152-ФЗ «О персональных данных»

Что такое 152-ФЗ «О персональных данных»

Федеральный закон № 152-ФЗ «О персональных данных» — это ключевой нормативный правовой акт Российской Федерации, принятый 27 июля 2006 года. Закон регулирует сбор, обработку, хранение, передачу и защиту персональных данных (ПДн) граждан России. Его требования обязательны для всех организаций и индивидуальных предпринимателей, работающих с личной информацией: государственных органов, банков, страховых и медицинских компаний, интернет-сервисов, HR-служб и любых других структур, которые так или иначе обрабатывают данные о людях.

Простыми словами, 152-ФЗ — это свод правил, защищающий вашу личную информацию от утечек и недобросовестных компаний. Закон обязывает любую организацию (оператора) спрашивать ваше согласие на сбор данных, хранить их в тайне и надёжно защищать, а также удалять по первому требованию. Это касается банков, интернет-магазинов, медицинских учреждений и любых других структур, которые так или иначе получают доступ к вашим данным.

Контроль за соблюдением закона осуществляет Роскомнадзор, а за нарушение предусмотрены серьёзные штрафы и уголовная ответственность. По данным Роскомнадзора, в 2025 году было выявлено более 5 000 нарушений 152-ФЗ, а общая сумма штрафов превысила 2,5 млрд рублей. Это подчёркивает важность соблюдения закона для любой организации, работающей с данными граждан.

Основные положения 152-ФЗ

Закон устанавливает чёткие принципы обработки персональных данных, которые обязаны соблюдать все операторы:

• Законность и справедливость: Обработка данных должна осуществляться на законной основе и с добросовестными намерениями. Не допускается обработка данных обманным путём или без законных оснований.
• Ограничение конкретными целями: Данные должны обрабатываться только для заранее определённых и законных целей. Не допускается использование данных для целей, несовместимых с изначально заявленными.
• Недопустимость объединения баз данных: Запрещается объединять базы данных, содержащие персональные данные, обработка которых осуществляется в несовместимых целях.
• Обеспечение точности и актуальности: Оператор обязан принимать меры для обеспечения точности и актуальности данных, а также удалять или уточнять неполные или неточные данные по требованию субъекта.
• Хранение не дольше необходимого срока: Данные должны храниться не дольше, чем этого требуют цели обработки. После достижения целей или в случае утраты необходимости данные подлежат уничтожению или обезличиванию.

Ключевое требование закона — получение информированного и сознательного согласия субъекта на обработку его данных. Для биометрических и специальных категорий ПДн (раса, национальность, политические взгляды, здоровье, интимная жизнь) установлены дополнительные требования и усиленная защита. Для эффективной защиты таких данных организации часто внедряют DLP-системы для предотвращения утечек и SIEM-решения для мониторинга событий безопасности.

Обязанности операторов персональных данных

Операторы (организации и ИП, обрабатывающие ПДн) обязаны выполнять ряд требований, закреплённых в 152-ФЗ и подзаконных актах (в частности, Приказ ФСТЭК № 21 и Постановление Правительства № 1119):

• Уведомить Роскомнадзор о начале обработки ПДн (за исключением случаев, когда это не требуется — например, если данные обрабатываются только для исполнения трудового договора).
• Обеспечивать конфиденциальность персональных данных и принимать технические и организационные меры защиты.
• Использовать сертифицированные СКЗИ при необходимости (например, при передаче данных по открытым каналам связи или при работе с биометрией).
• Назначить ответственного за организацию обработки персональных данных.
• Проводить аттестацию информационных систем для подтверждения соответствия требованиям регулятора (ФСТЭК, ФСБ).
• Вести внутренний учёт и контроль обработки ПДн.

Для защиты данных применяются комплексные меры: межсетевые экраны, DLP-системы, SIEM-решения, системы контроля доступа и антивирусное ПО. Подробнее о средствах защиты вы можете узнать в нашем глоссарии.

Ответственность за нарушение 152-ФЗ

Нарушение требований закона влечёт серьёзную ответственность — от административных штрафов до уголовного преследования:

• Административная ответственность (КоАП РФ): Штрафы для должностных лиц — от 10 000 до 100 000 рублей, для юридических лиц — от 100 000 до 500 000 рублей. За обработку данных без согласия или в несовместимых целях штрафы могут достигать 700 000 рублей.
• Оборотные штрафы: При повторных нарушениях и крупных утечках данных предусмотрены оборотные штрафы до 3% годовой выручки компании, но не менее 1 млн рублей (согласно изменениям, вступившим в силу с 2025 года).
• Уголовная ответственность (ст. 137 УК РФ): За незаконный сбор и распространение персональных данных (в том числе с использованием служебного положения) предусмотрено лишение свободы до 5 лет.
• Блокировка сайта и приостановление деятельности: Роскомнадзор имеет право блокировать сайты, нарушающие 152-ФЗ, а также приостанавливать деятельность организаций до устранения нарушений (до 90 суток).

По статистике, в 2025 году Роскомнадзор вынес более 7 000 постановлений о назначении административных штрафов за нарушения 152-ФЗ. Средняя сумма штрафа для юридических лиц составила 250 000 рублей, а для должностных лиц — 40 000 рублей.

Как обеспечить соответствие 152-ФЗ

Для минимизации рисков и обеспечения соответствия требованиям закона организациям рекомендуется выполнить следующие шаги:

1. Провести регулярный аудит всех систем и процессов обработки ПДн, выявить все источники и потоки данных.
2. Назначить ответственного за организацию обработки персональных данных и разработать внутренние политики (Политику обработки ПДн, Политику конфиденциальности).
3. Получить согласия субъектов на обработку данных в письменной или электронной форме (с использованием электронной подписи).
4. Внедрить технические средства защиты: DLP-системы для предотвращения утечек, SIEM-системы для мониторинга, СКЗИ для шифрования, межсетевые экраны для защиты от внешних угроз.
5. Провести аттестацию информационных систем уполномоченными органами (ФСТЭК, ФСБ) в соответствии с требованиями.
6. Обучить сотрудников правилам работы с персональными данными и ответственности за их нарушение.

Наши услуги по аттестации и проектированию защищённых систем помогут вам соответствовать требованиям регулятора и избежать санкций. Полный текст закона и актуальные изменения всегда доступны в разделе документов.