На сегодняшний день, , Федеральный закон от № 152-ФЗ «О персональных данных» остается основным нормативным актом, регулирующим отношения по обработке персональных данных в Российской Федерации. За последние годы закон претерпел масштабные изменения, особенно в средине 2025 года (редакция от ), что серьезно усилило требования к бизнесу, госорганам и ИТ-специалистам.

Объект регулирования и сфера действия

Закон регулирует отношения, связанные с обработкой персональных данных (ПДн), осуществляемой:

• Федеральными органами государственной власти;
• Органами государственной власти субъектов РФ;
• Иными государственными органами;
• Органами местного самоуправления;
• Коммерческими и некоммерческими организациями (бизнес, ИП, некоммерческие фонды);
• Физическими лицами, осуществляющими предпринимательскую деятельность без образования юрлица.

Ключевой принцип: Закон obowязывает к соблюдению всех, кто обрабатывает персональные данные — от крупных корпораций и банков до малого бизнеса, стартапов и ИТ-сервисов.

Главные изменения редакции (вступивших в силу с середины 2025 г.)

Согласно информации из открытых источников (Контур.Норматив, Роскомнадзор, ГАРАНТ), нововведения задели фундаментальные аспекты:

1. Расширен перечень операторов. Введены новые категории лиц, подпадающих под определение оператора ПДн.
2. Ужесточены требования к защите. Обязательна интеграция организационных (документация, приказы, инструкции) и технических мер (настройка СЗИ, средства защиты информации).
3. Новые правила кроссбордерной передачи. Изменены механизмы передачи данных за рубеж.
4. Повышена ответственность. Увеличены штрафы за нарушения (в т.ч. повторные), введены новые основания для блокировки доступа к ресурсам-нарушителям.
5. Четкое разграничение ролей. Уточнен статус провайдеров инфраструктуры: «Провайдер не является оператором персональных данных для клиентов сервиса, который размещается в его инфраструктуре — только для самого сервиса» (пояснение CNewsMarket от , актуально и на 2026 г.).

Ключевые понятия и определения (ст. 3)

• Персональные данные (ПДн) — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту ПДн).
• Обработка ПДн — любое действие (операция) или совокупность действий с ПДн: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.
• Оператор — орган власти, юрлицо или физлицо, самостоятельно или совместно с др. лицами организующие и/или осуществляющие обработку ПДн, а также определяющие цели обработки, состав ПДн, действия с ними.
• Субъект ПДн — физическое лицо, чьи данные обрабатываются.

Права субъекта персональных данных (Раздел III, ст. 14 и др.)

Закон гарантирует физическим лицам широкий спектр прав. Ключевое — право на доступ к своим данным (ст. 14):

Субъект ПДн имеет право на получение сведений о обработке своих данных, за исключением случаев, предусмотренных законом (например, государственная тайна, оперативно-розыскная деятельность).

Другие важные права:

• Право на уточнение, блокирование или уничтожение неполных, неверных или незаконно полученных данных.
• Право на отзыв согласия на обработку.
• Право на обжалование действий/бездействия оператора в Роскомнадзор или суд.

Обязанности оператора: чек-лист для бизнеса и ИТ

На основе требований закона и методических пособий (в т.ч. для руководителей ИТ-служб) выделим обязательные мероприятия:

Организационные меры (Документирование)

• Назначение ответственного за обработку ПДн (приказ/распоряжение).
• Разработка и утверждение Политики конфиденциальности (для сайта/приложения) и Локальных нормативных актов (ЛНА): Положение о защите ПДн, Инструкция по учету носителей, Регламент инцидентов и др.
• Оценка угроз безопасности ПДн (модель угроз).
• Категорирование информационных систем ПДн (ИСПДн) по уровням защищенности (1–4-й уровни, особый).
• Уведомление Роскомнадзора об обработке ПДн (для включения в реестр операторов), если нет исключений (ст. 22).

Технические меры (Средства защиты информации — СЗИ)

• Идентификация и аутентификация пользователей (пароли, МФА, ЭЦП).
• Разграничение прав доступа (RBAC/МАС), принцип минимальных привилегий.
• Шифрование ПДн при передаче (TLS/SSL, VPN, IPsec) и хранении (ФСС/БД шифрование).
• Учет событий безопасности (SIEM, логирование доступа к ПДн).
• Антивирусная защита, средства предотвращения утечек (DLP-системы).
• Резервное копирование и план восстановления (Disaster Recovery).

Работа с третьими лицами (Передача на обработку)

Согласно ч. 3 ст. 6, оператор вправе поручить обработку другому лицу (уполномоченному) только с согласия субъекта ПДн (если иное не предусмотрено законом). Обязателен договор/акт о передаче, фиксирующий:

• Цели и действия с ПДн.
• Обязательства уполномоченного по защите данных (не ниже требований оператора).
• Запрет на раскрытие третьим лицам и распространение без согласия субъекта (ст. 7).

Особенности хранения и архивирования

Закон (в т.ч. ссылки на Верхневолжскую межрегиональную ГИТ) устанавливает требования к организации хранения документов, содержащих ПДн:

• Комплектование, учет и использование документов Архивного фонда РФ и иных архивов.
• Обеспечение физической защиты носителей (серверные, архивы, сейфы).
• Журналирование выдачи/возврата носителей.

Ответственность за нарушения (КоАП РФ, УК РФ)

Нарушение закона влечет за собой:

Важно: По ст. 7 152-ФЗ все лица, получившие доступ к ПДн, обязаны не раскрывать их третьим лицам и не распространять без согласия субъекта. Нарушение коммерческой/адвокатской/врачебной тайны или умышленное распространение ПДн влечет уголовную ответственность (ст. 183, 137, 272 УК РФ).

Роль Роскомнадзора и контроль

Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) является уполномоченным органом по защите прав субъектов ПДн.

• Ведет Реестр операторов ПДн.
• Проводит плановые и внеплановые проверки (в т.ч. на основании жалоб).
• Издает предписания об устранении нарушений.
• Инициирует дела об административных правонарушениях.
• Блокирует доступ к информационным ресурсам при грубых нарушениях (локализация, утечки массивов данных).

На официальном сайте ведомства (rkn.gov.ru) доступен Перечень обязательных требований в сфере персональных данных и методические рекомендации.

Практический алгоритм внедрения (Roadmap) для компании

1. Аудит (Инвентаризация): Какие ПДн обрабатываем? Где храним? Кто имеет доступ? Есть ли уведомление в реестре?
2. Категорирование ИСПДн: Определение уровня защищенности (УЗ 1–4) по Приказу ФСТЭК № 17 / ФСБ № 334.
3. Документирование: Политика конфиденциальности, Приказы, ЛНА, Договоры с уполномоченными/подрядчиками (DPAs).
4. Техническая защита: Внедрение СЗИ сертифицированных ФСТЭК/ФСБ (средства ИА, МЭ, антивирусы, DLP, СКЗИ).
5. Обучение персонала: Инструктажи по защите ПДн (документированные подписями).
6. Управление инцидентами: Регламент реагирования на утечки/инциденты, уведомление Роскомнадзора и субъектов (в срок до 24 часов для критических инцидентов).
7. Постоянный мониторинг: Внутренние аудиты, проверка актуальности СЗИ, обновление модели угроз.

Частые вопросы (FAQ) — краткие ответы

Нужно ли уведомлять Роскомнадзор?

Да, если обрабатываете ПДн, не входящие в исключения ст. 22 (трудовые договоры, публичные данные, однократный доступ и т.д.). Уведомление подается до начала обработки.

Что такое «локализация баз данных» (ст; 18)?

Обязательность записи, систематизации, накопления, хранения, уточнения и извлечения ПДн граждан РФ с использованием баз данных, расположенных на территории РФ. Исключения: трансграничная передача по договору, международные договоры.

Можно ли хранить ПДн в облаке (Yandex Cloud, VK Cloud, Selectel, Timeweb и др.)?

Да, если дата-центр провайдера находится в РФ и провайдер обеспечивает соответствие требованиям 152-ФЗ (сертификаты ФСТЭК, готовность подписать Договор о передаче/обработке). Провайдер инфраструктуры — не оператор ваших клиентских данных.

Какие СЗИ нужны для 4-го уровня защищенности (минимальный)?

Идентификация/аутентификация (пароли), разграничение доступа, антивирус, учет событий, защита от НСД (базовый файрвол), резервное копирование.

Что делать при утечке данных?

Локализовать инцидент. 2. Оценить масштаб и риски. 3. Уведомить Роскомнадзор (через ЛК на Госуслугах/сайте РКН) в течение 24 часов. 4. Уведомить субъектов ПДн (если угроза их правам). 5. Провести расследование и устранить причину.

Полезные ресурсы для работы с 152-ФЗ

• Официальный текст закона (актуал. ред. от ): Сайты Контур.Норматив, ГАРАНТ, КонсультантПлюс, pravo.gov.ru.
• Сайт Роскомнадзора: Реестр операторов, Перечень обязательных требований, Методические материалы, Личный кабинет оператора.
• Приказы ФСТЭК России: № 17 (уровни защищенности), № 21 (требования к СЗИ), № 150 (модель угроз).
• Приказы ФСБ России: № 334 (средства криптографической защиты), лицензирование деятельности по защите гостайны/КРИ.

Соблюдение 152-ФЗ в 2026 году — это не разовая акция по написанию бумаг, а непрерывный процесс управления рисками. Масштабные поправки 2025 года сместили фокус с формального наличия документов на реальную эффективность мер защиты (проверка СЗИ, реагирование на инциденты, управление уполномоченными).

Игнорирование требований несет риски: многомиллионные штрафы, блокировка бизнеса, репутационные потери и уголовная ответственность для виновных лиц. Рекомендуется проводить аудит соответствия минимум раз в год или при значимых изменениях в ИТ-инфраструктуре/бизнес-процессах.

Данная статья носит информационный характер и не является правовой консультацией. Для решения конкретных вопросов обратитесь к квалифицированным юристам по защите персональных данных или к аккредитованным аудиторам ФСТЭК.

Данные актуальны на . Контакты специалистов и юрлиц скрыты в соответствии с политикой конфиденциальности (*)