Внимание: В российском правовом поле регулирование персональных данных осуществляется не Гражданским кодексом (ГК РФ), а Федеральным законом № 152‑ФЗ «О персональных данных». Тем не менее в некоторых учебных и справочных материалах статья 152 ГК РФ упоминается в контексте защиты прав субъектов данных. В этой статье мы рассмотрим основные положения Федерального закона № 152‑ФЗ и укажем, как они соотносятся с общими принципами Гражданского кодекса.

Источники правового регулирования персональных данных

• Федеральный закон от № 152‑ФЗ «О персональных данных» (далее – Закон 152‑ФЗ).
• Гражданский кодекс РФ (части первая‑третья) – общие нормы о защите прав потребителей, договорных отношениях и ответственности за нарушение прав.
• Конституция РФ, статья 23 (право на неприкосновенность частной жизни).
• Другие нормативные акты: закон «О защите прав потребителей», закон «Об информации, информационных технологиях и о защите информации», постановления Роскомнадзора.

Основные понятия, определяемые Законом 152‑ФЗ

2.1 Персональные данные

Персональные данные – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных). К таким данным относятся:

1. ФИО, дата и место рождения;
2. Паспортные данные, ИНН, СНИЛС;
3. Контактные данные (телефон, e‑mail, адрес);
4. Биометрические и генетические данные;
5. Информация о здоровье, семейном положении, доходах и т.д.

2.2 Оператор и обработка данных

Оператор – юридическое или физическое лицо, которое самостоятельно или совместно с другими определяет цели и способы обработки персональных данных.

Обработка данных – любое действие (или совокупность действий), совершаемое с персональными данными, включая сбор, запись, систематизацию, хранение, уточнение, использование, передачу, блокирование, уничтожение и др.

Принципы обработки персональных данных (п. 1 ст. 3 Закона 152‑ФЗ)

• Законность и справедливость. Обработка допускается только в рамках закона и должна быть справедливой по отношению к субъекту.
• Точность; Данные должны быть актуальными, полными и достоверными.
• Минимизация. Обрабатываются только те данные, которые необходимы для достижения заявленных целей.
• Ограничение срока хранения. Данные хранятся не дольше, чем это необходимо для целей обработки.
• Конфиденциальность и безопасность. Оператор обязан принимать меры по защите данных от несанкционированного доступа.

Права субъекта персональных данных

Согласно ст. 5‑12 Закона 152‑ФЗ, субъект имеет следующие права:

1. Право на информацию. Оператор обязан предоставить сведения о цели, способах и сроках обработки.
2. Право на доступ. Субъект может запросить копию своих данных и информацию об их обработке.
3. Право на уточнение и дополнение. При обнаружении неточностей субъект вправе потребовать их исправления.
4. Право на удаление (право «быть забытым»). При отсутствии законных оснований для дальнейшей обработки субъект может потребовать уничтожения данных.
5. Право на ограничение обработки. В случае спора субъект может потребовать приостановить обработку до выяснения обстоятельств.
6. Право на переносимость данных. Субъект может потребовать предоставить данные в машиночитаемом виде.
7. Право на отзыв согласия. Если обработка основана на согласии, субъект может отозвать его в любой момент.

Обязанности оператора (ст. 13‑15 Закона 152‑ФЗ)

• Получать согласие субъекта, если иное не предусмотрено законом.
• Обеспечивать конфиденциальность и безопасность данных (технические и организационные меры).
• Вести реестр операций обработки персональных данных.
• Уведомлять субъектов и уполномоченный орган о нарушениях безопасности (утечках).
• Соблюдать требования к трансграничной передаче данных (получение согласия, заключение договоров, соблюдение стандартов).

Ответственность за нарушение закона

За ненадлежащее исполнение обязанностей операторов предусмотрена административная и гражданско‑правовая ответственность:

1. Административные штрафы. По ст. 13.11‑13.12 КоАП РФ штрафы могут достигать 6 млн руб. для юридических лиц.
2. Гражданско‑правовая ответственность. Субъекты могут требовать возмещения морального вреда (ст. 15 ГК РФ) и компенсацию убытков.
3. Уголовная ответственность. В редких случаях, при злостном нарушении, возможна уголовная ответственность (ч. 4 ст. 272 УК РФ).

Как статья 152 ГК РФ соотносится с законом о персональных данных?

Статья 152 Гражданского кодекса РФ («Ответственность за неисполнение или ненадлежащее исполнение обязательств») устанавливает общие правила о возмещении убытков и компенсации морального вреда. При нарушении прав субъектов персональных данных (например, утечка данных) пострадавший может опираться как на ст. 152 ГК РФ, так и на специальные нормы Закона 152‑ФЗ. Это позволяет:

• Требовать возмещения реального ущерба (затраты на восстановление репутации, услуги по защите кибербезопасности).
• Получить компенсацию морального вреда, если утечка привела к публичному унижению или психологическому стрессу.
• Обратиться в суд с требованием о принудительном прекращении незаконной обработки персональных данных.

Практические рекомендации для организаций

8.1 Оценка рисков

Проведите анализ рисков обработки персональных данных, включающий:

• Идентификацию типов собираемых данных.
• Определение точек входа (веб‑формы, мобильные приложения, CRM‑системы).
• Оценку вероятности и последствий утечки.

8.2 Политика конфиденциальности

Разработайте и разместите на сайте политику конфиденциальности, где четко указаны цели обработки, правовые основания, сроки хранения и контакты ответственного лица (офицера по защите данных – DPO).

8.3 Технические меры

1. Шифрование данных при передаче и хранении.
2. Контроль доступа (многофакторная аутентификация, роли и права).
3. Регулярные резервные копии и проверка их целостности.
4. Обновление программного обеспечения и антивирусных решений.

8.4 Обучение персонала

Регулярно проводите тренинги по вопросам информационной безопасности и прав субъектов персональных данных. Сотрудники должны знать, как реагировать на запросы доступа и как правильно сообщать о инцидентах.

8.5 Реагирование на инциденты

Создайте план действий при утечке данных:

• Оповещение руководства и DPO.
• Оценка масштаба и характера утечки.
• Уведомление субъектов в течение 72 часов (по требованию Роскомнадзора).
• Сообщение в Роскомнадзор (если ущерб превышает 10 млн руб. или затронуты специальные категории данных).
• Документирование всех шагов и последующее расследование.

Трансграничная передача персональных данных

Согласно ст. 14‑15 Закона 152‑ФЗ, передача данных за пределы РФ возможна только при выполнении одного из условий:

1. Согласие субъекта на конкретную передачу.
2. Наличие международного договора, обеспечивающего адекватный уровень защиты.
3. Необходимость для исполнения договора, если субъект является стороной договора.
4. Требования законодательства другой страны, если они не противоречат российскому праву.

Для каждой такой передачи необходимо оформить договор о передаче персональных данных, где прописаны обязательства получателя по защите данных.

Хотя термин «Статья 152 гражданского кодекса о персональных данных» может вводить в заблуждение, реальная нормативно‑правовая база регулируется Федеральным законом № 152‑ФЗ «О персональных данных». Этот закон устанавливает чёткие права субъектов, обязанности операторов и механизмы ответственности. Совмещение положений Закона 152‑ФЗ с общими принципами Гражданского кодекса (ст. 152 ГК РФ) усиливает правовую защиту и предоставляет пострадавшим широкие возможности для возмещения ущерба.

Соблюдение требований закона – это не только юридическая необходимость, но и важный элемент доверия клиентов и партнёров к вашей компании.

Дата последнего обновления статьи: