152-ФЗ Разбор закона

По закону: статьи 1–2. Федеральный закон от 27 июля 2006 года № 152-ФЗ «О персональных данных» регулирует отношения, связанные с обработкой персональных данных физических лиц. Его цель — защита прав и свобод человека, включая неприкосновенность частной жизни, личную и семейную тайну.

Закон распространяется на государственные и муниципальные органы, организации и физических лиц, включая предпринимателей. Он охватывает автоматизированную обработку, а также обработку без автоматизации, позволяющую по заданному алгоритму находить данные в картотеках и других систематизированных собраниях.

Обработка исключительно для личных и семейных нужд исключена из действия закона, если при этом не нарушаются права субъектов данных. Для архивных документов, государственной тайны и информации о деятельности судов предусмотрены специальные правила и разграничение с другими законами.

На практике требования могут касаться интернет-магазина, школы, клиники, работодателя, сайта с заявками и предпринимателя с клиентской базой. Масштаб бизнеса сам по себе не освобождает от обязанностей.

По закону: статьи 5, 6 и 9. Для обработки нужны заранее определённая законная цель и правовое основание. Полученное согласие не отменяет запрет избыточного сбора, требования безопасности и права человека.

Мы часто ставим галочку в приложении доставки, банке, онлайн-кинотеатре или социальной сети просто для того, чтобы быстрее перейти дальше. Но под этой галочкой скрывается не бытовая формальность, а целая юридическая система, которая определяет, кто и зачем может использовать информацию о человеке.

152-ФЗ нужен не только бизнесу для отчетности. Его смысл — ограничить жажду сервисов, платформ и организаций знать о нас больше, чем реально требуется. Закон задает границу между обычным набором цифр, слов и файлов — и цифровой личностью человека.

Если компания собирает данные, она не получает безграничное право распоряжаться ими. Она входит в строгий режим: цель, основание, срок, объем, безопасность и права человека должны быть определены заранее.

По закону: статья 3, части 3–5 статьи 6. Субъект персональных данных — человек, к которому относятся сведения. Обработка включает не только сбор и передачу, но и хранение, использование, уточнение, обезличивание, блокирование и уничтожение.

Оператор определяет цели обработки, состав данных и действия с ними, организует и/или осуществляет обработку. Отдельное лицо может обрабатывать данные по его поручению: например, обслуживать CRM. Поручение должно соответствовать требованиям закона; по общему правилу перед человеком за действия обработчика отвечает оператор.

Персональные данные — это не только паспорт, СНИЛС, ИНН или номер телефона. Закон специально формулирует определение широко: это любая информация, которая прямо или косвенно относится к определенному или определяемому физическому лицу.

Само по себе имя может быть просто словом. Но если к нему добавить телефон, email, фотографию, геолокацию, историю заказов или город проживания, разрозненные фрагменты начинают складываться в конкретного человека. Если по набору информации можно установить личность, включаются правила 152-ФЗ.

Тот, кто организует обработку и определяет её цели, состав данных и действия с ними, выступает оператором персональных данных. Оператором может быть не только крупная IT-компания, но и банк, магазин, клиника, работодатель, школа, фитнес-клуб, предприниматель с email-рассылкой или другое лицо, если обработка идет не только для личных и семейных нужд.

По закону: статья 5. Цель должна быть конкретной, законной и определённой заранее. Состав и объём данных должны ей соответствовать; избыточные сведения собирать нельзя. Оператор обеспечивает точность данных и при необходимости их актуальность.

Хранить данные в форме, позволяющей определить человека, можно не дольше, чем требуется для целей обработки, если срок не установлен федеральным законом или соответствующим договором. По достижении цели либо утрате необходимости в ней данные уничтожаются или обезличиваются, если закон не предусматривает иного.

Главная обязанность оператора — заранее определить цель обработки. Нельзя собирать данные «на всякий случай», потому что когда-нибудь они могут пригодиться. Любое действие с данными — сбор, запись, хранение, уточнение, передача, обезличивание, блокировка или уничтожение — должно соответствовать конкретной законной цели.

Закон работает по принципу соразмерности. Если человек регистрируется на форуме о комнатных растениях, администрации достаточно никнейма и email для восстановления пароля. Требовать скан паспорта, доход, семейное положение или политические взгляды для такой цели нельзя.

Нельзя и свободно смешивать базы с несовместимыми целями. Данные онлайн-кинотеатра нельзя просто объединить с медицинским сервисом, чтобы таргетировать рекламу консультаций. Различие целей требует проверки их совместимости: закон прямо запрещает объединять базы с несовместимыми целями обработки. Само по себе дополнительное согласие не отменяет этот запрет.

По закону: статьи 6 и 9. Согласие — одно из оснований обработки. Закон предусматривает и другие: например, исполнение установленной законом обязанности или обработку, необходимую для исполнения договора с человеком. Основание проверяют для каждой цели, а не для сервиса в целом.

Согласие должно быть свободным, конкретным, предметным, информированным, сознательным и однозначным. Оно оформляется отдельно от других документов и информации, которые человек подтверждает или подписывает. Доказать получение согласия либо наличие другого законного основания обязан оператор.

Обычно допустима форма, позволяющая подтвердить получение согласия. Если закон требует письменного согласия, действуют специальные требования части 4 статьи 9 к его содержанию и подписанию. Обычная галочка не заменяет такое согласие автоматически.

Согласие важно, но оно не превращает обработку данных в черную дыру. Иногда отдельная галочка не нужна: например, когда данные обрабатываются для исполнения договора. Если человек заказал пиццу, адрес нужен для доставки. При передаче данных внешней курьерской организации дополнительно учитываются её роль и требования к передаче или поручению обработки.

Но договор доставки не дает права автоматически отправлять рекламные пуши, передавать телефон партнерам или использовать историю заказов для стороннего маркетинга. Как только цель выходит за рамки договора, требуется отдельное основание и часто отдельное согласие.

На практике согласие часто прячут в длинных документах, маскируют под обязательное условие регистрации или оформляют интерфейс так, чтобы отказ был почти незаметен. Такие темные паттерны подрывают осознанность согласия: человек должен понимать, кому, для чего, на какой срок и какие именно данные он разрешает использовать.

По закону: статьи 10–11. К специальным категориям относятся сведения о расовой и национальной принадлежности, политических взглядах, религиозных или философских убеждениях, здоровье и интимной жизни. Их обработка по общему правилу запрещена; основания-исключения перечислены в статье 10.

Биометрическими признаются сведения о физиологических и биологических особенностях человека, по которым можно установить его личность и которые оператор использует для установления личности. По общему правилу требуется письменное согласие; исключения установлены частью 2 статьи 11.

Не все персональные данные одинаковы по уровню риска. Сведения о здоровье, политических взглядах, религиозных убеждениях, интимной жизни и похожие категории находятся под особенно строгой защитой. Их нельзя обрабатывать просто для удобства сервиса или маркетинга.

Биометрия тоже требует отдельного внимания. Важно не только наличие фотографии или видеозаписи, а способ использования. Если система выделяет параметры лица и сравнивает их с базой для идентификации человека, речь уже идет о биометрической обработке.

Предоставление биометрических данных не может быть обязательным, кроме предусмотренных федеральными законами случаев. Отказ предоставить биометрию или согласие на её обработку не должен служить основанием для отказа в обслуживании, если федеральный закон не требует такого согласия. Конкретный порядок идентификации зависит также от специальных законов.

По закону: статья 10.1. Согласие на обработку данных, разрешённых для распространения, оформляется отдельно от иных согласий. Человек может установить предусмотренные законом условия и запреты. Молчание и бездействие не признаются согласием на распространение.

Распространенный миф: если информация лежит в открытом доступе, ей можно пользоваться как угодно. Но открытый профиль в социальной сети не означает разрешения копировать фото, должность, телефон или email, собирать их в базы и продавать третьим лицам.

Закон различает согласие на обработку внутри платформы и согласие на распространение данных неограниченному кругу лиц. Молчание, незакрытый профиль или отсутствие запрета не равны разрешению на коммерческий парсинг и перепродажу данных.

Бремя доказывания лежит на том, кто использует данные. Если дата-брокер говорит «мы нашли это в интернете», ему всё равно нужно доказать законность последующей обработки. Если он ссылается на согласие, необходимо подтвердить его наличие и соблюдение условий; иные основания оцениваются по закону. Сам факт публикации сведений не разрешает любую дальнейшую обработку.

По закону: статьи 14, 18.1, 19 и 22. Оператор должен обеспечить законность и безопасность обработки, доступ к политике обработки персональных данных и реализацию прав человека. При сборе через сайт политика должна быть доступна на соответствующих страницах сбора.

По общему правилу до начала обработки необходимо уведомить Роскомнадзор. Исключения перечислены в части 2 статьи 22, включая обработку исключительно без автоматизации. Уведомление регулятора, политика и согласие человека выполняют разные задачи и не заменяют друг друга.

Оператор обязан думать о безопасности до начала сбора, а не после утечки. Нужно принимать необходимые правовые, организационные и технические меры, ограничивать доступ к базам и защищать их от несанкционированных действий. Требование назначить ответственного за организацию обработки адресовано оператору — юридическому лицу.

Персональные данные не становятся собственностью компании. Оператор вправе обрабатывать их в пределах законных целей, оснований и сроков; обработка не является «арендой» личности или сведений о ней. Если человек оформляет доставку, он дает адрес для доставки; если открывает счет, передает данные для банковского обслуживания; если идет к врачу, сообщает сведения для медицинской помощи.

Субъект персональных данных имеет право спросить: какие данные обрабатываются, откуда они получены, зачем используются, кому передавались, сколько будут храниться и на каком основании. Если данные устарели, неполны, неточны или получены незаконно, можно требовать уточнения, блокировки или уничтожения.

По закону: статьи 14, 20–21. Человек вправе получить сведения об обработке своих данных, её целях, основаниях, источниках, сроках и предусмотренных законом получателях. Запрос должен позволять установить заявителя и соответствовать требованиям статьи 14; доступ может быть ограничен в прямо предусмотренных законом случаях.

Запрос сведений и доступа: ответ предоставляется в течение 10 рабочих дней. Срок можно продлить максимум на 5 рабочих дней, направив мотивированное уведомление. Предоставление возможности ознакомления с данными осуществляется безвозмездно.

Исправление неточностей: при предоставлении подтверждающих сведений данные уточняются в течение 7 рабочих дней. Для блокирования на период проверки и уничтожения незаконно полученных или ненужных данных предусмотрены отдельные условия статей 20–21.

Требование прекратить обработку: общий срок — 10 рабочих дней; возможно мотивированное продление максимум на 5 рабочих дней. Обработка может продолжаться на основаниях-исключениях, указанных в части 5.1 статьи 21. Это требование следует отличать от отзыва согласия.

По закону: часть 2 статьи 9, части 4–6 статьи 21. Согласие можно отозвать. Но отзыв не означает безусловное удаление всех сведений: при наличии другого предусмотренного законом основания оператор вправе продолжить необходимую обработку.

По общему правилу после получения отзыва оператор прекращает обработку и, если сохранение данных больше не требуется, уничтожает их в срок до 30 дней. Закон предусматривает исключения, в том числе связанные с договором, соглашением и законными основаниями обработки без согласия.

Например, прекращение рекламного использования сведений не отменяет установленную законом обязанность хранить отдельные документы о состоявшейся операции. Сохранять данные можно для обоснованной цели, а не для продолжения любой прежней деятельности.

Укажите оператору, какое согласие отзываете и какую обработку просите прекратить. Сохраните подтверждение отправки. Если обработка продолжается, запросите её правовое основание и срок хранения.

По закону: часть 5 статьи 18 и статья 12. При сборе данных граждан РФ запись, систематизация, накопление, хранение, уточнение и извлечение с использованием баз за пределами России не допускаются. Исключения прямо перечислены в части 5 статьи 18.

Трансграничная передача регулируется отдельно. До её начала оператор по общему правилу направляет отдельное уведомление Роскомнадзору, собирает предусмотренные законом сведения о получателе и соблюдает применимые условия передачи, ограничения и запреты.

Для сайта, облачной CRM или ИИ-сервиса нужно установить, где фактически собираются и обрабатываются сведения и кому они передаются. Наличие российской базы или согласия пользователя само по себе не решает все вопросы использования зарубежного сервиса.

По закону: статья 16. Решения, основанные исключительно на автоматизированной обработке персональных данных и создающие юридические последствия либо иным образом затрагивающие права и законные интересы человека, по общему правилу запрещены.

Исключения — письменное согласие человека либо случаи, установленные федеральными законами, которые также предусматривают меры защиты его прав. Оператор должен объяснить порядок принятия решения и его возможные последствия, предоставить возможность возразить и разъяснить способы защиты.

Возражение рассматривается в течение 30 дней с уведомлением о результате. Это правило относится не к любому использованию нейросети, а к решениям, отвечающим признакам статьи 16.

Например, при автоматической оценке заявки необходимо выяснить, какое решение принимает система, затрагивает ли оно права человека и действительно ли принимается исключительно автоматически. Для передачи данных самой нейросети также нужны законная цель, основание и соблюдение требований к безопасности и передаче.

По закону: статьи 17, 21 и 24. При нарушении человек вправе обратиться к оператору, обжаловать его действия или бездействие в Роскомнадзор либо обратиться в суд. Закон предусматривает судебную защиту, включая возмещение убытков и компенсацию морального вреда. Обращение к оператору не является универсальным обязательным условием жалобы.

Сохраните доказательства: скриншоты, сообщения, адреса страниц, даты, запросы и ответы. Укажите, какие данные затронуты и чего вы требуете: объяснить основание обработки, исправить сведения, прекратить незаконное использование либо уничтожить данные при наличии оснований.

При установленном факте неправомерной или случайной передачи, распространения или доступа, повлекшем нарушение прав субъектов данных, оператор уведомляет Роскомнадзор об инциденте в течение 24 часов с момента выявления. О результатах внутреннего расследования он сообщает в течение 72 часов с момента выявления инцидента.

Ответственность определяется законодательством РФ в зависимости от состава нарушения. Штраф государству и компенсация пострадавшему — разные правовые последствия; компенсация не возникает автоматически из факта назначения штрафа.

152-ФЗ задаёт последовательную рамку: определить цель и правовое основание, ограничить объём данных, обеспечить безопасность, соблюдать сроки и права человека. Жизненные примеры помогают понять эти правила, но конкретная ситуация оценивается с учётом исключений и специальных норм.

Основной источник: Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных». Статьи для проверки указаны в каждом разделе. Текст содержит пояснения к закону, а не дословное воспроизведение его положений.

Перед кнопкой «Я согласен» полезно проверить: кто получит данные, для какой цели, какие сведения нужны, на каком основании и как долго их будут использовать.