Обзор закона 152‑ФЗ
Федеральный закон №152‑ФЗ «О персональных данных» (принят 27.07.2006) устанавливает правовые основы обработки персональных данных в России. Его цель — защитить права и свободы человека и гражданина при обработке ПДн, в том числе защиту права на неприкосновенность частной жизни и личную тайну. Закон определяет, какие данные считаются персональными, кто является оператором, когда требуется согласие субъекта и какие меры безопасности должны применяться.
Важно: 152‑ФЗ распространяется на любые организации и ИП, которые определяют цели и средства обработки ПДн, а также на госорганы. Даже разовые анкеты, формы обратной связи и резюме подпадают под действие закона.
Как устроен закон: главы и статьи
Структура 152‑ФЗ включает главы с ключевыми нормами: принципы и условия обработки, права субъектов, обязанности операторов, трансграничная передача, безопасность, надзор и ответственность. Полный разбор по главам и список статей — на странице «Статьи и структура 152‑ФЗ».
Быстрый ориентир по темам
| Тема |
Где смотреть |
Зачем важно |
| Понятия |
базовые статьи (в т.ч. об основных понятиях) |
Понимать, кто субъект/оператор, что такое обработка |
| Принципы и условия |
принципы и условия обработки |
Определяют законные основания и допустимость |
| Согласие |
нормы о согласии |
Устанавливают форму, содержание, отзыв |
| Биометрия и спецкатегории |
положения о спецкатегориях и биометрии |
Усиленные требования и запреты |
| Трансграничная передача |
нормы о передаче за рубеж |
Проверка адекватности защиты |
| Безопасность |
меры по обеспечению безопасности |
Организационные и технические меры |
| Надзор |
надзор и уведомления |
Проверки, реестры, ответственность |
Кому нужно соблюдать 152‑ФЗ
Закон обязателен для:
- коммерческих организаций и ИП, собирающих ПДн клиентов, сотрудников, партнеров;
- некоммерческих организаций, образовательных и медицинских учреждений;
- государственных и муниципальных органов;
- любых операторов сайтов, приложений и CRM, используемых для обработки ПДн.
| Категория |
Примеры |
Что сделать |
| e‑commerce |
интернет‑магазин, маркетплейс |
Политика ПДн, согласие, договоры, ИБ‑меры |
| b2b‑сервисы |
SaaS, CRM‑платформы |
DPIA/оценка рисков, регламенты, DPA с контрагентами |
| Офлайн‑бизнес |
салон, фитнес, клиника |
Локальные акты, журналы учета, обучение персонала |
| Образование |
школы, вузы |
Поручения обработчикам, согласия родителей |
Основные термины и категории ПДн
- Персональные данные — любая информация, относящаяся к прямо или косвенно определенному физлицу (ФИО, контакты, идентификаторы, данные аккаунтов и др.).
- Субъект ПДн — физическое лицо, к которому относятся данные.
- Оператор — лицо, определяющее цели и средства обработки ПДн.
- Обработка — любое действие с ПДн (сбор, запись, хранение, использование, передача, уничтожение и др.).
- Специальные категории ПДн — данные о здоровье, национальности, религии и т. п. (усиленные ограничения).
- Биометрические ПДн — данные, позволяющие однозначно идентифицировать личность (например, изображение лица, голос, отпечатки).
Подробнее см. «152‑ФЗ о персональных данных: понятия, субъекты, объем».
Права субъектов и обязанности оператора
Субъект вправе получать информацию об обработке, требовать уточнения, блокирования или уничтожения данных, отзывать согласие. Оператор обязан обрабатывать ПДн законно, минимально необходимым образом, обеспечивать актуальность и безопасность, уведомлять надзорный орган в предусмотренных случаях.
Согласие и законные основания обработки
Общее правило: либо согласие субъекта, либо иное законное основание (исполнение договора, выполнение закона, осуществление правосудия, защита жизни, согласие родителя для несовершеннолетних и т. п.). Согласие должно быть конкретным, информированным, сознательным и однозначно выраженным; субъект вправе его отозвать.
Подробно: «Согласие на обработку ПДн: виды и требования», «Принципы и условия обработки».
Трансграничная передача и безопасность
Передача ПДн за рубеж требует проверки уровня защиты в стране‑получателе и допмер (договорные гарантии, согласие, меры безопасности, оценка рисков). Организационные и технические меры безопасности подбираются с учетом актуальных угроз.
Ответственность и контроль Роскомнадзора
Нарушение требований 152‑ФЗ может влечь административную ответственность (в т. ч. по ст. 13.11 КоАП РФ), приостановление обработки, блокировку ресурса, предписания надзора. Надзор осуществляет Роскомнадзор: уведомления, реестры, проверки, предписания.
С чего начать соответствие 152‑ФЗ
- Инвентаризируйте процессы обработки ПДн (что, где, зачем, кто имеет доступ). 2) Определите правовые основания по каждому процессу, подготовьте согласия при необходимости. 3) Разработайте политику ПДн и локальные акты, назначьте ответственного. 4) Настройте ИТ‑и ИБ‑меры, сократите избыточную обработку. 5) Установите процедуры реагирования на запросы субъектов и инциденты. 6) Проведите обучение персонала и регулярно актуализируйте документы.
Обновления и редакции закона
Закон действует с 27.07.2006 и неоднократно обновлялся (в т. ч. требования локализации, уточнения по биометрии, усиление мер безопасности). Следите за актуальной редакцией и разъяснениями надзора.
