История регулирования персональных данных в России и мире: от государственного учёта к правам субъекта

Аннотация

УДК 342.9:004.056

Прослежены основные этапы становления института защиты персональных данных в России и мире. Сопоставлены российская траектория и формирование международных стандартов, начиная с первых национальных законов 1970-х годов и Конвенции Совета Европы № 108. Показано, что регулирование прошло путь от государственного учёта населения до признания субъекта носителем прав, а также продемонстрирована цикличность развития, при которой рамочные нормы сменяются детализацией в ответ на новые технологические и политические вызовы. Особое внимание уделено разграничению рамочного Федерального закона № 24-ФЗ и профильного Федерального закона № 152-ФЗ, а также хронологии присоединения России к Конвенции № 108. Сформулированы практические выводы для оператора, включая необходимость согласованного документационного обеспечения.

Ключевые слова: персональные данные, история регулирования, Конвенция № 108, 152-ФЗ, 24-ФЗ, локализация данных, права субъекта, оператор.

Abstract

Abstract. The main stages of the formation of the personal data protection institution in Russia and worldwide were traced. The Russian trajectory and the development of international standards, starting from the first national laws of the 1970s and Council of Europe Convention No. 108, were compared. It was shown that regulation has evolved from state population registration to recognition of the data subject as a rights holder, and that development is cyclical, with framework norms giving way to detailed rules in response to new technological and political challenges. Particular attention was paid to distinguishing framework Federal Law No. 24-FZ from specialised Federal Law No. 152-FZ, as well as to the chronology of Russia’s accession to Convention No. 108. Practical conclusions for operators were formulated, including the need for coherent documentation support.

Keywords: personal data, history of regulation, Convention No. 108, 152-FZ, 24-FZ, data localisation, data subject rights, operator.

Введение

Для оператора и юриста, работающего с персональными данными, история института — не академическое упражнение. Без неё действующие нормы выглядят набором разрозненных поправок, логика которых ускользает. Понимание того, почему законодатель в определённый момент ввёл локализацию баз данных, ужесточил ответственность за нарушения или создал специальные режимы для отдельных технологий, позволяет точнее оценивать регуляторные риски и читать требования Федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных» не как набор формальностей, а как результат длительной эволюции.

Обращение к истории оправдано и контекстом, в котором развивается регулирование сегодня. Объёмы обрабатываемых данных растут, инциденты с утечками становятся регулярным предметом публичной и контрольной повестки, а технологии искусственного интеллекта усиливают спрос на массивы сведений о людях. Цифры по этим процессам в настоящем обзоре не приводятся, поскольку они требуют отдельной проверки и выходят за рамки историко-правового среза. Существенно другое — каждый из названных вызовов уже становился поводом для корректировки законодательства, и эту связь полезно проследить.

История института полезна ещё и потому, что помогает отделить устойчивые принципы от конъюнктурных поправок. Законность и целевая определённость обработки, права субъекта на доступ к сведениям о себе и обязанность оператора обеспечить организационные и технические меры защиты сложились не вчера, а в ходе многолетнего диалога между национальными законодателями и международными организациями. Вместе с тем отдельные линии российского регулирования, прежде всего локализация баз данных и специальные экспериментальные режимы, отражают собственные политико-правовые приоритеты государства и не сводятся к простому копированию европейской модели.

Настоящая статья задаёт общую карту этапов. Более детально государственная фиксация сведений о личности до 1991 года рассмотрена в отдельной работе о предыстории института, период конституционных гарантий и рамочных законов 1990-х — в исследовании о формировании правовых основ 1991–2006 годов, а волны поправок после 2006 года — в материале об эволюции 152-ФЗ и 149-ФЗ. Здесь же задача состоит в том, чтобы связать эти фрагменты в единую линию и показать, как менялась сама логика регулирования.

Цель настоящего исследования — проследить основные этапы становления института защиты персональных данных и сопоставить российскую траекторию с формированием международных стандартов. Историко-правовой и сравнительно-правовой подходы позволяют увидеть, как менялась сама логика регулирования — от учёта населения в интересах государства к признанию человека носителем прав в отношении сведений о себе.

1. Предыстория: фиксация сведений о личности до правового регулирования защиты данных

Учёт населения в России имеет длительную историю, но его смысл принципиально отличался от того, что сегодня вкладывается в защиту персональных данных. Ревизские сказки первой четверти XVIII века представляли собой переписи податного населения, необходимые для взимания подушной подати и комплектования войска. Метрические книги, которые вели церковные приходы, фиксировали крещение, брак и погребение и удостоверяли состояние лица. Административно-полицейский учёт XIX века опирался на посемейные списки и картотеки и служил инструментом контроля за перемещением населения. Цель всех этих форм была фискальной или полицейской, поскольку государство собирало сведения о подданных, чтобы знать, с кого взыскивать подати и за кем надзирать.

Такой учёт создавал обширные массивы сведений о людях, однако не предполагал правовой конструкции, в которой человек мог бы оспорить содержание записи, потребовать её исправления или ограничить использование. Документ существовал для нужд казны, церкви или полиции, а не для обеспечения автономии личности. Даже там, где точность сведений имела практическое значение, она служила интересам администрации, а не субъективному праву гражданина. Поэтому историческая глубина учёта сама по себе не означает раннего появления института защиты данных. Напротив, она показывает, насколько долго сведения о человеке воспринимались как ресурс государства, а не как сфера, в которой у личности есть собственные правомочия.

В советский период логика государственного учёта сохранилась и усилилась. Паспортная система, введённая постановлением ЦИК и СНК СССР от 27 декабря 1932 г., установила единые паспорта с обязательной пропиской. Прописка стала инструментом регулирования миграции и могла использоваться в репрессивной практике. Всеобщие переписи населения проводились регулярно, начиная с 1926 года. Их данные служили планированию и идеологическим задачам, но не защите интересов гражданина в отношении «своего» досье. Ведомственные картотеки кадровых служб, органов внутренних дел и государственной безопасности аккумулировали сведения о людях без их ведома и без возможности ознакомиться с содержанием записей. Конституция СССР 1977 года формально закрепляла неприкосновенность личности, однако механизмов, сопоставимых с современным режимом персональных данных, не создавала.

Особенность советской модели состояла ещё и в том, что концентрация сведений о гражданине в ведомственных системах не сопровождалась прозрачными правилами доступа самого гражданина к этим сведениям. Право знать, какие данные о нём хранятся, и требовать их корректировки не было оформлено как самостоятельный институт. Даже нормы о неприкосновенности личности оставались декларативными относительно массивов учёта, поскольку отсутствовали процедуры, сроки и органы, способные обеспечить их реализацию в отношении информационных досье. Именно этот разрыв между формальной конституционной риторикой и реальной практикой учёта делает советский период предысторией, а не ранней стадией современного режима персональных данных.

Вывод из этого периода однозначен. До начала 1990-х годов нельзя говорить о защите персональных данных в современном смысле. Субъект права в этом качестве отсутствовал, потому что гражданин был объектом учёта, а не носителем прав на доступ к своим данным, их исправление или уничтожение. Это предыстория государственной фиксации сведений о личности, а не история защиты персональных данных. Подробнее практики дореволюционного и советского периодов раскрыты в статье о предыстории регулирования персональных данных до 1991 года.

2. Формирование международных стандартов (1970–1990-е)

Первые национальные законы о защите данных появились в Европе на рубеже 1970-х годов и были реакцией на быстрое распространение автоматизированных информационных систем. Общественная и политическая дискуссия того времени связывала риск не с бумажным досье как таковым, а с возможностью быстрого сопоставления и размножения записей о человеке без его контроля. В 1970 году земля Гессен (ФРГ) приняла Datenschutzgesetz — первый специализированный закон о защите персональных данных. В 1973 году Швеция ввела Data Act, ставший первым общенациональным актом в этой сфере. В 1978 году Франция приняла Loi Informatique et Libertés и учредила независимый надзорный орган — Национальную комиссию по информатике и свободам (CNIL). Эти законы заложили модель, в которой субъект данных получает права, а организация, обрабатывающая данные, несёт обязанности.

Общим для ранних европейских актов было стремление уравновесить технологический прогресс гарантиями личности. Законодатель признавал, что обработка сведений о человеке может быть необходимой для управления и экономики, и одновременно вводил ограничения по целям, точности и срокам хранения. Появилась идея независимого надзора, который не сводится к внутриведомственному контролю и способен рассматривать обращения граждан. Уже на этом этапе сложилось понимание, что защита данных не тождественна государственной тайне или служебной конфиденциальности, а представляет собой самостоятельный правовой режим, ориентированный на права физического лица.

На международном уровне импульс исходил от Совета Европы. Резолюции Комитета министров 1973 и 1974 годов сформулировали первые принципы защиты данных для частного и государственного секторов. Кульминацией стал первый юридически обязывающий международный договор — Конвенция Совета Европы № 108 о защите физических лиц при автоматизированной обработке персональных данных, открытая для подписания в Страсбурге 28 января 1981 года. Конвенция закрепила базовые принципы, согласно которым данные должны обрабатываться добросовестно и законно, храниться для конкретных и законных целей, а также быть точными и при необходимости обновляться. Тем самым международный договор перевёл национальный опыт отдельных государств в общую нормативную рамку, открытую и для стран, не входивших в Европейские сообщества.

Параллельно формировались рекомендательные стандарты. Руководство ОЭСР 1980 года предложило набор принципов, которые легли в основу многих национальных законов и облегчили диалог между государствами с разной правовой традицией. Директива 95/46/ЕС от 24 октября 1995 года гармонизировала законодательство государств — членов Европейского союза и ввела единые требования к обработке данных, сделав защиту персональных данных условием свободного обращения сведений внутри общего рынка. Развитие этой линии, включая последующее принятие GDPR, рассматривается в статье о международном опыте защиты персональных данных.

Международная модель складывалась не мгновенно. От первых национальных экспериментов 1970-х годов до обязывающей Конвенции 1981 года и затем до общеевропейской гармонизации середины 1990-х прошло несколько десятилетий. Этот путь показывает, что институт защиты данных развивается волнами. Сначала формулируются принципы, затем они закрепляются в договоре или директиве, а после этого уточняются в ответ на новые технологии и трансграничный обмен. Для российской истории такой сравнительный фон важен, поскольку объясняет, почему к моменту конституционных реформ 1990-х годов в Европе уже существовал зрелый язык прав субъекта и обязанностей оператора.

Ключевое отличие сформировавшейся международной модели от предшествующей практики состояло в смене вектора. Государство и организации по-прежнему собирают и используют сведения о людях, однако субъект получает права в отношении своих данных, а оператор — обязанности. Именно эта модель стала ориентиром для российского законодательства на следующем этапе, хотя отечественный путь не был простым переносом иностранных конструкций и включал собственную логику суверенитета данных.

3. Российский путь: от конституционных гарантий к профильному закону

Переломным моментом стало принятие Конституции Российской Федерации в 1993 году. Статья 23 закрепила право на неприкосновенность частной жизни, личную и семейную тайну, а статья 24 установила запрет на сбор, хранение, использование и распространение информации о частной жизни лица без его согласия и предусмотрела право на ознакомление с затрагивающими права и свободы документами и материалами. Эти нормы создали конституционную основу для последующего регулирования, но сами по себе не обеспечивали механизмов защиты и требовали профильных законов. Конституция обозначила ценности и запреты, однако не определила, кто является оператором, какие принципы обработки обязательны и как субъект реализует свои права в повседневной практике.

Именно поэтому 1990-е годы стали периодом поиска законодательной формы. Российский законодатель оказался перед задачей перевести конституционные гарантии в рабочие нормы в условиях стремительной информатизации и появления частного сектора, который начал массово обрабатывать сведения о гражданах. Без специального закона конституционные статьи оставались ориентиром для толкования, но не создавали предсказуемого режима для организаций и граждан. Подробный разбор этого переходного периода дан в статье о формировании правовых основ защиты персональных данных в 1991–2006 годах.

Первым шагом стало принятие Федерального закона от 20 февраля 1995 г. № 24-ФЗ «Об информации, информатизации и защите информации». Этот акт впервые на законодательном уровне закрепил термин «персональные данные», отнеся их к категории конфиденциальной информации, и установил общие принципы работы с информацией. Однако закон носил рамочный характер, не содержал детальных требований к обработке и впоследствии утратил силу. Он сыграл роль моста между конституционными гарантиями и будущим профильным регулированием, но не заменил собой специальный режим персональных данных. Потребность в таком режиме становилась всё более очевидной по мере развития цифровых технологий и роста рынка обработки данных.

Принятие Федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных» стало ключевым событием. В тот же день был принят Федеральный закон от 27 июля 2006 г. № 149-ФЗ «Об информации, информационных технологиях и о защите информации», который урегулировал общие вопросы информационной сферы и сменил рамочный 24-ФЗ. Закон № 152-ФЗ ввёл систему понятий оператора, обработки и персональных данных, закрепил принципы обработки, права субъекта и обязанности оператора, а также предусмотрел уполномоченный орган по защите прав субъектов персональных данных, функции которого возложены на Роскомнадзор. Совпадение дат принятия 152-ФЗ и 149-ФЗ не случайно. Оно отражает сознательное разделение общего информационного законодательства и специального режима персональных данных.

Здесь необходимо подчеркнуть, что Федеральный закон № 24-ФЗ не тождествен Федеральному закону № 149-ФЗ. Первый действовал в 1995–2006 годах и носил рамочный характер, второй сменил его как общий закон об информации, тогда как профильное регулирование персональных данных закреплено именно в 152-ФЗ. Смешение этих актов в публицистике и даже в отдельных консультационных материалах приводит к ошибкам в оценке того, когда в России появился полноценный институт защиты данных. Хронологически термин «персональные данные» был введён ещё в 1995 году, но системный режим оператора, субъекта и уполномоченного органа — лишь в 2006 году.

Отдельного внимания требует взаимодействие с международными стандартами. Россия подписала Конвенцию № 108 7 ноября 2001 года. Федеральный закон от 19 декабря 2005 г. № 160-ФЗ ратифицировал Конвенцию с заявлениями. Ратификационная грамота была сдана на хранение 15 мая 2013 года, и Конвенция вступила в силу для Российской Федерации с 1 сентября 2013 года. Разрыв между подписанием, внутригосударственной ратификацией и завершением международной процедуры отражает сложность приведения национального законодательства в соответствие с международными обязательствами. К моменту сдачи грамоты в России уже несколько лет действовал 152-ФЗ, что показывает, насколько тесно внутреннее профильное регулирование и международно-правовая линия были связаны, но не совпадали по календарю.

4. Современный этап: ужесточение требований и специальные режимы (2011–2026)

После принятия 152-ФЗ регулирование развивалось по нескольким направлениям, каждое из которых отражало реакцию на новые вызовы. Около 2011 года уточнялось понятие персональных данных и практика применения закона, поскольку первые годы действия профильного акта выявили зоны неопределённости для операторов и контрольных органов. Федеральный закон от 21 июля 2014 г. № 242-ФЗ ввёл требование о хранении и ряде иных операций с персональными данными граждан Российской Федерации с использованием баз данных, расположенных на территории России. Соответствующие нормы вступили в силу с 1 сентября 2015 года и существенно повлияли на архитектуру информационных систем операторов, заставив пересматривать размещение и маршруты обработки данных.

Локализация стала одним из самых заметных отличий российского пути от классической европейской модели свободного обращения данных внутри общего пространства. Она не отменяет права субъекта и обязанности оператора, закреплённые в 152-ФЗ, но добавляет территориальный критерий к организации обработки. Для исторического анализа это означает, что после создания базового каркаса закона государство усилило линию цифрового суверенитета и стало жёстче связывать защиту данных граждан с расположением инфраструктуры на национальной территории.

В период 2017–2025 годов неоднократно усиливалась административная ответственность за нарушения в сфере персональных данных, а также вводились и уточнялись требования об уведомлении уполномоченного органа об инцидентах. Конкретные размеры санкций и процедурные сроки в настоящем историческом обзоре не приводятся, поскольку они требуют отдельного операторского анализа (см. обзор изменений 2025–2026). Параллельно ужесточались условия трансграничной передачи данных, что отражает курс на обеспечение цифрового суверенитета. Механизмы этой линии подробно рассмотрены в статье о трансграничной передаче.

Появились и специальные режимы под технологические задачи. Федеральный закон от 24 апреля 2020 г. № 123-ФЗ установил экспериментальный правовой режим в городе Москве. Федеральный закон от 26 июля 2026 г. № 243-ФЗ «О поддержке развития технологий искусственного интеллекта в Российской Федерации» обозначил отдельную линию государственной поддержки больших моделей искусственного интеллекта. Эти акты не отменяют 152-ФЗ, а дополняют общую рамку точечными правилами. Они показывают, что современный этап регулирования строится по модели наслоения. Базовый закон сохраняется, а вокруг него появляются экспериментальные и отраслевые конструкции, призванные учесть новые технологии без демонтажа уже сложившихся гарантий.

Если смотреть на период после 2006 года как на целое, видна знакомая цикличность. Сначала создаётся каркас профильного закона, затем практика выявляет пробелы, после чего законодатель отвечает уточнениями, усилением контроля и специальными режимами. Для оператора это означает, что документационное обеспечение нельзя «заморозить» на уровне редакции первых лет действия 152-ФЗ. Требования накапливаются, а логика накопления становится понятнее, если видеть историческую линию от рамочных норм 1990-х к детализации 2010–2020-х годов. Детальный разбор волн поправок 152-ФЗ и 149-ФЗ дан в статье об эволюции регулирования персональных данных с 2006 года.

Заключение

1. Институт защиты персональных данных прошёл путь от государственного учёта населения, где человек был объектом фискального и полицейского интереса, до признания его носителем прав на свои данные. В России эта смена парадигмы шла через конституционные гарантии 1993 года, рамочный закон 1995 года и профильный закон 2006 года.
2. Международные стандарты, начиная с первых национальных законов 1970-х годов и Конвенции № 108 1981 года, сформировали модель, в которой права субъекта соотносятся с обязанностями оператора и которая стала ориентиром для российского законодательства. Вместе с тем российский путь усилил акцент на суверенитет данных и локализацию.
3. Регулирование развивается циклично. Рамочные нормы сменяются детализацией в ответ на новые вызовы. Принятие 152-ФЗ в 2006 году создало каркас, который затем наполнялся содержанием через поправки, включая требования локализации и специальные режимы.
4. Современный этап характеризуется поиском баланса между защитой прав субъектов и условиями для технологического развития. Специальные и экспериментальные режимы служат примером такой попытки без отмены базовых гарантий.
5. Для оператора история института имеет практическое значение. Понимание логики законодателя помогает точнее оценивать риски и отличать устойчивые принципы от разовых поправок. Одной «политики на сайте» недостаточно, поскольку требуется согласованное документационное обеспечение, учитывающее накопленные требования.

Таким образом, история регулирования персональных данных в России и мире демонстрирует движение от учёта к правам и от контроля к поиску баланса интересов. Этот путь не был линейным, но его логика прослеживается отчётливо.

Для оператора, стремящегося выстроить систему документационного обеспечения под актуальные требования, полезным инструментом может стать конструктор документов «ГЕНЕРАТОР152ФЗ», позволяющий сформировать согласованный пакет локальных актов с учётом нормативного опыта, накопленного после 2006 года.

Список литературы

1. Конституция Российской Федерации (принята всенародным голосованием 12.12.1993) (ст. 23, 24).
2. Федеральный закон от 20.02.1995 № 24-ФЗ «Об информации, информатизации и защите информации» (утратил силу).
3. Федеральный закон от 19.12.2005 № 160-ФЗ «О ратификации Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных».
4. Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» // Собрание законодательства РФ. — 2006. — № 31 (ч. 1). — Ст. 3451.
5. Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации».
6. Федеральный закон от 21.07.2014 № 242-ФЗ «О внесении изменений в отдельные законодательные акты Российской Федерации в части уточнения порядка обработки персональных данных в информационно-телекоммуникационных сетях».
7. Федеральный закон от 24.04.2020 № 123-ФЗ «О проведении эксперимента по установлению специального регулирования в целях создания необходимых условий для разработки и внедрения технологий искусственного интеллекта в субъекте Российской Федерации — городе федерального значения Москве и внесении изменений в статьи 6 и 10 Федерального закона „О персональных данных“» (с учётом последующих редакций).
8. Федеральный закон от 26.07.2026 № 243-ФЗ «О поддержке развития технологий искусственного интеллекта в Российской Федерации».
9. Конвенция Совета Европы о защите физических лиц при автоматизированной обработке персональных данных (ETS № 108, Страсбург, 28.01.1981).
10. Директива 95/46/ЕС Европейского парламента и Совета от 24.10.1995 о защите физических лиц при обработке персональных данных и о свободном обращении таких данных (утратила силу).
11. Кархалева Т. Поправками по закону: краткая история персональных данных в России // Legal Academy. 2023.
12. EDPS. The History of the General Data Protection Regulation. — URL: https://www.edps.europa.eu/ (дата обращения: 11.09.2026).
13. Совет Европы. День защиты персональных данных: 40-летие «Конвенции 108». 2024. — URL: https://www.coe.int/ (дата обращения: 11.09.2026).

Сведения об авторе

Афанасьев Александр Александрович, специалист по информационной безопасности, магистр управления персоналом, юрист, e-mail: info@генератор152фз.рф.