Федеральный закон «О персональных данных»

Федеральный закон № 152-ФЗ — основной закон об обработке персональных данных в России. Его замысел — защитить права граждан на неприкосновенность частной жизни при обработке их данных и установить понятные правила для операторов. Закон определяет, что относится к персональным данным, на каких основаниях их можно обрабатывать, какие права есть у субъекта и какие обязанности возлагаются на оператора.

Основания и условия обработки

Обрабатывать ПДн можно только при наличии правового основания (статья 6): согласие субъекта, исполнение договора с ним, требование закона и иные основания. Для отдельных случаев установлены особые правила: согласие оформляется по требованиям статьи 9 (для распространения — статьи 10.1), специальные категории данных (о здоровье, национальности, политических взглядах, интимной жизни и др.) регулируются статьёй 10 (сведения о судимости — по специальному правилу этой статьи), биометрические ПДн — статьёй 11. При сборе ПДн граждан РФ их запись, систематизацию, накопление, хранение, уточнение и извлечение оператор должен выполнять с использованием баз данных, находящихся на территории России (локализация, часть 5 статьи 18), кроме установленных законом исключений.

Обязанности оператора

• назначить ответственного за организацию обработки ПДн, издать политику обработки и локальные акты (статья 18.1);
• принять правовые, организационные и технические меры защиты (статья 19);
• обеспечивать реализацию прав субъекта: доступ, уточнение, удаление, отзыв согласия;
• подать в Роскомнадзор уведомление об обработке ПДн — после изменений 2022 года (266-ФЗ) это обязанность практически всех операторов (статья 22);
• при утечке (неправомерной передаче) ПДн уведомить Роскомнадзор в течение 24 часов о факте и 72 часов о результатах внутреннего расследования (часть 3.1 статьи 21); обнаружение, предупреждение и ликвидация последствий компьютерных атак и реагирование на инциденты (в том числе взаимодействие с ГосСОПКА) относятся к мерам защиты по статье 19.

Ответственность

С 2025 года ответственность резко ужесточена: законом № 420-ФЗ (с 30 мая 2025 года) за утечки персональных данных введены крупные, в том числе оборотные, административные штрафы, а за незаконный оборот ПДн — уголовная ответственность (статья 272.1 УК РФ). Это делает выполнение требований 152-ФЗ вопросом прямого финансового риска.

Технические меры конкретизируют ПП РФ № 1119 (уровни защищённости) и приказ ФСТЭК № 21. Нужно ли вам подавать уведомление и какой у вас уровень защищённости — проверьте в калькуляторах.