Эволюция регулирования персональных данных с 2006 года: Федеральные законы № 152-ФЗ и № 149-ФЗ

Аннотация

УДК 342.9:004.056

Прослежена эволюция регулирования персональных данных в России после принятия Федеральных законов № 152-ФЗ и № 149-ФЗ в 2006 году. Сопоставлены базовая конструкция этих законов и ключевые направления их развития, включая локализацию баз данных, ужесточение ответственности, реформу трансграничной передачи, требование об отдельном согласии и появление специальных режимов. Показан переход от рамочного закона к плотной регламентации и рост цены ошибки для оператора. Сформулированы выводы о тенденциях регулирования и практических последствиях для операторов.

Ключевые слова: персональные данные, 152-ФЗ, 149-ФЗ, локализация, трансграничная передача, 266-ФЗ, 156-ФЗ, 265-ФЗ, экспериментальный правовой режим.

Abstract

Abstract. The evolution of personal data regulation in Russia after the adoption of Federal Laws No. 152-FZ and No. 149-FZ in 2006 was traced. The basic constructions of these laws and the key directions of their development, including data localisation, stricter liability, cross-border transfer reform, the separate-consent requirement and the emergence of special regimes, were compared. The transition from a framework law to dense regulation and the growing cost of operator error was shown. Conclusions on regulatory trends and practical consequences for operators were formulated.

Keywords: personal data, 152-FZ, 149-FZ, localisation, cross-border transfer, 266-FZ, 156-FZ, 265-FZ, experimental legal regime.

Введение

27 июля 2006 года стали точкой отсчёта современного российского регулирования в информационной сфере: в один день были приняты два взаимосвязанных закона — Федеральный закон № 149-ФЗ «Об информации, информационных технологиях и о защите информации» и Федеральный закон № 152-ФЗ «О персональных данных». Первый сменил рамочный закон 1995 года и урегулировал общие вопросы информационной среды, второй создал профильный режим обработки сведений о человеке. Вместе они образовали конструкцию, которая с тех пор неоднократно корректировалась, но сохранила базовую логику разделения общего информационного права и специального статуса персональных данных.

Для оператора эта хроника важна не как перечень дат, а как объяснение того, почему требования к обработке стали плотнее. Локализация баз, уведомление о трансграничной передаче, отдельное согласие и специальные режимы под технологические задачи появились не одновременно и не случайно. Каждая волна поправок отвечала на конкретный вызов — от архитектуры хранения данных граждан Российской Федерации до контроля за их перемещением за рубеж и за формой волеизъявления субъекта. Без понимания этой линии легко воспринимать действующий 152-ФЗ как набор разрозненных ограничений, а не как результат последовательного ужесточения и детализации.

Цель настоящего исследования — раскрыть базовую конструкцию Федеральных законов № 152-ФЗ и № 149-ФЗ и проследить ключевые направления их эволюции. Предшествующий период, охватывающий 1991–2006 годы, рассмотрен в статье о формировании правовых основ защиты персональных данных. Общая карта этапов представлена в статье об истории регулирования персональных данных в России и мире, а предыстория государственной фиксации сведений о личности — в материале о периоде до 1991 года.

1. Федеральный закон № 152-ФЗ: базовые понятия и принципы

Закон 2006 года ввёл систему понятий, которая определила логику регулирования на годы вперёд. Персональные данные были определены как любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу. Такое определение охватывало широкий круг сведений — от имени и адреса до косвенных признаков, позволяющих идентифицировать человека. Оператор — это государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки, состав данных и совершаемые с ними действия. Обработка понимается как любое действие или совокупность действий с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу, обезличивание, блокирование, удаление и уничтожение. Сам перечень операций задал широту предмета: почти любое обращение со сведениями о человеке попадало в правовую рамку, даже если оператор привык считать «обработкой» только хранение в базе.

Принципы обработки, закреплённые в законе, задали требования, которые оператор обязан соблюдать при любой обработке. Законность и справедливость означали, что данные могут обрабатываться только на законных основаниях и без ущемления прав субъекта. Целевое ограничение запрещало обработку, несовместимую с целями сбора. Минимизация требовала, чтобы объём и содержание данных соответствовали заявленным целям и не были избыточными. Точность и актуальность обязывали принимать меры по удалению или уточнению неполных и неточных данных. Хранение допускалось не дольше, чем этого требуют цели обработки, если иной срок не установлен законом или договором. Эти принципы не были простой декларацией: их нарушение могло повлечь ответственность, а в спорных ситуациях именно на них ссылались контролирующие органы и суды.

Практический смысл принципов для оператора состоит в том, что они связывают отдельные документы и процессы в единую логику. Цель, заявленная в политике в отношении обработки персональных данных, должна совпадать с фактическими операциями. Согласие не может «покрывать» всё подряд, если цели несовместимы. Срок хранения нельзя выбирать произвольно «на всякий случай». В этом отношении закон 2006 года уже содержал каркас, который позднейшие поправки не отменили, а наполнили дополнительными процедурами и санкциями.

Права субъекта и обязанности оператора были распределены по тексту закона. Субъект получал право на доступ к своим данным, на уточнение, блокирование или уничтожение данных, если они неполны, устарели, неточны, незаконно получены или не являются необходимыми для заявленной цели. Оператор, в свою очередь, обязан обеспечивать законность обработки, конфиденциальность, меры по защите данных и взаимодействие с уполномоченным органом. Для контроля за соблюдением этих требований закон предусмотрел уполномоченный орган по защите прав субъектов персональных данных, функции которого были возложены на Роскомнадзор. Орган получил полномочия запрашивать информацию, проводить проверки, требовать уточнения, блокирования или уничтожения данных, а также привлекать виновных к ответственности в пределах компетенции, установленной законодательством.

Появление специального надзора закрепило институциональный сдвиг. Если до 2006 года персональные данные существовали как термин и рамочная категория в общем информационном законодательстве, то профильный закон связал права субъекта, обязанности оператора и публичный контроль в одну систему. Именно эта связка объясняет, почему последующие волны поправок так болезненно воспринимались бизнесом: менялись не только нормы, но и плотность контроля за их исполнением.

Базовая конструкция 2006 года поэтому сохраняет практическую ценность даже после множества редакций. Позднейшие изменения почти всегда «садятся» на уже заданные оси: кто оператор, какова цель, какое основание, какие права у субъекта и как устроен надзор. Без этой опоры хроника поправок превращается в список дат, а с ней — в понятную траекторию усложнения режима.

2. Федеральный закон № 149-ФЗ: информационная среда

Закон № 149-ФЗ регулирует отношения, связанные с использованием информационных технологий, защитой информации и предоставлением информации. Его предмет шире, чем обработка персональных данных: он охватывает информационные системы, информационно-телекоммуникационные сети, электронные сообщения, доменные имена, сайты и иные объекты информационной инфраструктуры. Пересечение с 152-ФЗ происходит там, где обработка персональных данных осуществляется с использованием информационных технологий. В таких случаях применяются оба закона: 149-ФЗ задаёт общие правила функционирования информационной среды, а 152-ФЗ — специальные требования к обработке сведений о человеке.

На практике это означает, что оператор, использующий сайт или информационную систему для сбора данных, должен учитывать требования обоих актов. При размещении информации в сети необходимо соблюдать как правила доступности и распространения информации, установленные 149-ФЗ, так и требования к обработке персональных данных, установленные 152-ФЗ. Разграничение предметов важно для точной юридической квалификации, однако в повседневной работе оператора эти два закона действуют в связке. Сайт, форма обратной связи, личный кабинет клиента — типичные точки, где информационная инфраструктура и режим персональных данных встречаются в одном процессе.

Исторически 149-ФЗ заменил Федеральный закон от 20 февраля 1995 года № 24-ФЗ «Об информации, информатизации и защите информации», в котором термин «персональные данные» появился впервые, но без детального специального режима. Одновременное принятие 149-ФЗ и 152-ФЗ в 2006 году институционально закрепило разделение: общее информационное право и профильный статут персональных данных больше не смешивались в одном рамочном акте. Это разграничение подробно показано в статье о периоде 1991–2006 годов.

Для настоящей хроники существенно другое. Поправки, которые обычно обсуждают как «изменения в 152-ФЗ», нередко затрагивали и 149-ФЗ, особенно в части локализации и ограничений доступа к информационным ресурсам. Поэтому эволюцию режима персональных данных после 2006 года нельзя читать изолированно от информационной среды, в которой эти данные обрабатываются.

Именно поэтому в настоящей статье 149-ФЗ рассматривается не как второстепенный «фон», а как парный элемент конструкции. Без него трудно объяснить, почему требования к размещению баз и к доступности информационных ресурсов оказались связаны с режимом персональных данных граждан Российской Федерации и почему оператору недостаточно смотреть только в текст 152-ФЗ.

3. Эволюция 152-ФЗ: ключевые поправки

После принятия закона в 2006 году регулирование развивалось волнообразно: рамочные нормы постепенно наполнялись детализацией, а цена нарушения для оператора росла. Первая волна поправок пришлась на начало 2010-х годов и была связана с уточнением понятий и практики применения закона. В этот период законодатель прояснял границы предмета регулирования, в том числе за счёт уточнения определения персональных данных, что снизило ряд неясностей правоприменения. Смысл волны для оператора состоял не в радикальной смене модели, а в более предсказуемом чтении широкого определения закона.

Вторая волна связана с Федеральным законом от 21 июля 2014 года № 242-ФЗ, который внёс изменения в 152-ФЗ и 149-ФЗ и установил требование о локализации баз данных. Согласно новым нормам, оператор обязан обеспечивать запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории России. Требование вступило в силу с 1 сентября 2015 года. Место нахождения базы данных подлежало указанию в уведомлении, направляемом в Роскомнадзор. Нарушение локализации могло повлечь ограничение доступа к информационному ресурсу. Эта поправка стала одной из наиболее значимых для операторов, поскольку потребовала пересмотра архитектуры информационных систем и размещения серверных мощностей.

Локализация изменила не только техническую карту хранения, но и политико-правовую логику. Государство явно связало защиту персональных данных граждан с территориальным контролем над инфраструктурой обработки. С этого момента российская модель всё заметнее сочетала права субъекта с требованиями цифрового суверенитета — линией, которая позже проявится и в регулировании трансграничной передачи.

Третья волна охватывает период примерно с 2017 по 2022 год и связана с ужесточением ответственности за нарушения и реакцией законодателя на участившиеся утечки данных. В эти годы усиливались требования информировать уполномоченный орган о существенных инцидентах с персональными данными и развивались сопутствующие механизмы взаимодействия с инфраструктурой противодействия компьютерным атакам. Конкретные редакции норм, суммы штрафов и пошаговые процедурные сроки в настоящем обзоре не приводятся, поскольку они неоднократно менялись и требуют отдельного анализа. Для линии эволюции важен сам тренд: законодатель перестал считать достаточным наличие формальной документации и стал жёстче реагировать на фактические нарушения безопасности и порядка обработки.

Четвёртая волна связана с Федеральным законом от 14 июля 2022 года № 266-ФЗ, который существенно изменил подход к трансграничной передаче персональных данных и уточнил правила распространения данных. Закон закрепил экстерриториальный принцип действия отдельных положений 152-ФЗ: российское регулирование стало применяться к обработке данных граждан России иностранными лицами на основании договоров или согласий. Была введена разрешительно-уведомительная логика для трансграничной передачи: оператор обязан уведомить Роскомнадзор о намерении осуществлять такую передачу, а уполномоченный орган получил право запрещать или ограничивать передачу данных в определённые юрисдикции. Кроме того, были уточнены правила обработки персональных данных, разрешённых субъектом для распространения, — эта категория потребовала отдельного согласия и соблюдения установленных субъектом запретов и условий.

Смысл реформы 2022 года состоит в том, что трансграничный поток данных перестал восприниматься как почти автоматическое продолжение внутренней обработки. Он стал самостоятельной зоной риска и предметом предварительного контроля. Подробнее эта линия раскрыта в статье о трансграничной передаче и цифровом суверенитете.

Пятая волна приходится на 2024–2025 годы и связана, в частности, с Федеральным законом от 24 июня 2025 года № 156-ФЗ «О создании многофункционального сервиса обмена информацией и о внесении изменений в отдельные законодательные акты Российской Федерации». Среди прочего этот акт ввёл требование об оформлении согласия на обработку персональных данных отдельным документом. С 1 сентября 2025 года согласие не может быть «вшито» в текст договора, политики, анкеты или иного документа, который подписывает или подтверждает субъект: оно должно быть оформлено отдельно. Это изменение потребовало от операторов пересмотра процессов сбора согласий и адаптации форм взаимодействия с субъектами. Одновременно ужесточались санкции за нарушения в сфере обработки персональных данных, хотя конкретные размеры штрафов в настоящем обзоре не рассматриваются. Календарный срез актуальных изменений дан в обзоре изменений законодательства о персональных данных 2025–2026 годов.

Шестая волна связана с Федеральным законом от 26 июля 2026 года № 265-ФЗ, который уточнил подход к трансграничной передаче персональных данных. Закон скорректировал критерии включения иностранных государств в перечень стран, обеспечивающих адекватную защиту прав субъектов, в том числе в соотношении с положениями Конвенции Совета Европы № 108: формального статуса участника Конвенции само по себе уже недостаточно, если не учитываются содержание регулирования и применяемые меры защиты. Это изменение отражает общую тенденцию к усилению контроля за трансграничными потоками данных и обеспечению цифрового суверенитета. Подробный операторский срез — в обзоре изменений 2025–2026 годов и в статье о трансграничной передаче.

Компактно хронологию ключевых ориентиров можно представить так:

• начало 2010-х — уточнение понятий и практики применения;
• 21.07.2014 / 01.09.2015 — 242-ФЗ и локализация баз данных;
• 2017–2022 — ужесточение ответственности и реакция на утечки;
• 14.07.2022 — 266-ФЗ: трансграничная передача и распространение;
• 24.06.2025 / 01.09.2025 — 156-ФЗ: отдельное согласие;
• 26.07.2026 — 265-ФЗ: уточнение критериев трансграничной передачи.

Общая линия эволюции 152-ФЗ демонстрирует переход от рамочного закона, каким он был в 2006 году, к плотной регламентации, охватывающей почти все аспекты обработки персональных данных. Цена ошибки для оператора за этот период существенно возросла: от сравнительно мягких последствий первых лет к ужесточению ответственности, требованиям об уведомлении об инцидентах и ограничениям трансграничной передачи.

4. Специальные режимы и технологические вызовы

По мере усложнения регулирования в общей рамке 152-ФЗ стали появляться специальные режимы, ориентированные на конкретные технологические задачи. Одним из первых примеров стал Федеральный закон от 24 апреля 2020 года № 123-ФЗ, установивший экспериментальный правовой режим в Москве для разработки и внедрения технологий искусственного интеллекта. Появление таких режимов отражает поиск баланса между защитой прав субъектов персональных данных и созданием условий для технологического развития. Общая рамка 152-ФЗ сохраняется, но дополняется точечными правилами, учитывающими специфику отдельных сфер.

Федеральный закон от 26 июля 2026 года № 243-ФЗ «О поддержке развития технологий искусственного интеллекта в Российской Федерации» обозначил отдельную линию государственной поддержки больших моделей искусственного интеллекта. Как и экспериментальный режим 2020 года, этот акт не отменяет 152-ФЗ, а показывает, что современный этап регулирования строится по модели наслоения: базовый закон сохраняется, а вокруг него появляются экспериментальные и отраслевые конструкции. Детальный разбор обезличивания, методов и процедур экспериментальных режимов в настоящую статью не входит — это самостоятельные сюжеты, им посвящены отдельные материалы.

Для оператора практический вывод из этого короткого раздела прост. Даже если организация не участвует в экспериментальных режимах, сам факт их появления сигнализирует о направлении политики: законодатель готов точечно адаптировать общие правила под технологические задачи, не демонтируя институт персональных данных. Ожидать «возврата» к простой рамочной модели 2006 года не приходится.

Сравнительный фон международных моделей, на фоне которых читается российская эволюция после 2006 года, представлен в статье о международном опыте защиты персональных данных. Там же видно, почему локализация и трансграничный контроль нельзя сводить к простому копированию GDPR или иных зарубежных конструкций.

Заключение

1. Принятие 27 июля 2006 года Федеральных законов № 152-ФЗ и № 149-ФЗ создало двухуровневую систему регулирования: общие правила информационной среды и специальный режим обработки персональных данных. Закон 152-ФЗ определил базовые понятия — персональные данные, оператор, обработка — и закрепил принципы, которыми оператор обязан руководствоваться.
2. Эволюция 152-ФЗ прошла через несколько волн поправок, каждая из которых отражала реакцию законодателя на новые вызовы. Локализация баз данных, ужесточение ответственности, требования к согласиям и ограничения трансграничной передачи последовательно усложняли регулирование и повышали требования к операторам.
3. Переход от рамочного закона к плотной регламентации привёл к росту цены ошибки для оператора. Если в первые годы после принятия закона нарушения нередко оставались без серьёзных последствий, то позднее санкции и контрольная практика стали заметно жёстче.
4. Появление специальных режимов, включая экспериментальный правовой режим по 123-ФЗ и линию поддержки технологий искусственного интеллекта по 243-ФЗ, знаменует этап наслоения: общая рамка 152-ФЗ дополняется точечными правилами для отдельных технологических сфер.
5. Тенденция к усилению контроля за трансграничными потоками данных и обеспечению цифрового суверенитета проявляется в последовательном уточнении критериев, по которым определяется адекватность защиты прав субъектов в иностранных юрисдикциях, включая изменения по 265-ФЗ.
6. Для оператора история эволюции 152-ФЗ имеет практическое значение: понимание логики законодателя позволяет точнее оценивать регуляторные риски и прогнозировать направление дальнейших изменений.
7. Документационное обеспечение обработки персональных данных требует согласованного подхода, учитывающего накопленный нормативный опыт. Конструктор документов «ГЕНЕРАТОР152ФЗ» позволяет сформировать пакет локальных актов с учётом действующей редакции требований.

Таким образом, регулирование персональных данных в России прошло путь от рамочного закона 2006 года до сложной системы, сочетающей общую рамку со специальными режимами и плотным контролем за ключевыми операциями — от хранения данных граждан на территории страны до формы согласия и трансграничной передачи.

Список литературы

1. Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» // Собрание законодательства РФ. — 2006. — № 31 (ч. 1). — Ст. 3451.
2. Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации» // Собрание законодательства РФ. — 2006. — № 31 (ч. 1). — Ст. 3448.
3. Федеральный закон от 21.07.2014 № 242-ФЗ «О внесении изменений в отдельные законодательные акты Российской Федерации в части уточнения порядка обработки персональных данных в информационно-телекоммуникационных сетях» // Собрание законодательства РФ. — 2014. — № 30 (ч. 1). — Ст. 4243.
4. Федеральный закон от 14.07.2022 № 266-ФЗ «О внесении изменений в Федеральный закон „О персональных данных“, отдельные законодательные акты Российской Федерации и признании утратившей силу части четырнадцатой статьи 30 Федерального закона „О банках и банковской деятельности“» // Собрание законодательства РФ. — 2022. — № 29. — Ст. 5233.
5. Федеральный закон от 24.06.2025 № 156-ФЗ «О создании многофункционального сервиса обмена информацией и о внесении изменений в отдельные законодательные акты Российской Федерации» // Официальный интернет-портал правовой информации.
6. Федеральный закон от 26.07.2026 № 265-ФЗ «О внесении изменений в статью 12 Федерального закона „О персональных данных“ и отдельные законодательные акты Российской Федерации» // Официальный интернет-портал правовой информации.
7. Федеральный закон от 24.04.2020 № 123-ФЗ «О проведении эксперимента по установлению специального регулирования в целях создания необходимых условий для разработки и внедрения технологий искусственного интеллекта в субъекте Российской Федерации — городе федерального значения Москве…» // Собрание законодательства РФ. — 2020. — № 17. — Ст. 2701.
8. Федеральный закон от 26.07.2026 № 243-ФЗ «О поддержке развития технологий искусственного интеллекта в Российской Федерации» // Официальный интернет-портал правовой информации.
9. Практическая защита персональных данных [Электронный ресурс] // Security Vision. — 2021. — URL: https://www.securityvision.ru/blog/prakticheskaya-zashchita-personalnykh-dannykh/ (дата обращения: 11.09.2026).
10. Новый закон: согласия на обработку персональных данных должны быть оформлены отдельно от других документов [Электронный ресурс] // Gorodissky. — 2025. — URL: https://www.gorodissky.ru/ (дата обращения: 11.09.2026).
11. День открытых дверей Роскомнадзора по вопросам персональных данных (14 августа 2026 года) [Электронный ресурс] // BIRCH Legal. — 2026. — URL: https://birchlegal.ru/legal_alerts/3812/ (дата обращения: 11.09.2026).

Сведения об авторе

Афанасьев Александр Александрович, специалист по информационной безопасности, магистр управления персоналом, юрист, e-mail: info@генератор152фз.рф.