152-ФЗ простыми словами: закон о персональных данных и обязанности оператора

152-ФЗ — федеральный закон, который регулирует отношения, связанные с обработкой персональных данных: устанавливает, что считается персональными данными, кто такой оператор, на каких основаниях можно обрабатывать данные, какие организационные и технические меры защиты обязательны и что грозит за нарушения (ст. 1 152-ФЗ). Закон действует с 27.07.2006 и с тех пор менялся десятки раз — только за 2024–2025 годы его коснулись пять федеральных законов: № 233-ФЗ, № 519-ФЗ, № 23-ФЗ, № 121-ФЗ и № 156-ФЗ.

Действующая редакция — от 24.06.2025. 152-ФЗ — специальный закон по отношению к общей рамке 149-ФЗ «Об информации»: последний задаёт базовые понятия информации и её защиты, а 152-ФЗ детализирует их для частного случая персональных данных.

Формально закон применяется к любой организации или физлицу, которые обрабатывают данные о людях с использованием автоматизации или без неё (ст. 1). Кадровый учёт сотрудников, база заказов клиентов, форма обратной связи на сайте — каждый из этих сценариев уже подпадает под определение обработки. Выйти из-под действия 152-ФЗ может разве что организация, которая вообще не собирает данные о физических лицах, — таких на практике немного.

Персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (п. 1 ч. 1 ст. 3 152-ФЗ). Это не только ФИО и паспортные данные: телефон, email, IP-адрес, фотография, геолокация, история покупок — всё это персональные данные, если по ним можно прямо или косвенно установить конкретного человека. Закон разделяет данные на четыре категории с разным режимом обработки.

↔ таблицу можно прокрутить вбок

Отдельно закон определяет обработку персональных данных — любое действие или совокупность действий с данными: сбор, запись, систематизацию, накопление, хранение, изменение, извлечение, использование, передачу, обезличивание, блокирование, удаление и уничтожение (ст. 3). То есть уже сам факт хранения контактов клиента в таблице — это обработка в смысле закона, даже если данные больше никуда не передаются.

Отдельный режим действует для данных о сотрудниках (персональные данные работника) и при передаче данных за пределы России (трансграничная передача ПДн).

Оператор — государственный орган, муниципальный орган, юридическое или физическое лицо, которые самостоятельно или совместно с другими организуют и (или) осуществляют обработку персональных данных, а также определяют цели обработки, состав данных и действия с ними (ст. 3 152-ФЗ). Оператором становится практически любая компания, которая собирает данные о сотрудниках, клиентах или посетителях сайта, — отдельной регистрации или лицензии для этого не нужно, статус оператора возникает автоматически, вместе с началом обработки.

У части организаций, попадающих под действие 152-ФЗ, есть и другой, отдельный регуляторный режим — если система обрабатывает данные в сферах здравоохранения, транспорта, связи, энергетики, финансов и других сферах критической информационной инфраструктуры, к ней могут применяться требования 187-ФЗ, независимо от требований о персональных данных: см. что такое КИИ и субъект КИИ.

Полный перечень обязанностей оператора разбросан по нескольким статьям закона (ст. 9, 18, 18.1, 19, 21, 22). Ниже — верхнеуровневый чек-лист без деталей: по каждому пункту на SecRadar есть отдельный разбор.

1. Определить правовое основание обработки. Согласие субъекта — не единственное основание, закон называет 11–12 самостоятельных оснований в ч. 1 ст. 6 (исполнение договора, требование закона, защита жизненно важных интересов и др.). Там, где основание — согласие, к его форме и содержанию есть требования. → как оформить согласие на обработку ПДн.
2. Уведомить Роскомнадзор до начала обработки (ст. 22). С 1 сентября 2022 года это обязательно для подавляющего большинства операторов — исключений осталось всего три, и все узкие. → пошаговая инструкция по уведомлению РКН.
3. Утвердить политику обработки персональных данных и локальные акты (ст. 18.1): назначить ответственного за организацию обработки, зафиксировать категории данных, субъектов, сроки хранения и порядок уничтожения, ознакомить сотрудников с этими документами.
4. Принять организационные и технические меры защиты (ст. 19): определить угрозы безопасности, применять сертифицированные средства защиты информации, соответствующие требуемому уровню защищённости, вести учёт носителей и контролировать доступ к данным. → уровни защищённости ИСПДн и что для них нужно.
5. Обеспечить локализацию баз данных в России (ч. 5 ст. 18). С 1 июля 2025 года это не просто обязанность, а прямой запрет использовать зарубежные базы данных при сборе ПДн граждан РФ, с узким перечнем исключений. → что грозит за нарушение локализации.
6. Уведомлять об инцидентах (ч. 3.1–3.3 ст. 21): в течение 24 часов сообщить в РКН о факте неправомерной передачи данных, в течение 72 часов — о результатах внутреннего расследования. → ответственность за утечку и её несвоевременное раскрытие.

Для мер защиты по ст. 19 отдельно стоит требование применять средства защиты информации, прошедшие оценку соответствия, — на практике это выбор среди сертифицированных ФСТЭК СЗИ. В реестре ФСТЭК числится 1 657 записей за всю историю, из которых по нашему подсчёту на 8 июля 2026 года действующими остаются 755 (reestr.fstec.ru/reg3) факт.

По типовому набору такие меры чаще всего закрывают несколько классов СЗИ: DLP — контроль каналов утечки персональных данных, DCAP — аудит и классификация доступа к хранилищам с ПДн, и СКЗИ — криптографическая защита ПДн при передаче и хранении оценка.

Статья 5 152-ФЗ задаёт общие принципы, которым должна соответствовать любая обработка персональных данных, — они работают как фильтр поверх любого правового основания из ст. 6:

• законность и справедливость оснований обработки;
• ограничение конкретными, заранее определёнными и законными целями — обработка, несовместимая с целями сбора, запрещена;
• запрет объединения баз данных, обработка которых ведётся в несовместимых между собой целях;
• обработка только тех данных, которые отвечают целям обработки, — запрет избыточности;
• обеспечение точности и, при необходимости, актуальности данных;
• хранение данных не дольше, чем требуют цели обработки, — после их достижения данные подлежат уничтожению или обезличиванию, если иное не предусмотрено законом.

На практике эти принципы чаще всего нарушаются не злым умыслом, а инерцией: компания собирает «на всякий случай» больше данных, чем нужно для заявленной цели, или хранит их бессрочно после того, как цель обработки уже достигнута.

С 30 мая 2025 года (правки в КоАП РФ Федеральным законом № 420-ФЗ от 30.11.2024) штрафы по ст. 13.11 КоАП выросли многократно, и впервые появились «оборотные» штрафы за повторную утечку — от 1% до 3% совокупной годовой выручки нарушителя. Отдельно действует ответственность за неуведомление РКН о начале обработки и за неуведомление об утечке в срок 24 часа.

Статьи, написанные до 30 мая 2025 года, называют старые, кратно меньшие суммы — они больше не соответствуют действующему КоАП. Подробный разбор сумм по каждой части статьи — на споке штрафы за утечку персональных данных.

Если организация раньше не занималась комплаенсом по 152-ФЗ, порядок действий обычно такой:

1. Составить перечень персональных данных, которые компания фактически собирает, — по сотрудникам, клиентам, посетителям сайта, — и зафиксировать, для каких целей и на каком основании ст. 6 они обрабатываются.
2. Там, где основанием служит согласие, а не другая норма ст. 6, — привести форму согласия в соответствие с требованиями закона. → как оформить согласие на обработку ПДн.
3. Проверить, подпадает ли компания под одно из трёх узких исключений от уведомления РКН, — и если нет, подать уведомление до начала обработки. → инструкция по уведомлению РКН.
4. Утвердить политику обработки персональных данных и локальные акты, назначить ответственного за организацию обработки.
5. Оценить угрозы безопасности, определить требуемый уровень защищённости и внедрить соответствующие организационные и технические меры. → уровни защищённости ИСПДн.
6. Проверить, где физически размещены базы данных с ПДн граждан РФ, и убедиться, что зарубежные базы для их сбора не используются, а также подготовить процедуру уведомления об инцидентах в сроки 24 и 72 часа. → последствия нарушения локализации и утечки.