Сегодня почти каждый из нас ежедневно оставляет цифровой след: регистрируется на сайтах, покупает товары онлайн, пользуется мобильными приложениями.
В результате в интернете накапливается огромное количество личных данных — от имени и адреса до биометрических сведений. Но кто и как защищает эти данные от неправомерного использования? Давайте проследим, как в России создавалась система защиты персональных данных — от первых правовых норм до современных требований.
Первые шаги: от декларации к Конституции.
С распадом СССР и формированием новой российской государственности вопросы защиты персональных данных вышли на первый план. Важнейшим рубежом стал 1991 год, когда Верховный Совет РСФСР принял Декларацию прав и свобод человека и гражданина. В ней впервые на постсоветском пространстве чётко зафиксировали: собирать, хранить, использовать и распространять информацию о частной жизни без согласия человека запрещено.
Эта норма не осталась декларацией — в 1993 году она вошла в Конституцию РФ, став гарантией неприкосновенности частной жизни. Так право на защиту персональных данных получило высшую юридическую силу, заложив фундамент всей будущей системы защиты персональных данных.
Законы 1990‑х: определение понятий и первые требования.
В 1995 году появился Федеральный закон № 24‑ФЗ «Об информации, информатизации и защите информации». Он впервые дал юридическое определение персональным данным: это сведения о фактах, событиях и обстоятельствах жизни гражданина, которые позволяют идентифицировать его личность. Закон отнёс такие данные к конфиденциальной информации и ввёл требования к защите персональных данных, включая обязательное лицензирование их обработки.
В 1999 году страны СНГ приняли модельный закон о защите персональных данных, предложив общие правила для региона. Однако Россия ориентировалась в большей степени на европейские стандарты, где обеспечение защиты персональных данных уже было хорошо проработано.
Современный фундамент: закон № 152‑ФЗ.
Ключевым событием стало принятие 27 июля 2006 года Федерального закона № 152‑ФЗ «О персональных данных». Этот документ сформировал полноценную систему защиты персональных данных в России, установив:
· правовую основу для обращения с персональными данными;
· принцип: обработка данных возможна только с согласия субъекта (ключевое требование к защите персональных данных);
· особый режим для специальных категорий данных (расовая принадлежность, политические взгляды и др.), требующих повышенной защиты персональных данных;
· полномочия федерального органа исполнительной власти по контролю за обеспечением защиты персональных данных.
Закон не остался статичным: его неоднократно дополняли, совершенствуя систему защиты персональных данных под новые технологические вызовы.
Усиление ответственности: изменения 2022–2024 годов.
В 2022 году начались серьёзные правки, направленные на усиление защиты персональных данных:
· изменены формы согласий на обработку данных;
· уточнены сроки реагирования на запросы граждан;
· пересмотрены правила уведомления регулятора о обеспечении защиты персональных данных.
В 2023 году корректировки коснулись:
· сроков подачи уведомлений в Роскомнадзор о мерах по защите персональных данных;
· порядка уничтожения персональных данных с соблюдением требований к защите персональных данных;
· полномочий ведомства при трансграничной передаче информации, затрагивающей защиту персональных данных.
Но самым знаковым стало ноябрьское обновление 2024 года — изменения в Кодексе РФ об административных правонарушениях (КоАП РФ). Федеральный закон от 30 ноября 2024 года № 420‑ФЗ (вступил в силу 30 мая 2025 года) кардинально ужесточил ответственность за нарушения требований к защите персональных данных.
Что изменилось в регулировании защиты персональных данных?
1. Общие нарушения (ч. 1 ст. 13.11 КоАП РФ) — обработка данных без разрешения или не по целям сбора, что противоречит требованиям к защите персональных данных:
· для граждан: 10 000–15 000 руб. (было 2 000–6 000 руб.);
· для должностных лиц: 50 000–100 000 руб. (было 10 000–20 000 руб.);
· для юрлиц: 150 000–300 000 руб. (было 60 000–100 000 руб.).
2. Повторные нарушения (ч. 1.1 ст. 13.11 КоАП РФ), свидетельствующие о недостаточном обеспечении защиты персональных данных:
· для юрлиц: 300 000–500 000 руб. (было 100 000–300 000 руб.).
3. Новые составы правонарушений в сфере защиты персональных данных:
· Неуведомление Роскомнадзора о начале обработки данных (ч. 10 ст. 13.11 КоАП РФ) — штраф для юрлиц 100 000–300 000 руб. (нарушение требований к защите персональных данных);
· Задержка сообщения об утечке данных (ч. 11 ст. 13.11 КоАП РФ) — штраф для юрлиц 1 000 000–3 000 000 руб. (прямое несоблюдение обязанностей по обеспечению защиты персональных данных);
· Повторная утечка — «оборотный» штраф: 1–3% годовой выручки, но не менее 20 000 000 руб. и не более 500 000 000 руб. (ч. 15 ст. 13.11 КоАП РФ), что подчёркивает серьёзность подхода к защите персональных данных.
4. Утечка особых категорий данных, требующая усиленной защиты персональных данных:
· Специальные данные (ч. 16 ст. 13.11 КоАП РФ):
o граждане: 300 000–400 000 руб.;
o должностные лица: 1 000 000–1 300 000 руб.;
o юрлица: 10 000 000–15 000 000 руб.
· Биометрические данные (ч. 17 ст. 13.11 КоАП РФ), нуждающиеся в особом обеспечении защиты персональных данных:
o граждане: 400 000–500 000 руб.;
o должностные лица: 1 300 000–1 500 000 руб.;
o юрлица: 15 000 000–20 000 000 руб.
5. Другие нововведения в области обеспечения защиты персональных данных:
· ответственность за нарушение обработки биометрии в Единой системе идентификации и аутентификации (ЕСИА);
· штрафы за непринятие мер по защите персональных данных (ст. 13.11.3 КоАП РФ).
Что это значит для граждан и бизнеса?
Теперь дела о нарушениях, в сфере защиты персональных данных рассматриваются в арбитражных судах, а индивидуальные предприниматели несут ответственность как юридические лица. Эти меры призваны:
· усилить контроль за обеспечением защиты персональных данных;
· снизить риски утечек, подрывающих систему защиты персональных данных;
· особенно жёстко наказать за нарушения при работе с биометрией и специальными категориями данных, где требования к защите персональных данных максимально строги.
Таким образом, российское законодательство о персональных данных прошло долгий путь — от первых конституционных гарантий до детальной системы защиты персональных данных с жёсткими санкциями. Сегодня защита персональных данных стала не просто правом, а строго регламентированной обязанностью для всех, кто работает с информацией, а обеспечение защиты персональных данных — ключевым элементом цифровой безопасности общества.