152-ФЗ простыми словами: что закон требует от компании
План статьи
152-ФЗ «О персональных данных» обязывает любую компанию, у которой есть сотрудники или клиенты-физлица, обрабатывать их данные на законном основании, защищать их и отвечать, если данные утекли.
Закон достаточно объемный, требований по защите персональных данных (ПНд) к компании три группы: как обрабатывать, как защищать и что делать при нарушении. Исследуем эту тему подробнее.
Кого касается закон и что считается персональными данными
152-ФЗ — это основной закон Российской Федерации о работе с данными о людях: Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных». Иногда его называют законом о личных данных, но слова «личные» в тексте нет. ФЗ о персональных данных действует и для цифровых баз, и для бумажных картотек.
Сфера действия и цель закона
Закон защищает частную жизнь людей, чьи данные собирают. Оператор персональных данных — любая организация или ИП, которые собирают, хранят или используют данные людей. Человека, чьи данные обрабатывают, закон называет субъектом персональных данных. Размер не важен: один сотрудник уже делает оператором своего работодателя (о его данных — защита персональных данных сотрудников).
Персональные данные — любая информация, по которой человека можно определить прямо или косвенно: ФИО, телефон, адрес, паспорт, фото, IP-адрес, привязанный к учетной записи. Категорий данных четыре: обычные, общедоступные, специальные (здоровье, убеждения, национальная принадлежность) и биометрические (отпечаток, радужка, голос). Для специальных и биометрических условия жестче, а судимость обрабатывают отдельно, только по закону.
На каком основании можно обрабатывать данные
Принципы хранения ПДн, согласно 152-ФЗ, простые: цель определяют заранее, берут только нужное, данные точные, хранят не дольше цели. Здесь закон о персональных данных спорит с привычкой «пусть лежит на всякий случай», поскольку это строго запрещается.
Согласие человека требуется не для любой операции с персональными данными (ПДн). Закон предусматривает ситуации, в которых оператор вправе работать с такой информацией без отдельного разрешения субъекта. Эти основания перечислены в статье 6 Федерального закона № 152-ФЗ «О персональных данных», в частности в части 1, пунктах 2–11.
В каких случаях согласие не требуется:
- Заключение и исполнение договора. Персональные данные можно обрабатывать, если это необходимо для оформления или выполнения договора, в котором человек выступает стороной, выгодоприобретателем или поручителем.
- Выполнение требований закона. Обработка допускается, когда она нужна для исполнения обязанностей, возложенных на организацию российским законодательством, например в сфере трудовых отношений, налогообложения или пенсионного обеспечения.
- Защита жизненно важных интересов. Если существует угроза жизни, здоровью или другим жизненно важным интересам человека, а получить его согласие невозможно, данные разрешается обрабатывать без него.
- Защита прав и законных интересов. Организация или третьи лица могут использовать персональные данные для реализации своих законных интересов, а также для достижения общественно значимых целей. При этом обработка не должна нарушать права и свободы человека.
- Правосудие и профессиональная деятельность. Отдельные основания предусмотрены для рассмотрения дел в суде, исполнения судебных решений, а также журналистской, научной, литературной и другой творческой деятельности с соблюдением установленных законом ограничений.
- Статистические и исследовательские задачи. Персональные данные могут использоваться для статистических и научных целей после обязательного обезличивания, если соблюдены предусмотренные законом условия.
Важно: отсутствие необходимости получать согласие не означает, что персональные данные можно обрабатывать без ограничений. Оператору необходимо убедиться, что для конкретной цели существует законное основание, а объем и способы обработки соответствуют требованиям законодательства.
Согласие на обработку должно быть конкретным: кто оператор, зачем данные, какие именно, на какой срок, как отозвать. С 1 сентября 2025 года его оформляют отдельным документом, а не абзацем в договоре или пользовательском соглашении (Федеральный закон от 24.06.2025 № 156-ФЗ). Для специальных и биометрических данных и для распространения требования строже.
Конфиденциальность и общедоступные источники
Оператор и все, кому открыли доступ к данным, не раскрывают их без основания. У справочников и адресных книг отдельный режим: данные попадают туда только с согласия человека, и убрать их он вправе в любой момент.
Что закон требует от оператора: карта обязанностей
Закон о защите персональных данных можно прочитать как перечень обязанностей оператора персональных данных. В таблице из ФЗ о персональных данных они собраны вместе.
| Обязанность | Где в законе | Что это значит на деле |
|---|---|---|
| Определить цели и основания обработки | статьи 5, 6 | Цель, основание, срок хранения |
| Получать согласие там, где оно нужно | статьи 9, 10, 10.1 | Конкретное, отзываемое |
| Издать политику и локальные акты | статья 18.1 | Опубликовано, сотрудники знают |
| Назначить ответственного | статья 22.1 | Человек с назначенными полномочиями в компании |
| Уведомить Роскомнадзор об обработке | статья 22 | До начала обработки, при изменениях обновлять |
| Принять меры защиты | статья 19 | Организационные и технические меры под актуальные угрозы |
| Отвечать на запросы субъектов | статьи 14, 20, 21 | Нужно знать, где данные и кому переданы |
| Соблюдать условия трансграничной передачи | статья 12 | Уведомление до передачи за границу |
| Сообщать об утечках | статья 21 | Два уведомления регулятору согласно установленному законодательством расписанию |
| Уничтожать данные по достижении цели | статья 21 | Подтверждение факта уничтожения |
Обязанности бывают двух видов. Одни закрываются документом (политика, приказ об ответственном, уведомление, согласия; пакет описан в материале про документы по информационной безопасности). Другие бумагой не исчерпываются: защита данных, реакция на утечку и ответ человеку зависят от того, что реально происходит в компании. Сюда также отностся уведомление Роскомнадзору об утечке.
Что закон не требует:
- Согласия на все подряд. Если есть другое основание из статьи 6, согласие не нужно.
- Хранить данные вечно. Закон требует обратного: когда цель достигнута, данные уничтожают или обезличивают.
- Ставить сертифицированное средство защиты в любой компании. Набор мер определяют угрозы и уровень защищенности информационных активов, сертифицированные средства нужны не всем.
Права субъекта: что вправе требовать человек
Субъект персональных данных вправе узнать, обрабатывают ли его данные, какие именно, для чего, как долго хранят и кому передавали. Может потребовать уточнить, заблокировать или уничтожить данные, если они неполные, устарели или не нужны для заявленной цели. Согласие отзывается в любой момент. Есть права, о которых вспоминают редко: отказаться от рекламных контактов (статья 15) и возразить против решения, принятого алгоритмом без человека (статья 16). Срок ответа на запрос установлен статьей 14.
Что значит «обеспечить безопасность данных»
Закон требует принять организационные и технические меры, чтобы данные не попали не туда, не изменились и не пропали. Конкретных продуктов в ФЗ о защите персональных данных нет: набор мер зависит от актуальных угроз и уровня защищенности информационной системы. Уровни определяет постановление Правительства РФ от 01.11.2012 № 1119, меры по ним описывает приказ ФСТЭК России от 18.02.2013 № 21.
Логика ИТ-директору знакома: определить угрозы и уровень защищенности, подобрать меры, оценить, работают ли они. На проверках чаще всего спрашивают, кто имеет доступ к данным и на каком основании, как фиксируются действия с ними и что происходит с носителями и копиями.
Отдельно о локализации: при первичном сборе данных граждан РФ базы должны находиться в России (статья 18, часть 5). От трансграничной передачи это отличается, у нее свои правила.
Утечка данных: что закон требует после инцидента и что нужно видеть до него
Если происходит неправомерная или случайная передача данных, оператор в течение 24 часов уведомляет Роскомнадзор о случившемся, причинах и вреде для людей, а в течение 72 часов сообщает результаты внутреннего расследования. Отсчет идет с момента выявления инцидента, а выявить его может не только компания, но и Роскомнадзор, клиент или журналист. Чем позже замечена утечка персональных данных, тем меньше остается времени. Данные уходят через обычные каналы (типовые пути описаны в материале про каналы утечки данных), и выглядит это буднично:
- скан паспорта клиента отправлен в мессенджере «для скорости»;
- выгрузка контактов лежит в личном облако менеджера;
- кадровая ведомость уехала домой на флешке;
- фрагмент договора вставлен в публичную нейросеть;
- уволившийся сотрудник унес клиентскую базу.
Взлом для этого не нужен, а без контроля каналов об этом можно не узнать, пока не напишет клиент или регулятор.
| Что требует закон | Что должна видеть компания | Чем подтверждается технически |
|---|---|---|
| Не передавать данные без основания (статьи 6, 12) | Куда уходят данные | Контроль каналов, правила на типовые данные |
| Защита от неправомерной передачи (статья 19) | Кто и когда отправляет данные | Журнал, архив, блокировка по поддерживаемым каналам |
| Ответ на запрос субъекта (статья 14) | Где данные человека и кому переданы | Поиск по архиву |
| Уведомление в срок (статья 21) | Факт утечки и ее масштаб | Выявление инцидента, расследование |
Такую видимость дает DLP-система: она показывает каналы утечки, узнает данные по содержимому (шаблоны, цифровые отпечатки, распознавание текста на сканах), по поддерживаемым каналам останавливает передачу и хранит архив. Это не полноценная замена всех действий по защите ПДн, но эффективный инструмент для повышения прозрачности цифровой среды и контроля за непреднамеренными или умышленными сливами информации, в том числе персональных данных. Защита персональных данных работников раскрыта в этой статье.
Ответственность и проверки: чем рискует компания
Ответственность оператора бывает четырех видов. Административная по статье 13.11 КоАП РФ: ее части охватывают обработку без основания, отсутствие документов, молчание в ответ на запрос и неуведомление об утечке. Уголовная по статье 272.1 УК РФ за незаконное использование и передачу данных. Дисциплинарная для работника-нарушителя и гражданская (компенсация морального вреда, статья 24 закона). Размер штрафа зависит от вида нарушения, повторности и статуса нарушителя, юридическое это лицо или должностное.
.png)
Проверки бывают плановыми, по риск-ориентированной схеме, и внеплановыми после жалобы человека или сообщения об утечке. Сначала Роскомнадзор обычно просит политику информационной безопасности предприятия, согласия на сбор ПДн, подтверждение уведомления, документы о мерах защиты и журнал обращений. После инцидента добавляется вопрос, что компания делала заранее и как быстро отреагировала. Законодательство о защите персональных данных оценивает не только документы, но и фактическое положение дел.
Заключение
152-ФЗ требует трех вещей: обрабатывать данные на законном основании, защищать их и реагировать на нарушения. Половина требований закрывается документами, вторая половина только знанием, куда данные уходят из компании. Законодательство о защите персональных данных проверяет в итоге именно это, поэтому начните с простого шага: посмотрите, по каким каналам данные сотрудников и клиентов реально покидают компанию.
Часто задаваемые вопросы
- Что такое 152-ФЗ и на кого он распространяется?
152-ФЗ — федеральный закон «О персональных данных», он определяет, как организации, ИП и госорганы обращаются с данными о людях.
- Обязана ли небольшая компания выполнять требования 152-ФЗ?
Да. Закон о защите персональных данных не делит операторов по размеру: политика и меры защиты нужны и небольшой компании.
- Всегда ли нужно согласие на обработку персональных данных?
Нет. Для сотрудников основание дают трудовой договор и закон, для клиента сам договор. Согласие нужно, когда других оснований нет.
- Что делать, если персональные данные утекли?
Остановить канал, зафиксировать произошедшее, в течение 24 часов с момента выявления уведомить Роскомнадзор, в течение 72 часов сообщить результаты расследования.
- Достаточно ли иметь политику обработки, чтобы выполнять закон?
Нет. Политика описывает намерения, а проверяют, соблюдаются ли они на деле.
- Как узнать, куда уходят персональные данные из компании?
По документам не узнать: нужен контроль каналов. Его дают системы класса DLP.
- Обязательно ли ставить DLP-систему по 152-ФЗ?
Нет. Закон не называет классов решений. DLP закрывает часть мер по контролю каналов, остальные не заменяет.
.jpg)
 system.jpg)
