раз. Каждая крупная поправка отражала либо технологические изменения (облачные сервисы, биометрия, системы искусственного интеллекта), либо усиление государственного контроля над оборотом данных граждан. Актуальная редакция — ФЗ-265 от 26 июля 2026 года, и именно ею следует руководствоваться при проверке соответствия требованиям.

Ключевые поправки: локализация данных (2014), реформа 2022 и правило 24+72 часа (2024)

ФЗ-242 (2014) — локализация данных. Первая крупная реформа после принятия закона. С 2015 года операторы обязаны обеспечивать запись, систематизацию, накопление, хранение, уточнение и извлечение ПД граждан РФ на базах данных, физически расположенных в России (ст. 18.1 ч. 5). Требование распространяется и на иностранные компании, работающие с российскими пользователями. Нарушение требования локализации — основание для блокировки сайта Роскомнадзором. Именно по этой статье в разные годы блокировались крупные зарубежные платформы.

ФЗ-266 (2022) — масштабная реформа. Самая обширная поправка за всю историю закона:

• введены оборотные штрафы до 18 млн руб. за повторные нарушения;
• расширены требования к уведомлению РКН при трансграничной передаче;
• введено обязательное уведомление об утечках;
• добавлена ст. 10.1 о персональных данных, разрешённых для публичного распространения;
• создан реестр инцидентов в области персональных данных.

ФЗ-519 (2024) — правило 24+72 часа. Конкретизировал порядок уведомления об утечках. Оператор обязан: в течение 24 часов сообщить РКН о факте инцидента и принятых мерах; в течение 72 часов — предоставить результаты расследования. До ФЗ-519 сроки были размытыми, что порождало затягивание уведомлений на недели и месяцы.

ФЗ-121 и ФЗ-156 (2025). Уточнили полномочия Роскомнадзора в части реестра инцидентов и расширили обязанности операторов при использовании ИСПД с системами искусственного интеллекта.

ФЗ-265 (2026, актуальная редакция). Последнее по времени изменение уточняет режим обработки биометрических данных в государственных информационных системах и расширяет перечень исключений при обезличивании данных о здоровье для целей разработки систем ИИ.

Актуальный чек-лист соответствия для операторов в 2025–2026 году

Перед запуском новой системы обработки ПД или плановой проверкой внутреннего compliance — пройдите по каждому пункту.

• Политика обработки ПД опубликована — доступна на сайте оператора в разделе, видном без регистрации (ст. 18.1 ч. 2).
• Уведомление в Роскомнадзор подано до начала обработки; оператор числится в реестре на rkn.gov.ru.
• Ответственный за организацию обработки назначен — конкретное лицо, которое принимает запросы субъектов и ведёт внутренний контроль (ст. 22.1).
• Форма согласия содержит все 9 элементов по ст. 9 ч. 4 — особенно важно для специальных категорий.
• Базы данных граждан РФ физически расположены в России — подтверждается договором с дата-центром или российским облачным провайдером.
• Алгоритм реагирования на утечку прописан — назначены ответственные, определён порядок уведомления РКН в режиме 24+72 ч.
• Если данные передаются за рубеж — подано отдельное уведомление в Роскомнадзор по ст. 12.

В 2025–2026 годах Роскомнадзор усиливает плановые и внеплановые проверки операторов, не включённых в реестр. Риск получить штраф по ст. 13.11 КоАП при несоответствии хотя бы одному из пунктов — вполне реальный.

Роскомнадзор: надзорные функции и реестры в системе 152-ФЗ

Роскомнадзор — уполномоченный орган по защите прав субъектов персональных данных (ст. 23 ч. 1 ФЗ-152). Полное наименование: Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций. Сайт: rkn.gov.ru. Финансирование — из федерального бюджета.

Полномочия РКН в сфере персональных данных широки: ведение реестра операторов и реестра инцидентов, плановые и внеплановые проверки, блокировка сайтов нарушителей, составление административных протоколов, направление материалов в прокуратуру, обращения в суд в защиту прав граждан.

Роскомнадзор ежегодно отчитывается о результатах деятельности перед Президентом РФ, Правительством и Федеральным Собранием (ст. 23 ч. 7). В сфере технической защиты информационных систем действует ФСТЭК России — она контролирует уровни защищённости ИСПД (УЗ-1 — максимальный, УЗ-4 — базовый). Криптографическую защиту каналов передачи данных регулирует ФСБ.

Реестр операторов и реестр инцидентов: как проверить свой статус и данные об утечках

Реестр операторов персональных данных. Публичный и бесплатный. Роскомнадзор вносит оператора в реестр в течение 30 дней с момента получения уведомления. Любой гражданин может зайти на rkn.gov.ru, открыть раздел «Реестр операторов ПД» и проверить: включена ли организация в реестр, какие цели обработки указаны, есть ли трансграничная передача. Если организация ведёт обработку ПД, но в реестре не числится — это административное правонарушение по ст. 13.11 КоАП.

Реестр инцидентов (ст. 23 ч. 10). Введён с реформой 2022 года (ФЗ-266). В нём фиксируются утечки, о которых операторы уведомили РКН. Реестр позволяет субъекту проверить, был ли его оператор замечен в инцидентах безопасности.

Взаимодействие с ГосСОПКА. При инцидентах в государственных и критических информационных системах Роскомнадзор взаимодействует с Государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак (ГосСОПКА) — в соответствии со ст. 19 ч. 12 ФЗ-152. ФСТЭК отвечает за технический аудит уровней защищённости ИСПД, ФСБ — за применение сертифицированных криптографических средств при передаче персональных данных по каналам связи.

Часто задаваемые вопросы

Какой закон в России регулирует сбор и обработку персональных данных?

Основной документ — Федеральный закон № 152-ФЗ «О персональных данных» от 27.07.2006. Он распространяется на всех операторов: государственные органы, юридических лиц, ИП и физических лиц, работающих с ПД граждан РФ. Помимо ФЗ-152, применяются подзаконные акты Правительства и профильные нормы КоАП ст. 13.11 и УК ст. 137.

Что является персональными данными, а что нет?

Персональные данные — любая информация, позволяющая идентифицировать физическое лицо: ФИО, паспорт, СНИЛС, телефон, e-mail, IP-адрес, cookies. Не являются ПД: сведения о юридических лицах, полностью обезличенные данные, агрегированная статистика без привязки к конкретному человеку, информация, обрабатываемая исключительно для личных нужд.

Нужно ли согласие на обработку персональных данных сотрудников?

Не всегда. Согласие — лишь одно из 11 оснований (ст. 6). Работодатель вправе обрабатывать ПД в рамках трудового договора без отдельного согласия (ст. 6 ч. 1 п. 5). Согласие требуется, если работодатель обрабатывает данные за пределами трудовых отношений — например, публикует фото сотрудника на сайте — или собирает специальные категории (здоровье, религиозные убеждения) без предусмотренных законом оснований.

Какой штраф грозит за нарушение закона о персональных данных?

По КоАП ст. 13.11 для юридических лиц: от 60 000 до 300 000 руб. за большинство нарушений; при повторном нарушении — до 18 000 000 руб. За умышленный незаконный сбор или распространение ПД — уголовная ответственность по ст. 137 УК РФ до 5 лет лишения свободы. Параллельно может быть взыскан моральный вред по ст. 24 ФЗ-152 — независимо от административного или уголовного дела.

Обязан ли ИП уведомлять Роскомнадзор об обработке персональных данных?

Да, ИП является оператором и обязан уведомить Роскомнадзор до начала обработки (ст. 22 ч. 1). Исключение — обработка исключительно без средств автоматизации (ч. 2 п. 8 ст. 22). Большинство ИП, ведущих электронные базы клиентов или сотрудников, под это исключение не подпадают и обязаны направить уведомление через rkn.gov.ru.

Можно ли хранить данные российских граждан на серверах за рубежом?

Нет. С 2014 года (ФЗ-242) запись, хранение, уточнение и извлечение ПД граждан РФ должны осуществляться в базах данных на территории России (ст. 18.1 ч. 5). Требование распространяется и на иностранные компании, работающие с российскими пользователями. Нарушение требования локализации — основание для блокировки сайта Роскомнадзором.

Что обязательно должна содержать политика обработки персональных данных?

Политика должна быть публично доступна — на сайте оператора, в разделе, видном без регистрации (ст. 18.1 ч. 2). Она включает: цели обработки; категории ПД; перечень действий с данными; сроки хранения; порядок уничтожения; права субъектов; контакты ответственного лица. Отсутствие политики или закрытый доступ к ней — штраф 15 000–30 000 руб. для юридических лиц по ч. 3 ст. 13.11 КоАП.

Что такое обезличивание персональных данных?

Обезличивание (ст. 3 п. 9) — действия, после которых невозможно без дополнительной информации определить принадлежность данных конкретному лицу. Обезличенные данные допускается использовать для статистики, государственного управления и разработки систем искусственного интеллекта (ст. 13.1) с упрощёнными требованиями к защите. Методы обезличивания устанавливает Роскомнадзор. Специальные категории обезличивать запрещено, за исключением данных о здоровье для целей разработки систем ИИ.

Что делать оператору при утечке персональных данных?

Алгоритм по ФЗ-519 (2024): в течение 24 часов с момента обнаружения — направить в Роскомнадзор первичное уведомление о факте инцидента, предполагаемых причинах и принятых мерах. В течение 72 часов — предоставить результаты внутреннего расследования с данными о виновных и объёме пострадавших данных. Одновременно — заблокировать неправомерно обрабатываемые ПД и устранить нарушение за 3 рабочих дня (ст. 21 ч. 3, 3.1).

Как субъект может защитить свои персональные данные, если оператор нарушает закон?

Два пути: административный — подать жалобу в Роскомнадзор (rkn.gov.ru), бесплатно; судебный — предъявить иск о возмещении морального вреда и убытков (ст. 17 ч. 2 ФЗ-152). Перед обращением рекомендуется направить письменный запрос оператору — оператор обязан ответить в течение 10 рабочих дней. При бездействии РКН вправе обратиться в суд в защиту неопределённого круга лиц (ст. 23 ч. 3 п. 5).