20 лет закону о персональных данных.

27 июля 2026 года исполняется ровно 20 лет со дня подписания Федерального закона № 152-ФЗ «О персональных данных». Документ, принятый Государственной Думой 8 июля и одобренный Советом Федерации 14 июля 2006 года, за два десятилетия прошёл путь от рамочной нормы, о которой мало кто задумывался всерьёз, до одного из самых строгих и динамично меняющихся направлений российского права. Разбираемся, с чего всё начиналось и к чему пришло регулирование персональных данных сегодня.

Целью 152-ФЗ изначально было обеспечение защиты прав и свобод человека при обработке его персональных данных, включая право на неприкосновенность частной жизни, личную и семейную тайну. На тот момент закон во многом носил декларативный характер: у бизнеса не было чёткого понимания, как его исполнять, а у регулятора — реальных инструментов контроля. Многие компании годами работали с базами клиентов и сотрудников, даже не оформляя согласия на обработку данных.

За 20 лет закон менялся десятки раз, но можно выделить несколько поворотных моментов:

Параллельно с законом развивалась и вся экосистема регулирования: появился реестр операторов персональных данных, требования к государственным реестрам центров обработки данных, механизмы профилактических визитов и автоматизированного контроля со стороны надзорных органов.

Персональные данные давно перестали быть узкоспециальной темой для юристов и специалистов по информационной безопасности. Сегодня это зона повышенного внимания государства: штрафы за нарушения растут кратно и могут достигать сотен миллионов рублей, а мошенники всё чаще пытаются получить доступ к базам данных компаний, маскируясь под представителей регулятора.

При этом законодательство не стоит на месте: постоянно уточняются правила трансграничной передачи данных, вводится новый порядок обезличивания, меняются подходы к контролю и проверкам. Компаниям, которые работают с персональными данными клиентов и сотрудников — а таких сегодня абсолютное большинство, — важно не просто знать букву закона, а понимать, как эти нормы применяются на практике и какие ошибки чаще всего приводят к штрафам.

Отдельная линия усиления контроля — то, как именно Роскомнадзор инициирует и проводит административные расследования в отношении операторов персональных данных. Если раньше проверки чаще начинались по жалобам граждан, то сегодня поводом становится гораздо более широкий круг событий.

Что может запустить расследование:

Как строится процедура при утечке. Если у оператора произошла утечка персональных данных, он обязан уведомить Роскомнадзор в два этапа: в течение 24 часов сообщить о самом факте инцидента, а в течение 72 часов — направить результаты внутреннего расследования с описанием причин и принятых мер. Именно эти уведомления часто становятся отправной точкой для отдельного административного производства: регулятор сопоставляет предоставленные данные с фактическими процессами оператора, включая наличие согласий, законность оснований обработки и меры технической защиты.

Логика проверки изменилась. Раньше инспекторам было достаточно формального набора документов — политики обработки персональных данных, согласий, уведомления в реестре операторов. Сейчас Роскомнадзор всё чаще смотрит на способность компании доказать, что обработка данных действительно управляется, контролируется и соответствует заявленным целям, а не существует только на бумаге. Отсутствие расхождений между уведомлением, сайтом и внутренними документами становится одним из ключевых критериев при принятии решения о возбуждении дела.

Последствия. По итогам расследования Роскомнадзор вправе выдать предписание об устранении нарушений (с контролем исполнения в срок до шести месяцев) либо возбудить дело об административном правонарушении по ст. 13.11 КоАП РФ. С 28 декабря 2025 года такие дела рассматривают мировые судьи, что изменило и порядок обжалования решений. При этом суды учитывают обстоятельства: своевременное уведомление об утечке, отсутствие вреда для субъектов данных и то, что нарушение допущено впервые, могут стать основанием для замены штрафа на предупреждение — однако рассчитывать на это как на постоянную практику не стоит.

Для бизнеса это означает одно: готовность к расследованию нужно формировать заранее — до того, как поступит запрос от регулятора, а не в момент, когда он уже начался.

Уже к концу 2026 года ожидается очередной блок изменений в 152-ФЗ, включая новые нормы, связанные с использованием технологий искусственного интеллекса и обеспечением технологического суверенитета операторов персональных данных. Это значит, что даже спустя 20 лет после принятия закон продолжает активно развиваться — и бизнесу придётся адаптироваться к новым требованиям практически в режиме реального времени.

Ровно в тот момент, когда законодательство о персональных данных проходит через один из самых интенсивных этапов реформирования, важно не просто следить за новостями, а понимать, как выстроить работу компании так, чтобы избежать многомиллионных штрафов и внезапных проверок.

9 июля приглашаем вас на экспертный онлайн-стрим «Персональные данные 2026: новеллы, штрафы и типовые ошибки». Спикер — Ирина Ахмедова, руководитель практики по персональным данным и интеллектуальной собственности юридической фирмы «Клифф».

🔹 Дата: 09.07.2026 🔹 Время: 11:00–12:30 🔹 Формат: онлайн-стрим 🔹 Стоимость: бесплатно

Не откладывайте защиту данных и аудит процессов на потом — выстраивайте безопасную систему работы с персональными данными уже сейчас.

👉 Зарегистрироваться на онлайн-стрим