Закон о персональных данных (152-ФЗ)
Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»
1 Что это и зачем
Это основной закон о персональных данных — любых сведениях, по которым можно определить человека. Он отвечает на три вопроса: на каком основании можно собирать и использовать такие данные, что организация обязана сделать, чтобы их защитить, и какие права есть у самого человека. Все подзаконные акты по ПДн — уровни защищённости (ПП № 1119), меры защиты (приказ ФСТЭК № 21), формы уведомлений и порядок оценки вреда (приказы Роскомнадзора) — принимаются во исполнение этого закона.
2 Кого касается
Касается операторов — тех, кто сам или вместе с другими организует обработку персональных данных и определяет её цели (ст. 3). На практике это почти любая организация и ИП: достаточно иметь работников, клиентов-граждан, представителей контрагентов или форму заявки на сайте. Для субъекта КИИ этот закон — отдельный режим: одна и та же система может быть и объектом КИИ, и информационной системой персональных данных, и тогда требования обоих режимов выполняются вместе.
3 Что требует
- Законное основание и цель (ст. 5, 6). Данные обрабатываются только для заранее определённых целей и на одном из оснований закона: согласие, договор с человеком, обязанность по закону и другие. Лишние для цели данные собирать нельзя.
- Согласие — отдельным документом (ст. 9). Согласие должно быть конкретным, предметным, информированным, сознательным и однозначным. С 01.09.2025 (закон от 24.06.2025 № 156-ФЗ) его оформляют отдельно от иных документов, которые подписывает или подтверждает человек, — не пунктом договора или анкеты.
- Организационные обязанности (ст. 18.1, 22.1). Назначить ответственного за организацию обработки, утвердить политику обработки и обеспечить к ней доступ (при сборе данных через интернет — опубликовать), издать локальные акты, вести внутренний контроль, оценить вред, который может быть причинён людям, и ознакомить работников с требованиями.
- Локализация (ч. 5 ст. 18). При сборе данных граждан России их запись, систематизацию, накопление, хранение, уточнение и извлечение ведут с использованием баз данных в России. С 01.07.2025 (закон от 28.02.2025 № 23-ФЗ) использовать для этого базы за рубежом прямо запрещено.
- Защита данных (ст. 19). Правовые, организационные и технические меры. Уровни защищённости и требования к защите устанавливает Правительство (ПП № 1119), состав мер — ФСТЭК (приказ № 21) и ФСБ в пределах своих полномочий. Оператор также обязан обеспечивать взаимодействие с ГосСОПКА, в том числе сообщать о компьютерных инцидентах, повлёкших неправомерную передачу данных (ч. 12 ст. 19).
- Утечки (ч. 3.1 ст. 21). О неправомерной или случайной передаче данных, нарушившей права людей, оператор сообщает в Роскомнадзор в течение 24 часов с момента выявления, а о результатах внутреннего расследования — в течение 72 часов.
- Уведомление Роскомнадзора (ст. 22). До начала обработки — уведомление о намерении её вести (исключения — ч. 2 ст. 22); об изменении сведений — не позднее 15-го числа месяца, следующего за месяцем изменений.
- Трансграничная передача (ст. 12). До начала передачи данных за рубеж — отдельное уведомление в Роскомнадзор. С 26.07.2026 (закон № 265-ФЗ) «адекватность» страны определяется по тому, насколько её регулирование и меры защиты на деле соответствуют Конвенции Совета Европы о защите персональных данных, а не по самому участию в ней.
- Права человека (ст. 14, 20). На запрос о своих данных оператор отвечает в течение 10 рабочих дней; срок можно продлить ещё на 5 рабочих дней, направив мотивированное уведомление.
4 Статус и редакции
Закон действует с 2007 года и регулярно меняется. Важные изменения последних лет: сроки 24 и 72 часа для сообщения об утечках (закон от 14.07.2022 № 266-ФЗ, с 01.09.2022) и уведомление о трансграничной передаче (тот же закон, с 01.03.2023); прямой запрет зарубежных баз при сборе данных (№ 23-ФЗ, с 01.07.2025); согласие отдельным документом (№ 156-ФЗ, с 01.09.2025); новые правила оценки «адекватности» иностранных государств (№ 265-ФЗ, с 26.07.2026). Штрафы за нарушения — в ст. 13.11 КоАП: с 30.05.2025 (закон от 30.11.2024 № 420-ФЗ) они кратно выросли, за утечки введены штрафы до 15–20 млн рублей, за повторную утечку — оборотные, от 1 до 3 % выручки. Перед работой сверяйтесь с действующей редакцией.