152-ФЗ о персональных данных: ключевые понятия простыми словами

Федеральный закон «О персональных данных» (152-ФЗ) принят в 2006 году и с тех пор многократно дополнялся. Он определяет, что такое персональные данные, кто и на каких основаниях вправе их обрабатывать и какие права остаются у человека. Любой сайт или приложение с формой регистрации в России так или иначе имеет с ним дело.

Закон вводит несколько ролей. Субъект — человек, чьи данные обрабатываются. Оператор — организация или лицо, определяющее цели и способы обработки. Обработка — любое действие: сбор, запись, хранение, уточнение, передача, удаление.

Логика закона строится на цели. Оператор должен заранее определить, зачем собирает данные, и не использовать их для несовместимых целей. Обрабатывать разрешается на определённых основаниях: с согласием субъекта, для исполнения договора, для выполнения обязанностей, установленных законом.

Согласие должно быть конкретным, информированным и сознательным. Для ряда случаев, например для специальных категорий, действуют более строгие требования к форме. На практике на сайтах вы видите галочку с ссылкой на политику обработки, но оператор должен уметь подтвердить, что согласие действительно было дано.

Одно из самых обсуждаемых требований закона — запись, систематизация, накопление, хранение и уточнение персональных данных граждан России с использованием баз, находящихся на территории страны. Это не означает запрета зарубежных серверов вообще: после первичной локализации допустима передача за границу при соблюдении дополнительных условий.

Трансграничная передача, то есть отправка данных на территорию другого государства, требует предварительного уведомления надзорного органа и оценки, обеспечивает ли принимающая страна адекватную защиту прав субъектов. Для рядового пользователя это выглядит как пункт в политике обработки: где физически лежат ваши данные и кому передаются. Если сервис не отвечает на вопрос, где хранятся данные, это стоит учитывать при выборе, какие сведения ему доверять.

Оператор назначает ответственного за организацию обработки, публикует политику в отношении обработки данных, принимает меры защиты, ведёт внутренние документы. При сборе данных россиян нужно обеспечивать первичную запись и хранение в базах, расположенных в России — это одно из заметных требований последних лет. Если данные утекли, есть обязанность уведомлять уполномоченный орган в установленные сроки.

За нарушения предусмотрена административная ответственность, а в отдельных случаях — иные меры. Конкретные размеры и составы лучше смотреть в актуальной редакции закона, поскольку они менялись несколько раз.

Обратите внимание, что закон различает и обработку без использования средств автоматизации, например бумажные анкеты в офисе. К ней применяются свои правила: хранение отдельно по категориям, контроль доступа к шкафам и журналам. Поэтому передавая паспорт на рецепции или в клинике, вы вправе поинтересоваться, куда попадает копия и как долго она будет храниться.

Субъект вправе узнать, обрабатываются ли его данные, получить сведения об обработке, потребовать уточнить, заблокировать или удалить данные, если они неточны, устарели или не нужны для заявленной цели. Он вправе отозвать согласие. Оператор обязан ответить на обращение в установленный срок.

Обращение удобнее всего отправлять письменно по контактам из политики обработки и сохранять подтверждение отправки. Если оператор не реагирует, можно обратиться в надзорный орган или в суд.

Оба документа защищают человека, но подход различается. Европейский регламент шире по территориальному охвату и предусматривает более крупные штрафы, а российский закон делает акцент на локализации баз и на понятной документарной стороне. Сравнение по пунктам есть на странице про GDPR.

Для обычного пользователя это скорее фон. Практический совет остаётся тем же: делитесь минимумом информации, читайте, кому и зачем передаются сведения, и не бойтесь пользоваться правом запросить или удалить свои данные.

Кроме того, закон предусматривает уведомление надзорного органа о начале обработки и ведение перечней лиц, имеющих доступ. Крупные операторы отвечают и за то, чтобы сотрудники были ознакомлены с положениями закона и внутренними документами.