Введение
Федеральный закон № 152-ФЗ «О персональных данных» принят 27 июля 2006 года и является основным российским законодательным актом в области защиты персональных данных. Закон регулирует отношения, возникающие при обработке персональных данных с использованием средств автоматизации и без таковых, устанавливает права субъектов ПД и обязанности операторов.
Надзор за соблюдением 152-ФЗ осуществляет Роскомнадзор. Технические требования к защите ИСПДн устанавливает ФСТЭК (Приказ №21) и ФСБ (Приказ №378).
История и контекст
152-ФЗ принят в развитие Конвенции Совета Европы о защите персональных данных (Конвенция 108, 1981), к которой Россия присоединилась в 2006 году. За годы существования закон многократно редактировался. Существенные поправки 2022 года (ФЗ-266) приблизили российские требования к GDPR: введено уведомление Роскомнадзора об утечках в течение 24–72 часов, ужесточены требования к трансграничной передаче ПД, увеличены штрафы.
Ключевые требования 152-ФЗ
- Согласие субъекта – обработка ПД допустима только при наличии согласия (с рядом исключений).
- Уведомление Роскомнадзора – оператор обязан уведомить Роскомнадзор о намерении обрабатывать ПД.
- Локализация ПД – первичная запись ПД российских граждан должна осуществляться на серверах на территории РФ.
- Защита ИСПДн – принятие технических и организационных мер; 4 уровня защищённости ИСПДн по Постановлению Правительства №1119.
- Уведомление об утечках – в течение 24 часов (факт) и 72 часов (результаты расследования) уведомить Роскомнадзор.
- Срок хранения – ПД должны обрабатываться не дольше, чем необходимо для цели обработки.
Где применяется
- Любая организация, обрабатывающая ПД российских граждан (практически весь бизнес).
- HR-системы – персональные данные сотрудников.
- CRM/ERP – данные клиентов, контрагентов.
- Медицинские организации – специальные категории ПД (здоровье).
- Банки и финансы – ПД заёмщиков, вкладчиков.
Уровни защищённости ИСПДн
ПП РФ №1119 устанавливает 4 уровня: УЗ-1 (наивысший, специальные категории, большой объём, угрозы 1-го типа) – УЗ-4 (минимальные требования). Уровень определяет набор технических мер по Приказу ФСТЭК №21.
Связь с другими понятиями
152-ФЗ – российский аналог GDPR (имеет различия в деталях). Технические требования закрепляются через ФСТЭК (Приказ №21) и ФСБ (Приказ №378). Понятие оператора персональных данных – ключевое в законе. Утечка данных теперь обязательно уведомляется.
