Формирование правовых основ защиты персональных данных в России (1991–2006)

Аннотация

УДК 342.9

Прослежены этапы формирования правовых основ защиты персональных данных в России в период с 1991 по 2006 год. Сопоставлены конституционные гарантии 1993 года и первые законодательные акты, включая Декларацию 1991 года, Закон о частной детективной и охранной деятельности 1992 года и Федеральный закон № 24-ФЗ 1995 года. Показано влияние международных стандартов, прежде всего Конвенции № 108 и Модельного закона СНГ, на развитие российского законодательства. Обоснована необходимость принятия профильного Федерального закона № 152-ФЗ, обусловленная рамочным характером предшествующих норм и ростом практики массовой обработки сведений о гражданах. Разграничены Федеральный закон № 24-ФЗ и Федеральный закон № 149-ФЗ, а также уточнена хронология присоединения России к Конвенции № 108.

Ключевые слова: персональные данные, Конституция РФ, Федеральный закон № 24-ФЗ, Конвенция № 108, Модельный закон СНГ, история регулирования, 152-ФЗ.

Abstract

Abstract. The stages of formation of the legal foundations for personal data protection in Russia from 1991 to 2006 were traced. The constitutional guarantees of 1993 and the first legislative acts, including the 1991 Declaration, the 1992 Law on Private Detective and Security Activities, and Federal Law No. 24-FZ of 1995, were compared. The influence of international standards, primarily Convention No. 108 and the CIS Model Law, on the development of Russian legislation was shown. The necessity of adopting the specialised Federal Law No. 152-FZ, conditioned by the framework nature of previous norms and the growth of mass processing of citizens’ data, was substantiated. Federal Law No. 24-FZ and Federal Law No. 149-FZ were distinguished, and the chronology of Russia’s accession to Convention No. 108 was clarified.

Keywords: personal data, Constitution of the Russian Federation, Federal Law No. 24-FZ, Convention No. 108, CIS Model Law, history of regulation, 152-FZ.

Введение

Распад Советского Союза и провозглашение Российской Федерации в качестве самостоятельного государства сопровождались сменой правовой парадигмы, затронувшей и сферу обработки сведений о человеке. На протяжении предшествующих десятилетий учёт населения служил интересам государства, а гражданин выступал объектом фиксации данных, лишённым правовых средств контроля за информацией о себе. Период с 1991 по 2006 год стал временем, когда были заложены основы принципиально иного подхода, при котором человек постепенно начал признаваться носителем прав в отношении своих персональных данных, а на государство и иных субъектов обработки стали возлагаться обязанности по соблюдению установленных правил.

Хронологические границы исследования выбраны не случайно. Нижняя граница связана с началом постсоветского правотворчества и появлением первых актов, прямо говоривших о неприкосновенности частной жизни. Верхняя граница совпадает с принятием Федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных», который завершил этап «оснований» и открыл этап специального режима. Между этими точками лежит путь от конституционных деклараций и рамочных норм к осознанию того, что без профильного закона права субъекта остаются труднореализуемыми.

Для современного оператора этот период важен не как музейная история, а как объяснение архитектуры действующего регулирования. Многие привычные сегодня конструкции, включая согласие, право на ознакомление со сведениями о себе и разделение общего информационного законодательства и специального режима персональных данных, именно тогда получили первые формулировки. Без понимания этого фундамента легко смешать Федеральный закон № 24-ФЗ с Федеральным законом № 149-ФЗ или считать, что институт персональных данных возник только после ужесточения санкций 2010–2020-х годов.

Цель настоящего исследования — проследить, как в постсоветской России формировались правовые основы защиты персональных данных и почему рамочных норм, принятых в 1990-е годы, оказалось недостаточно для создания полноценного правового режима. Рассмотрение ведётся с опорой на историко-правовой метод, позволяющий увидеть логику законодателя в контексте менявшихся общественных отношений.

Предыстория этого процесса, охватывающая дореволюционный и советский периоды, рассмотрена в статье о предыстории регулирования персональных данных до 1991 года. Общая характеристика этапов регулирования персональных данных в России и мире представлена в статье об истории регулирования персональных данных в России и мире.

1. Конституционные гарантии (1993)

Конституция Российской Федерации, принятая 12 декабря 1993 года, стала фундаментальным актом, закрепившим права человека в качестве высшей ценности. В контексте регулирования персональных данных особое значение приобрели две статьи, определившие базовые ориентиры для последующего законодательства. Они не использовали ещё термин «персональные данные» в современном смысле, однако сформулировали ценности и запреты, без которых позднейший специальный закон был бы невозможен.

Статья 23 Конституции закрепила право каждого на неприкосновенность частной жизни, личную и семейную тайну, защиту своей чести и доброго имени. Часть вторая этой статьи установила, что ограничение права на тайну переписки, телефонных переговоров, почтовых, телеграфных и иных сообщений допускается только на основании судебного решения. Для регулирования обработки персональных данных это означало признание того, что сведения о частной жизни человека составляют охраняемую законом тайну и не могут быть предметом произвольного вмешательства. Тем самым государство впервые на высшем нормативном уровне связало защиту частной сферы с ограничениями на сбор и использование информации о человеке.

Статья 24 Конституции сформулировала запрет на сбор, хранение, использование и распространение информации о частной жизни лица без его согласия. Вторая часть этой статьи обязала органы государственной власти и органы местного самоуправления, а также их должностных лиц обеспечивать каждому возможность ознакомления с документами и материалами, непосредственно затрагивающими его права и свободы, если иное не предусмотрено законом. Здесь впервые на конституционном уровне прозвучала идея согласия как условия обработки информации о частной жизни, а также право на доступ к касающимся человека сведениям. Обе конструкции позже станут опорными для Федерального закона № 152-ФЗ, хотя и получат в нём гораздо более детальную процедурную разработку.

Значение этих норм состоит в том, что они задали вектор развития законодательства, ориентированный на защиту прав субъекта. Однако конституционные положения сами по себе не создавали детализированного правового режима обработки персональных данных. В них отсутствовали определение оператора и его обязанностей, принципы обработки, требования к защите информации и механизмы контроля со стороны уполномоченного органа. Конституция обозначила ценности, но не установила процедуры. Для формирования полноценного института требовались специальные законодательные акты.

Сравнительный контекст делает этот вывод ещё яснее. К 1993 году в Европе уже действовали национальные законы о защите данных, Конвенция № 108 и готовилась общеевропейская гармонизация, завершившаяся Директивой 95/46/ЕС. Россия же начинала с конституционных гарантий и лишь затем постепенно наращивала законодательную детализацию. Такой порядок объясняет, почему отечественный институт персональных данных в 1990-е годы выглядел незавершённым. Сначала были закреплены права и запреты, а инструменты их реализации появились с задержкой, связанной и с новизной правовой системы, и с темпами информатизации.

Практический смысл конституционных статей для последующего правотворчества состоял ещё и в том, что они задали критерии оценки отраслевых и рамочных законов. Любой акт, допускавший сбор сведений о частной жизни без согласия или закрывавший человеку доступ к затрагивающим его материалам, оказывался под вопросом с точки зрения соответствия Конституции. Именно поэтому дальнейшее законодательство двигалось не от нуля, а в рамках уже заданной конституционной логики, даже когда конкретные процедуры ещё не были прописаны.

2. Первые законодательные акты

Переход от конституционных деклараций к конкретным правовым нормам начался с принятия нескольких актов, каждый из которых вносил свой вклад в формирование будущего института. Эти акты не составляли единой системы и часто регулировали смежные, но разные предметы. Тем не менее именно в их совокупности видно, как идея защиты сведений о личности постепенно выходила за пределы общей правозащитной риторики и проникала в отраслевое и информационное законодательство.

Декларация прав и свобод человека и гражданина, принятая Верховным Советом РСФСР 22 ноября 1991 года, стала одним из первых документов, закрепивших на постсоветском пространстве право на неприкосновенность частной жизни, а также тайну переписки, телефонных переговоров, телеграфных и иных сообщений. Статья 9 Декларации формулировала запрет на сбор, хранение, использование и распространение информации о частной жизни лица без его согласия. Декларация носила характер программного документа, однако она обозначила намерение законодателя следовать международным стандартам в области прав человека, включая право на неприкосновенность частной жизни. Её значение состоит прежде всего в фиксации политико-правового поворота, а не в создании готового механизма контроля за обработкой данных.

Следующим шагом стало принятие Закона Российской Федерации от 11 марта 1992 года № 2487-1 «О частной детективной и охранной деятельности в Российской Федерации». Этот акт, регулировавший деятельность частных детективов и охранных структур, содержал отраслевой запрет на сбор сведений, связанных с личной жизнью, политическими и религиозными убеждениями отдельных лиц. Разрешение на выяснение биографических и других характеризующих личность данных об отдельных гражданах при заключении ими трудовых и иных контрактов требовало письменного согласия этих граждан. Закон демонстрировал, что даже в отраслевом регулировании начинает формироваться подход, при котором обработка сведений о личности требует согласия самого лица. Для истории института это важный сигнал. Ограничения на сбор данных появляются не только в общих правозащитных текстах, но и в правилах конкретной предпринимательской деятельности.

Наиболее значимым актом этого периода стал Федеральный закон от 20 февраля 1995 года № 24-ФЗ «Об информации, информатизации и защите информации». Именно в этом законе впервые на законодательном уровне было закреплено понятие «персональные данные». Закон определял их как сведения о фактах, событиях и обстоятельствах жизни гражданина, позволяющие идентифицировать его личность. Персональные данные были отнесены к категории конфиденциальной информации, что означало установление особого режима их обработки и защиты. Закон также установил общие принципы сбора информации, однако его нормы носили рамочный характер. В нём отсутствовали детальные требования к обработке персональных данных, не были определены обязанности операторов и не предусматривался специальный уполномоченный орган по защите прав субъектов.

Рамочность 24-ФЗ объясняет его историческую роль. Он легитимировал сам термин «персональные данные» и связал их с режимом конфиденциальности, но не создал полноценной системы прав субъекта и обязанностей оператора. Для организаций 1990-х и начала 2000-х годов этого часто оказывалось недостаточно, поскольку оставались открытыми вопросы о допустимых целях обработки, сроках хранения, порядке доступа гражданина к своим данным и ответственности за нарушения. Закон работал как общий информационный каркас, а не как специальный статут персональных данных.

Впоследствии Федеральный закон № 24-ФЗ утратил силу и был заменён Федеральным законом от 27 июля 2006 года № 149-ФЗ «Об информации, информационных технологиях и о защите информации», который урегулировал общие вопросы информационной сферы. При этом не следует смешивать эти два акта. Федеральный закон № 24-ФЗ 1995 года и Федеральный закон № 149-ФЗ 2006 года являются разными законами, действовавшими в разные периоды. Профильный закон о персональных данных (№ 152-ФЗ) принят одновременно с № 149-ФЗ, но регулирует иной предмет. Такое разграничение принципиально для корректной хронологии. Термин появился в 1995 году, общий информационный закон обновился в 2006 году, а специальный режим персональных данных был создан отдельным актом того же 2006 года.

3. Международное влияние

Формирование российского законодательства о персональных данных происходило в условиях активного взаимодействия с международными стандартами. Конвенция Совета Европы о защите физических лиц при автоматизированной обработке персональных данных (ETS № 108), открытая для подписания в Страсбурге 28 января 1981 года, стала первым юридически обязывающим международным договором в этой сфере. Для постсоветской России обращение к Конвенции означало выбор ориентира, уже прошедшего проверку в государствах с развитой практикой защиты данных, и одновременно обязательство выстраивать внутренние механизмы, совместимые с конвенционными принципами.

Российская Федерация подписала Конвенцию 7 ноября 2001 года. Федеральный закон от 19 декабря 2005 года № 160-ФЗ «О ратификации Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных» оформил внутреннее решение о ратификации. Грамота о ратификации была сдана 15 мая 2013 года, а Конвенция вступила в силу для Российской Федерации с 1 сентября 2013 года. Разрыв между подписанием, внутригосударственной ратификацией и фактическим вступлением в силу отражает сложность приведения национального законодательства в соответствие с международными обязательствами и необходимость создания внутренних правовых механизмов, обеспечивающих исполнение конвенционных норм.

Хронология здесь показательна. Внутренняя ратификация состоялась ещё до принятия 152-ФЗ, а завершение международной процедуры пришлось уже на период действия профильного закона. Это означает, что движение к Конвенции № 108 и разработка отечественного специального закона шли параллельно и подкрепляли друг друга, хотя календарные даты не совпадали. Для историка права такой разрыв важен как свидетельство того, что международное обязательство само по себе не заменяет национального статута, а требует предварительной или сопутствующей внутренней нормативной работы.

Параллельно развивалось сотрудничество в рамках Содружества Независимых Государств. Межпарламентская ассамблея государств – участников СНГ 16 октября 1999 года приняла Модельный закон «О персональных данных». Этот документ определял операции с персональными данными и их правовой режим с учётом общепризнанных норм международного права. Целью Модельного закона провозглашалась защита прав человека в отношении его персональных данных, а также определение правового режима их использования и функций держателей данных. Модельный закон служил ориентиром для национальных законодателей государств СНГ, включая Россию, и способствовал формированию общих подходов к регулированию в регионе. Он не имел прямой обязательной силы, однако задавал язык понятий и структуру будущего специального закона.

Определённое влияние на российское законодательство оказала и Директива 95/46/ЕС, принятая Европейским парламентом и Советом 24 октября 1995 года. Она гармонизировала законодательство государств – членов Европейского союза в области защиты персональных данных и ввела единые требования к обработке. Хотя Россия не являлась участником Европейского союза, опыт европейского регулирования учитывался при разработке отечественных норм, прежде всего как пример того, как можно связать права субъекта, обязанности оператора и надзор. Детальный разбор европейского пути регулирования представлен в статье о международном опыте защиты персональных данных.

Необходимость сближения с международными обязательствами стала одним из факторов, стимулировавших разработку профильного российского закона. Однако формирование этого закона имело и внутренние предпосылки, связанные с развитием цифровых технологий и ростом рынка обработки данных. Международный стандарт задавал целевой образ института, а внутренняя практика показывала, что рамочных норм 1990-х годов для его достижения уже недостаточно.

4. Предпосылки принятия Федерального закона № 152-ФЗ

К концу 1990-х – началу 2000-х годов стало очевидно, что рамочные нормы, заложенные в Конституции и Федеральном законе № 24-ФЗ, не обеспечивают достаточной защиты прав субъектов персональных данных. Развитие цифровых технологий, распространение интернета и рост числа организаций, обрабатывающих сведения о гражданах, создавали новые вызовы, на которые законодательство не отвечало. В литературе и публицистике периода отмечались случаи несанкционированного распространения баз сведений о гражданах и обсуждались вопросы трансграничного обмена данными. Эти сюжеты, наряду с потребностью сближения с международными стандартами, формировали политический и экспертный запрос на специальный закон.

Проблема состояла не только в отдельных злоупотреблениях, но и в отсутствии ясной правовой карты для добросовестных участников оборота. Организации не имели достаточно определённых ориентиров относительно того, кого считать оператором, какие сведения относятся к персональным данным в прикладных ситуациях и как документально оформлять обработку. Граждане, в свою очередь, не располагали понятной процедурой реализации конституционного права на доступ к затрагивающим их сведениям вне узкого круга административных отношений. Рамочный закон обозначал ценности, но оставлял слишком многое на усмотрение практики.

Попытки принять специальный закон о персональных данных предпринимались с конца 1990-х годов. В Государственную Думу неоднократно вносились профильные законопроекты, в том числе на рубеже 1998–2000 годов, однако они не были приняты. В течение десятилетия законодателям предлагалось несколько вариантов регулирования, каждый из которых сталкивался с различными препятствиями, связанными и с новизной предмета, и с необходимостью согласовать интересы государства, бизнеса и правозащитной логики. Лишь к середине 2000-х годов сложились условия для принятия профильного закона, учитывающего как международные стандарты, так и российские реалии.

К 2006 году стало ясно, что Конституция и Федеральный закон № 24-ФЗ задали правовую рамку, но не заменили специальный закон, способный обеспечить детальное регулирование обработки персональных данных. Одновременное принятие 27 июля 2006 года Федерального закона № 152-ФЗ и Федерального закона № 149-ФЗ закрепило эту логику институционально. Общие вопросы информации и информационных технологий были вынесены в 149-ФЗ, а персональные данные получили собственный статут. Тем самым завершился этап «основ» и начался этап специального режима, который в последующие годы будет уточняться поправками, но уже не подменяться одним лишь рамочным актом.

Этот момент служит естественным водоразделом. Всё, что происходило до 2006 года, объясняет происхождение ключевых понятий и конституционных гарантий. Всё, что произошло после, относится уже к эволюции действующего профильного закона и смежных конструкций. Именно поэтому настоящая статья ограничивается периодом формирования основ и сознательно не разворачивает последующие линии локализации, специальных режимов и ужесточения ответственности — их подробнее рассматривают статья об эволюции 152-ФЗ и 149-ФЗ и обзор изменений 2025–2026 годов.

Заключение

1. Период с 1991 по 2006 год стал временем смены правовой парадигмы в отношении обработки сведений о человеке. От государственного учёта, при котором гражданин был объектом фиксации данных, был совершён переход к признанию человека носителем прав на информацию о себе. Конституция 1993 года закрепила ключевые гарантии, включая неприкосновенность частной жизни, запрет на сбор информации о частной жизни без согласия и право на доступ к касающимся человека сведениям.
2. Первые законодательные акты, а именно Декларация 1991 года, Закон о частной детективной и охранной деятельности 1992 года и Федеральный закон № 24-ФЗ 1995 года, последовательно развивали идею защиты персональных данных, но носили фрагментарный или рамочный характер. Впервые термин «персональные данные» был закреплён на законодательном уровне именно в законе 1995 года, однако детального механизма защиты создано не было.
3. Международное влияние, прежде всего Конвенция № 108 и Модельный закон СНГ, стимулировало формирование российского законодательства. Подписание Конвенции в 2001 году, принятие Федерального закона № 160-ФЗ в 2005 году и вступление Конвенции в силу для РФ в 2013 году обозначили приверженность России международным стандартам, однако путь к их реализации оказался длительным.
4. Рамочные нормы 1990-х годов не обеспечивали достаточной защиты прав субъектов персональных данных в условиях развития цифровых технологий. Попытки принять профильный закон предпринимались с конца 1990-х годов, но не увенчались успехом вплоть до 2006 года.
5. Принятие Федерального закона от 27 июля 2006 года № 152-ФЗ стало закономерным итогом предшествующего развития. Он вобрал в себя конституционные гарантии, международные стандарты и потребности правоприменительной практики, создав основу для правового режима обработки персональных данных (подробнее — в статье об эволюции 152-ФЗ и 149-ФЗ с 2006 года).
6. Для современного оператора понимание этого этапа важно, поскольку оно объясняет логику действующих норм. Конституционные гарантии, закреплённые в 1993 году, и рамочные законы 1990-х годов стали фундаментом, на котором строится современное регулирование.

Таким образом, период 1991–2006 годов представляет собой этап формирования правовых основ защиты персональных данных в России, когда были заложены конституционные гарантии, приняты первые законодательные акты и созданы предпосылки для появления профильного закона.

Список литературы

1. Конституция Российской Федерации (принята всенародным голосованием 12.12.1993) // Российская газета. — 1993. — 25 дек.
2. Декларация прав и свобод человека и гражданина: принята постановлением Верховного Совета РСФСР от 22.11.1991 № 1920-1 // Ведомости СНД РСФСР и ВС РСФСР. — 1991. — № 52. — Ст. 1865.
3. Закон РФ от 11.03.1992 № 2487-1 «О частной детективной и охранной деятельности в Российской Федерации» // Российская газета. — 1992. — 30 апр.
4. Федеральный закон от 20.02.1995 № 24-ФЗ «Об информации, информатизации и защите информации» (утратил силу) // Собрание законодательства РФ. — 1995. — № 8. — Ст. 609.
5. Федеральный закон от 19.12.2005 № 160-ФЗ «О ратификации Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных» // Собрание законодательства РФ. — 2005. — № 52 (ч. 1). — Ст. 5573.
6. Конвенция Совета Европы о защите физических лиц при автоматизированной обработке персональных данных (ETS № 108, Страсбург, 28.01.1981) // Бюллетень международных договоров. — 2014. — № 4.
7. Модельный закон «О персональных данных»: принят постановлением Межпарламентской Ассамблеи государств – участников СНГ от 16.10.1999 № 14-19.
8. Директива 95/46/ЕС Европейского парламента и Совета от 24.10.1995 о защите физических лиц при обработке персональных данных и о свободном обращении таких данных // Official Journal of the European Communities. — 1995. — L 281. — P. 31–50.
9. Терещенко Л.К. Правовой режим персональных данных и безопасность личности // Закон. — 2013. — № 6.
10. Кархалева Т. Поправками по закону: краткая история персональных данных в России [Электронный ресурс] // Legal Academy. — 2023. — URL: https://legalacademy.ru/ (дата обращения: 11.09.2026).
11. Генезис персональных данных: информационно-правовой аспект [Электронный ресурс] // КиберЛенинка. — URL: https://cyberleninka.ru/ (дата обращения: 11.09.2026).

Сведения об авторе

Афанасьев Александр Александрович, специалист по информационной безопасности, магистр управления персоналом, юрист, e-mail: info@генератор152фз.рф.