Защита персональных данных в России¶

Защита персональных данных в России — совокупность правовых, организационных и технических мер, регулирующих обработку сведений, относящихся к прямо или косвенно определённому физическому лицу. Основу регулирования составляет Конституция РФ (статья 24), закрепляющая право на неприкосновенность частной жизни, и Федеральный закон № 152-ФЗ «О персональных данных» от 27 июля 2006 года.

¶Правовая база

Ключевые нормативные акты:

• Конституция РФ — статья 23 (неприкосновенность частной жизни) и статья 24 (запрет сбора, хранения и распространения информации о частной жизни без согласия).
• ФЗ № 152-ФЗ — базовый закон, определяющий понятия персональных данных, оператора, согласия субъекта, а также права и обязанности сторон.
• Трудовой кодекс — глава 14 регулирует защиту персональных данных работника.
• ФЗ № 149-ФЗ «Об информации, информационных технологиях и о защите информации».
• ФЗ № 242-ФЗ (2014) — требование локализации баз данных российских граждан на территории РФ.
• ФЗ № 572-ФЗ (2022) — регулирование идентификации и аутентификации, включая биометрические данные.

Надзорный орган — Роскомнадзор, уполномоченный по защите прав субъектов персональных данных.

¶Основные понятия

Персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу. Оператор — государственный орган, муниципальный орган, юридическое или физическое лицо, организующее и (или) осуществляющее обработку персональных данных. Обработка включает сбор, запись, систематизацию, накопление, хранение, уточнение, использование, передачу, обезличивание, блокирование и уничтожение.

¶Категории данных

¶Права субъекта

Субъект персональных данных вправе получать сведения об обработке своих данных, требовать их уточнения, блокирования или уничтожения в случае неполноты либо неправомерности обработки, отозвать согласие, а также обжаловать действия оператора в Роскомнадзоре или в суде.

¶Обязанности оператора

Оператор обязан получать согласие субъекта, обеспечивать конфиденциальность и безопасность, уведомлять Роскомнадзор о начале обработки (за исключениями), соблюдать требования локализации, а при утечке — уведомлять регулятора в течение 24 часов о факте инцидента и в течение 72 часов — о его результатах.

¶Ответственность

За нарушения предусмотрены административная (статья 13.11 КоАП РФ, штрафы для организаций достигают миллионов рублей) и уголовная (статья 272 УК РФ — неправомерный доступ к компьютерной информации) ответственность. С 2024 года введены оборотные штрафы за утечки персональных данных.

¶Технические меры

К техническим мерам относят шифрование, разграничение доступа, обезличивание, использование средств защиты информации, прошедших сертификацию ФСТЭК России, а также применение систем DLP и SIEM. Требования к уровню защищённости определяются постановлениями Правительства РФ.

¶Международный контекст

Россия не является участником Конвенции Совета Европы № 108 в полном объёме после денонсации ряда соглашений; трансграничная передача данных допускается при обеспечении адекватной защиты прав субъектов. Регулирование развивается в сторону усиления локализации и контроля за оборотом данных.