Важно помнить: персональные данные — это любая информация, позволяющая прямо или косвенно идентифицировать физическое лицо.
Защита таких сведений регулируется не только Федеральным законом № 152-ФЗ «О персональных данных», но и рядом иных нормативных актов, которые устанавливают ограничения на охрану персональных данных для различных субъектов права.

Кто считается «субъектом права» в контексте 152-ФЗ?

• Операторы — государственные и частные организации, ИП, которые самостоятельно или совместно с другими лицами определяют цели обработки, состав персональных данных и действия с ними.
• Операторы-распорядители — лица, обрабатывающие данные по поручению оператора (например, аутсорсинговые колл-центры, подрядчики).
• Третьи лица — получатели персональных данных, которым оператор передаёт сведения в рамках договора или закона.

Основные ограничения на охрану персональных данных

Ограничения по целям обработки

Оператор обязан обрабатывать персональные данные строго в рамках заявленных целей, указанных в Политике конфиденциальности и Согласии субъекта персональных данных.
Например, если вы собрали email-адреса клиентов для отправки счетов, использовать их для рассылки рекламы без дополнительного согласия запрещено.

Ограничения по объёму и категориям данных

• Минимизация данных: собирать только ту информацию, которая необходима для достижения цели.
• Специальные категории (ст. 10 152-ФЗ): данные о здоровье, религии, политических взглядах можно обрабатывать лишь при наличии явного письменного согласия субъекта или в строго определённых законом случаях.

Ограничения сроков хранения

Персональные данные не должны храниться дольше, чем необходимо для достижения цели обработки.
После истечения срока данные подлежат удалению или обезличиванию.

Ограничения на трансграничную передачу

1. Передача в страны, обеспечивающие адекватную защиту прав субъектов, разрешена без дополнительных условий.
2. Передача в остальные государства возможна только при наличии письменного согласия субъекта или при условиях, прописанных в ст. 12 152-ФЗ (договор, стандартные договорные clauses, и т. д.).

Ограничения для отдельных субъектов

Роскомнадзор и реестр нарушителей

Попадание в Реестр нарушителей прав субъектов персональных данных влечёт:

• запрет на обработку данных, полученных с нарушением закона;
• административные штрафы до 150 000 рублей (ст. 13.11 КоАП РФ);
• возможное приостановление доступа к информационным ресурсам (ст. 15.1 ФЗ-149).

Ограничения для иностранных операторов

Нерезиденты обязаны:

1. Уведомлять Роскомнадзор о начале обработки данных россиян.
2. Назначать представителя на территории РФ для взаимодействия с органами надзора.

Права и ограничения субъекта персональных данных

1. Проверьте политику конфиденциальности: убедитесь, что цели, объём и сроки обработки соответствуют закону.
2. Обновите согласия: если расширяете цели или категории данных — получите новое согласие.
3. Документируйте: ведите журнал учёта обращений субъектов и реестр операций по ст. 6 152-ФЗ.
4. Аудит: проводите регулярные внутренние проверки или привлекайте внешних экспертов.

Помните: несоблюдение ограничений может привести не только к штрафам, но и к включению в реестр нарушителей, что нанесёт репутационный ущерб вашей организации.