152-ФЗ «О персональных данных»

Происхождение и история термина

«152-ФЗ» — номер федерального закона от 27 июля 2006 года, а не название программы или сертификата. В его тексте указано, что Государственная Дума приняла закон 8 июля, а Совет Федерации одобрил 14 июля 2006 года. В доступном на дату проверки тексте КонсультантПлюс указана редакция от 26.07.2026; отдельно предложенная редакция с ещё не вступившими в силу изменениями здесь не используется. ^[1]

Правовая идея шире правил для сайтов. Статья 23 Конституции РФ защищает частную жизнь, личную и семейную тайну, а также тайну переписки и иных сообщений. Ограничение последнего права допускается на основании судебного решения. ^{[2, ч. 1–2]} Это объясняет, почему защита данных — вопрос прав человека, а не только качества компьютерной системы.

У задачи есть мировой аналог. Европейский совет по защите данных в руководстве для малого бизнеса отдельно объясняет цели обработки, правовые основания, необходимый объём информации, безопасность и ограничение хранения. Руководство относится к GDPR — Общему регламенту ЕС по защите данных, — а не к российскому закону. ^[5] Сходство вопросов помогает сравнивать подходы, но не позволяет переносить европейские процедуры и исключения в российский проект.

Суть и механизм

Закон удобно читать через три понятия. Субъект персональных данных — человек, к которому относятся сведения. Оператор организует или осуществляет обработку и определяет её цели, состав данных и действия с ними. Обработка охватывает операции и с помощью техники, и без неё. Такие значения закреплены в статье 3. ^{[1, п. 1–3]} Поэтому оператор — не обязательно сотрудник, который сидит за компьютером: название описывает юридическую роль.

Первая задача — связать сведения с определённой целью. «Ответить на вопрос читателя» понятнее, чем «использовать данные для деятельности редакции»: в первом случае можно обсудить, действительно ли необходимы адрес, телефон и дата рождения. Закон требует законных, заранее определённых целей и запрещает избыточный объём данных. ^{[1, ст. 5, ч. 2, 4–5]} Практический смысл ограничения прост: собирать всё «на всякий случай» — не то же самое, что обосновать необходимость каждого поля.

Вторая задача — установить правовое основание, то есть предусмотренную законом причину, по которой обработка допускается. В части 1 статьи 6 названы, в частности, согласие и исполнение установленных законом функций и обязанностей. Договорное основание, например, касается обработки, необходимой для исполнения договора, стороной которого является человек. Другие предусмотренные пунктом 5 договорные случаи требуют отдельного рассмотрения. ^{[1, п. 1, 2, 5]} Само желание организации получить полезные сведения не выбирает подходящую норму за неё.

Если основанием служит согласие, важно его содержание, а не только отметка в форме. Закон требует, чтобы согласие было конкретным, предметным, информированным, сознательным и однозначным; оно оформляется отдельно от другой подтверждаемой или подписываемой информации и документов. Факт его получения должен допускать подтверждение, если законом не установлена иная форма. ^{[1, ст. 9, ч. 1]} Человек должен понимать, на какую обработку соглашается, а оператор — иметь возможность доказать основание. ^{[1, ст. 9, ч. 3]}

Третья задача — обеспечить права человека после сбора. Он вправе получать сведения об обработке, а при установленных условиях требовать исправления, блокирования или уничтожения данных. Например, статья 14 связывает такие требования с неточностью, устареванием, незаконным получением или отсутствием необходимости для заявленной цели. ^{[1, ч. 1]} Это не безусловное право удалить любую запись в любой ситуации: закон содержит условия и ограничения доступа. ^{[1, ст. 14, ч. 8]}

Наконец, данные нужно защищать. Статья 19 предусматривает правовые, организационные и технические меры. Среди направлений защиты — оценка угроз, правила доступа, регистрация действий и контроль принятых мер. ^{[1, ч. 1–2]} Законное основание не заменяет защиту, а хороший пароль не обосновывает, зачем сведения собирались.

Виды и классификации

Следующая таблица — редакционная карта задач, а не установленная законом классификация данных. Она помогает не смешивать документы, действия и результаты.

Указанные задачи опираются на один закон. ^[1] Их разделение важно: если команда подготовила политику, это результат работы над документом, а не доказательство, что ограничен доступ к базе. Если ограничила доступ — остаётся вопрос о цели и основании обработки.

Другой способ описания — жизненный цикл записи: поступление, использование, передача, хранение и прекращение обработки. Это учебная схема. В реальном процессе этапы могут повторяться: ответ читателю создаёт новое письмо, а выгрузка подрядчику — дополнительную копию. Схема нужна, чтобы увидеть действия, которые теряются за общей фразой «данные находятся в системе».

Как применяется на практике

Рассмотрим сквозной учебный пример. Городское издание получает вопрос о перекрытии улицы. В форме есть текст обращения и адрес электронной почты для ответа. Позже сотрудник предлагает добавить этот адрес в список рекламной рассылки. Организация, люди и обстоятельства вымышлены.

Первоначальная задача — ответить на вопрос; предполагаемая новая задача — направлять рекламу. Это разные назначения использования контакта. Принцип ограничения целей требует проверить совместимость действий с целью сбора и самостоятельное основание новой обработки. ^{[1, ст. 5, ч. 2; ст. 6, ч. 1]} Из того, что человек написал редакции, нельзя логически вывести согласие на любое последующее использование его адреса. Условия рекламных рассылок требуют отдельного правового разбора.

Затем команда прослеживает запись. Она поступает в почтовый ящик, копируется в систему обращений и попадает в резервную копию. Сотрудник поддержки видит сообщение, но для редакционного обсуждения темы может быть достаточно пересказа вопроса без контакта автора. Такое описание не является обязательной формой документа: оно помогает сопоставить фактические действия с целью, объёмом и доступом.

Предположим, читатель просит сообщить, какие сведения о нём обрабатываются. Для ответа нужно найти не только видимую запись в форме, но и связанные операции. Статья 14 предусматривает предоставление информации об основаниях, целях, способах, сроках и других обстоятельствах обработки. При этом ответ не должен раскрывать данные других людей без законных оснований. ^{[1, ч. 2, 7]}

В России организационные обязанности дополняются подзаконными актами. Постановление Правительства № 1119 утверждает требования к защите данных в информационных системах. ^{[3, п. 1 постановления]} Приказ Роскомнадзора № 180 предусматривает три формы уведомлений: о намерении обрабатывать данные, об изменении сведений и о прекращении обработки. ^{[4, п. 1–3]} Формы помогают выполнить процедуру; они не определяют вместо оператора законность всей деятельности.

Как измерить или проверить

Для предварительного разбора полезно различать полноту описания и правовое соответствие. Первую можно оценить простой долей. Второе нельзя выразить тем же процентом: одна неучтённая операция может оказаться существеннее нескольких подробно описанных.

Продолжим учебный пример. Команда нашла восемь процессов работы с данными: обращения, подписку и другие отдельные задачи. У шести определён сотрудник, который может объяснить порядок работы. Долю процессов с известным ответственным можно посчитать так:

D = n / N × 100% = 6 процессов / 8 процессов × 100% = 75%.

Здесь n — число процессов с определённым ответственным, N — число всех выявленных процессов; обе величины измеряются в процессах, а D — в процентах. Результат означает, что для четверти выявленных процессов команда пока не знает, к кому обращаться. Он не означает соблюдения закона на 75% и не подтверждает полноту самого списка. Это редакционный организационный показатель, не нормативная метрика.

Другой учебный способ проверки — пройти путь искусственного сообщения, не используя реальные данные читателя. Если тестовое обращение исчезло из формы, но сохранилось в выгрузке, команда обнаружила не правовой вердикт, а место для дальнейшего анализа: кто использует копию и для какой цели. Разработчик проверяет поведение системы, а юридический специалист сопоставляет установленное поведение с нормами.

Срок хранения также нельзя назначить одной цифрой для всех записей. Часть 7 статьи 5 связывает хранение с целями и предусматривает случаи, когда срок установлен федеральным законом или определённым договором. ^[1] Поэтому проверка срока начинается с назначения записи и применимых правил, а не с удобного общего срока из чужого шаблона.

Ошибки, ограничения и спорные вопросы

Частая смысловая ошибка — считать любую работу с данными проблемой исключительно согласия. Наличие других оснований в статье 6 не делает обработку бесконтрольной, а наличие согласия не отменяет ограничений цели, объёма и безопасности. ^{[1, ст. 5, 6, 19]} В учебном примере несколько отметок под формой не объяснили бы необходимость передавать текст обращения всем сотрудникам.

Другая ошибка — принимать опубликованную политику за доказательство реального порядка. Часть 2 статьи 18.1 устанавливает обязанность обеспечить доступ к политике и сведениям о реализуемых требованиях защиты; для сбора через сети предусмотрена публикация в соответствующей сети, включая страницы сайта, через которые идёт сбор. ^[1] Но документ и поведение системы — разные объекты проверки. Текст может обещать ограниченный доступ, тогда как общая папка доступна всему коллективу.

Третья ошибка — воспринимать уведомление как разрешение на все действия. По статье 22 оператор уведомляет уполномоченный орган до начала обработки, кроме установленных частью 2 исключений. ^{[1, ч. 1–2]} Уведомление не заменяет основания из статьи 6 или меры из статьи 19: закон предусматривает эти обязанности отдельно.

Обзор не исчерпывает специальные категории данных, биометрию, локализацию, трансграничную передачу и ответственность. Их выделение в законе видно из соответствующих статей, но условия конкретного процесса требуют отдельного изучения. ^{[1, ст. 10–12, 18, 24]} Особенно важно не принимать журналистскую цель за освобождение от всех ограничений: пункт 8 части 1 статьи 6 связывает соответствующее основание с ненарушением прав и законных интересов человека. ^[1]

Правовой аспект

В статье используются положения 152-ФЗ в доступной редакции от 26.07.2026, проверенной 20.10.2026: статья 2; статья 3, пункты 1–3; статья 5, части 1–7; статья 6, часть 1; статья 9, части 1–3; статья 14; статья 18.1, части 1–2; статья 19, части 1–3; статья 22, части 1–3. ^[1] Постановление № 1119 и приказ № 180 названы в пределах указанных положений, а не как готовый комплект мер для любого сайта. ^{[3, 4]}

Материал объясняет устройство регулирования и не заменяет консультацию юриста. Применимость исключений, содержание документов и достаточность защиты зависят от обстоятельств. Сопоставление с руководством EDPB служит только международным контекстом. ^[5]

Частые вопросы

Связанные термины

• Персональные данные
• Оператор персональных данных
• Согласие на обработку персональных данных
• Локализация персональных данных
• Утечка персональных данных и оборотные штрафы
• Метрические сервисы и персональные данные