Международный опыт защиты персональных данных: от первых национальных законов к GDPR, отраслевому подходу США и PIPL

Аннотация

УДК 342.9:341

Прослежено формирование международных стандартов защиты персональных данных от первых национальных законов 1970-х годов до современного регулирования. Сопоставлены подходы Европейского союза, Соединённых Штатов Америки и Китайской Народной Республики. Показано, что при конвергенции базовых принципов институциональные механизмы существенно различаются: ЕС развивается от Директивы к GDPR, США сохраняют отраслевой подход, Китай создал государственно-ориентированную модель. Обозначено место российской модели, сочетающей защиту прав субъекта с цифровым суверенитетом.

Ключевые слова: персональные данные, Конвенция 108, GDPR, CCPA, PIPL, отраслевой подход, цифровой суверенитет.

Abstract

Abstract. The formation of international standards for personal data protection from the first national laws of the 1970s to contemporary regulation was traced. The approaches of the European Union, the United States of America and the People’s Republic of China were compared. It was shown that while basic principles converge, institutional mechanisms differ significantly: the EU has evolved from the Directive to the GDPR, the US retains a sectoral approach, and China has created a state-oriented model. The place of the Russian model, combining the protection of data subject rights with digital sovereignty, was outlined.

Keywords: personal data, Convention 108, GDPR, CCPA, PIPL, sectoral approach, digital sovereignty.

Введение

Регулирование персональных данных перестало быть исключительно внутренним делом отдельных государств. Трансграничные потоки информации, деятельность глобальных цифровых платформ и развитие технологий, основанных на обработке больших массивов сведений, сформировали запрос на международные стандарты. Изучение этого опыта позволяет точнее понять логику российского законодательства, которое развивалось не в изоляции, а с учётом — а иногда и в полемике — с зарубежными моделями.

Сравнительный взгляд нужен и практикующему юристу, и оператору. Европейская модель часто используется как ориентир в деловом обороте, американские отраслевые акты влияют на контрагентов и облачные сервисы, китайские требования к трансграничной передаче меняют архитектуру сотрудничества с партнёрами в Азии. Без понимания различий легко перенести в российскую практику чужие термины и ожидания — например, отождествить политику конфиденциальности с политикой в отношении обработки персональных данных или считать GDPR прямым источником российского права.

Цель настоящего исследования — показать формирование международных стандартов защиты персональных данных и сопоставить подходы Европейского союза, Соединённых Штатов Америки и Китайской Народной Республики, обозначив место российской модели в этом ряду. Общая характеристика этапов регулирования в России и мире представлена в статье об истории регулирования персональных данных, эволюция российского законодательства после 2006 года — в статье об эволюции 152-ФЗ и 149-ФЗ. Вопросы трансграничной передачи в российском праве подробнее рассмотрены в материале о цифровом суверенитете.

1. Ранние национальные законы (1970–1980-е)

Первые специализированные законы о защите данных появились на национальном уровне, когда автоматизированная обработка информации стала доступной для государственных и коммерческих структур, а вместе с ней возникли опасения относительно концентрации сведений о гражданах. Земля Гессен в Федеративной Республике Германия приняла Datenschutzgesetz 7 октября 1970 года, став первой юрисдикцией в мире, где защита данных была выделена в отдельный правовой акт. Поводом послужила масштабная программа сбора данных в рамках «Большого гессенского плана» 1965 года, которая, по замыслу, должна была заменить интуитивные политические решения рациональными выводами, основанными на знании всех релевантных данных. К концу 1960-х годов эйфория относительно автоматизации сменилась критической рефлексией: опасения вызывали как нарушение баланса властей, так и утрата приватности.

Швеция в 1973 году приняла первый общенациональный закон о защите данных — Swedish Data Act, который распространялся на автоматизированную обработку сведений в государственном и частном секторах. Закон показал, что защита данных может быть предметом не только регионального эксперимента, но и общенациональной политики. Франция стала третьей ключевой юрисдикцией, принявшей комплексный закон: Loi Informatique et Libertés от 6 января 1978 года не только установила правила обработки данных, но и учредила независимый надзорный орган — Национальную комиссию по информатике и свободам (CNIL). Тем самым европейская традиция связала материальные гарантии с институтом внешнего контроля.

Общей чертой этих законов стала смена логики. Обработка данных переставала быть исключительно технической операцией, подчинённой интересам государства или бизнеса, и становилась предметом правового регулирования, в котором субъект данных получал определённые гарантии. Именно здесь формируется модель, позже закрепившаяся в международных документах: права человека в отношении сведений о себе плюс обязанности того, кто эти сведения обрабатывает. Российская предыстория того же периода выглядела иначе — через учёт населения и государственный контроль, а не через специальный закон о защите данных; этот контраст показан в статье о предыстории до 1991 года.

Ранние законы интересны ещё и тем, что они задали язык последующих дискуссий. Вопросы о том, нужно ли выделять чувствительные категории сведений, кто вправе контролировать обработку и как сочетать автоматизацию с свободами личности, были поставлены уже тогда. Позднейшие международные и региональные акты не изобрели эту повестку заново, а систематизировали и усилили её.

2. Формирование международных стандартов

Национальные законы 1970-х годов создали предпосылки для международной гармонизации, поскольку трансграничные потоки данных требовали согласованных правил. Совет Европы стал первой организацией, предпринявшей системные шаги в этом направлении. Резолюции Комитета министров 1973 и 1974 годов сформулировали базовые принципы защиты данных для частного и государственного секторов соответственно, подготовив почву для принятия обязывающего документа.

28 января 1981 года была открыта для подписания Конвенция Совета Европы о защите физических лиц при автоматизированной обработке персональных данных, известная как «Конвенция 108». Она стала первым юридически обязывающим международным договором в сфере защиты данных. Конвенция закрепила принципы добросовестной и законной обработки, целевого ограничения, точности и актуальности данных. По кругу участников Конвенция 108 вышла далеко за пределы государств — членов Совета Европы и сохраняет значение как универсальный обязывающий ориентир в этой сфере.

В 2018 году был принят Протокол о внесении изменений (CETS 223), известный как «Конвенция 108+». Он расширил состав чувствительных сведений, усилил требования пропорциональности и минимизации, а также заложил более жёсткие ожидания к независимому контролю и информированию об инцидентах. Статус вступления протокола в силу для отдельных государств следует проверять по актуальным данным депозитария: для целей настоящей статьи достаточно зафиксировать, что модернизация Конвенции 108 стала следующим шагом международной линии после Директивы и на фоне GDPR.

Параллельно развивались рекомендательные стандарты. Руководство ОЭСР по защите неприкосновенности частной жизни и трансграничным потокам персональных данных, принятое 23 сентября 1980 года, сформулировало принципы, которые легли в основу многих национальных законов. В 1990 году Генеральная Ассамблея ООН приняла Руководящие принципы, касающиеся компьютеризированных картотек, содержащих данные личного характера, резолюцией 45/95 от 14 декабря 1990 года. Эти документы, не имевшие обязывающей силы, тем не менее способствовали распространению общих подходов к защите данных на глобальном уровне.

Связка между национальными экспериментами и международными инструментами важна для понимания последующей истории. Сначала государства опробовали модели на своей территории, затем появились мягкие стандарты и первый обязывающий договор, а уже после этого региональные блоки, прежде всего Европейский союз, перешли к более плотной гармонизации. Россия подключилась к этой линии через подписание и ратификацию Конвенции 108 и через внутреннее законодательство 1990–2000-х годов, о чём подробнее сказано в статье о формировании основ 1991–2006 годов.

3. Европейский Союз: от Директивы к GDPR

Директива 95/46/ЕС, принятая 24 октября 1995 года, стала следующим шагом в развитии европейского регулирования. Её целями были защита основных прав и свобод физических лиц при обработке данных и гарантия свободного движения персональных данных между государствами-членами. Директива установила, что обработка данных должна быть правомерной и добросовестной, данные должны быть достаточными, релевантными и не избыточными по отношению к целям, для которых они обрабатываются, а цели должны быть явно выраженными и законными. Государства-члены ЕС обязаны были имплементировать положения Директивы в национальное законодательство.

Однако Директива не предотвратила фрагментацию в применении правил защиты данных. Уровни защиты в разных государствах-членах различались, что создавало препятствия для свободного движения данных и искажало конкуренцию. Осознание этого привело к разработке Общего регламента по защите персональных данных (GDPR), принятого 27 апреля 2016 года и вступившего в силу 25 мая 2018 года. GDPR заменил Директиву 95/46/ЕС, установив единые правила, применяемые непосредственно во всех государствах-членах без необходимости имплементации.

GDPR укрепил права субъектов данных, расширил их перечень и ввёл механизмы, обеспечивающие контроль за обработкой. Регламент предусматривает экстерриториальное действие, распространяясь на организации за пределами ЕС, если они обрабатывают данные субъектов, находящихся на территории Союза. Существенно возросла ответственность за нарушения: предусмотрены штрафы до 20 млн евро или до 4% глобального годового оборота компании, в зависимости от того, какая сумма больше. GDPR оказал значительное влияние на законодательство третьих стран, включая так называемый «брюссельский эффект», при котором компании и государства адаптируют свои практики к требованиям европейского регулирования для сохранения доступа к европейскому рынку.

Связь GDPR с Конвенцией 108 состоит в том, что оба инструмента опираются на сходный набор принципов, но GDPR действует как региональный регламент с прямой применимостью и мощным санкционным механизмом. Для третьих стран европейская модель стала одновременно эталоном и источником давления: adequacy-решения, стандартные договорные условия и практика надзорных органов формируют внешний контур доступа к европейскому рынку данных. Российский перечень стран с адекватной защитой и национальные правила трансграничной передачи к этому контуру не сводятся и требуют отдельного чтения в контексте 152-ФЗ, а не GDPR.

Методологическая граница здесь принципиальна. GDPR не является источником российского права и не заменяет 152-ФЗ. Сравнительный интерес к европейскому регламенту оправдан там, где нужно понять глобальный стандарт прав субъекта, экстерриториальности и ответственности, но выводы для российского оператора всегда проходят через национальный статут и практику Роскомнадзора.

4. Соединённые Штаты: отраслевой подход

Соединённые Штаты Америки традиционно придерживаются отраслевого подхода к защите персональных данных, в отличие от всеобъемлющей модели, принятой в Европейском союзе. Единый федеральный закон, аналогичный GDPR, отсутствует. Это не означает отсутствия защиты данных: регулирование осуществляется через акты, ориентированные на конкретные секторы, через нормы штатов и через механизмы потребительского и антимонопольного контроля. Закон о переносимости и подотчётности медицинского страхования (HIPAA) устанавливает требования к защите медицинской информации. Закон Грэма–Лича–Блайли (GLBA) регулирует обработку непубличных персональных финансовых данных финансовыми учреждениями, требуя предоставления потребителям возможности отказаться от передачи их данных третьим лицам. Закон о защите конфиденциальности детей в интернете (COPPA) предъявляет строгие требования к сбору персональной информации от детей младше 13 лет.

На уровне штатов наблюдаются попытки создания более универсальных режимов. Калифорнийский закон о защите прав потребителей (CCPA), вступивший в силу 1 января 2020 года, стал первым комплексным законом о конфиденциальности потребителей в США. Он предоставил потребителям права на знание о собираемых данных, на отказ от их продажи и на равное обслуживание. Закон о правах на конфиденциальность Калифорнии (CPRA), вступивший в силу 1 января 2023 года, расширил эти права, добавив право на исправление неточной информации и на ограничение использования чувствительных персональных данных.

Ключевое отличие американской модели от европейской состоит в логике регулирования. GDPR требует наличия законного основания для каждой операции обработки данных и по умолчанию ограничивает обработку. CCPA и CPRA, напротив, допускают обработку по умолчанию, предоставляя потребителям право отказаться от неё (opt-out). Американская модель ориентирована на потребительскую защиту и баланс интересов бизнеса, тогда как европейская — на защиту персональных данных как фундаментального права. Для российского оператора, работающего с американскими сервисами или аудиторией, это различие важно при оценке договорных оговорок и ожиданий контрагентов, но не подменяет требований 152-ФЗ.

Отраслевость американского подхода также означает, что защита данных в США не сводится к одному статуту и не исчезает за пределами Калифорнии. Медицина, финансы, дети в интернете, законы отдельных штатов и практика федеральных органов образуют мозаику, которую нельзя корректно описать формулой «защиты нет». Корректнее говорить о другой архитектуре: не универсальный регламент, а сеть секторных и потребительских механизмов.

5. Китай: PIPL (2021)

Китайская Народная Республика присоединилась к числу юрисдикций с комплексным регулированием персональных данных, приняв Закон о защите персональной информации (PIPL), который был официально одобрен 20 августа 2021 года и вступил в силу 1 ноября 2021 года. PIPL стал частью формирующейся системы регулирования данных в Китае, наряду с Законом о кибербезопасности и Законом о безопасности данных.

Закон предусматривает экстерриториальное действие: он применяется к организациям и лицам, обрабатывающим персональную информацию физических лиц, находящихся на территории Китая, даже если обработка осуществляется за пределами страны, если целью является предоставление товаров или услуг китайским потребителям или анализ их деятельности. Для трансграничной передачи закон устанавливает строгий разрешительный контур, включающий оценку безопасности, сертификацию, использование типовых договорных условий и иные предусмотренные законодательством механизмы. Конкретный перечень допустимых оснований следует сверять по актуальной редакции PIPL и разъяснениям китайского регулятора. Для сравнительного анализа достаточно подчеркнуть высокий порог контроля над вывозом данных.

PIPL отражает государственно-ориентированный подход, в котором защита персональных данных рассматривается в контексте обеспечения национальной безопасности и общественных интересов. Роль государства в регулировании обработки данных значительна, а требования к трансграничной передаче относятся к числу наиболее строгих среди крупных юрисдикций. При этом закон одновременно закрепляет права субъектов и обязанности обработчиков, то есть не сводится только к «силовой» логике. Для сравнительного анализа важно именно сочетание прав личности с приоритетом государственного контроля над потоками данных.

6. Сравнительный анализ

Сопоставление рассмотренных моделей позволяет выделить ключевые различия в подходах к защите персональных данных. Ниже приведена краткая схема, которую следует читать вместе с поясняющей прозой, а не как самодостаточную таблицу «плюсов и минусов».

Европейская модель наиболее близка к российской в части признания персональных данных объектом фундаментальных прав. Однако российское регулирование отличается акцентом на цифровой суверенитет и локализацию, что проявляется в требованиях к хранению данных граждан Российской Федерации на территории страны и ограничениях трансграничной передачи. Американский отраслевой подход не нашёл прямого отражения в российском законодательстве, хотя отдельные элементы потребительской логики можно обнаружить в регулировании отдельных сфер. Китайская модель близка российской в части усиления государственного контроля и обеспечения безопасности, однако реализуется в иных институциональных условиях.

Общим для всех рассмотренных юрисдикций является признание необходимости правового регулирования обработки персональных данных, установление прав субъектов и обязанностей операторов. Институты, через которые эти принципы реализуются, различаются, однако направление развития — усиление защиты данных и повышение ответственности за нарушения — прослеживается во всех моделях. Напряжение между заимствованием международных стандартов и собственными приоритетами характерно и для России: Конвенция 108 и европейский опыт задавали язык принципов, а локализация и трансграничный контроль отразили самостоятельную политику государства.

Вызовы искусственного интеллекта и больших данных усиливают этот сравнительный сюжет. Крупные юрисдикции ищут способы сохранить права субъектов в условиях массовой обработки и обучения моделей, не разрушая при этом технологическое развитие. Конкретные российские специальные режимы и подзаконные процедуры в настоящую статью не входят; здесь достаточно зафиксировать, что международный диалог о данных всё чаще пересекается с политикой в отношении ИИ.

Сравнительный раздел замыкает международную линию настоящего исследования. Общая карта этапов дана в статье об истории регулирования, а собственно российская детализация режима после 2006 года — в статье об эволюции 152-ФЗ и 149-ФЗ и в обзоре изменений 2025–2026 годов.

Заключение

1. Формирование международных стандартов защиты персональных данных началось с национальных законов 1970-х годов и продолжилось принятием обязывающих международных договоров. Конвенция 108 стала первым юридически обязывающим документом в этой сфере и сохраняет своё значение.
2. Европейский союз прошёл путь от Директивы 95/46/ЕС к GDPR, который установил унифицированные правила, применяемые непосредственно во всех государствах-членах, и ввёл экстерриториальное действие и оборотные штрафы. Это сделало GDPR глобальным ориентиром, влияние которого распространяется за пределы ЕС.
3. Соединённые Штаты придерживаются отраслевого подхода, регулируя защиту данных через акты, ориентированные на конкретные секторы, и дополняя их законами штатов. Логика регулирования основана на балансе интересов бизнеса и потребителей, а не на признании защиты данных фундаментальным правом в европейской версии.
4. Китай с принятием PIPL создал комплексную систему регулирования, в которой защита персональных данных увязана с национальной безопасностью и общественными интересами. Требования к трансграничной передаче остаются одними из наиболее строгих среди крупных юрисдикций.
5. Российская модель сочетает защиту прав субъекта персональных данных с обеспечением цифрового суверенитета и локализацией данных. Это отличает её как от европейской модели, ориентированной на фундаментальные права в логике внутреннего рынка ЕС, так и от американской, основанной на потребительской логике.
6. Общей тенденцией является усиление регулирования и повышение ответственности за нарушения. Различия касаются институтов, через которые реализуются принципы, а не самого признания необходимости защиты данных.

Таким образом, международный опыт демонстрирует конвергенцию базовых принципов при сохранении расхождений в институциональных механизмах. Российская модель занимает в этом ряду самостоятельное место, сочетая признание прав субъекта с приоритетом цифрового суверенитета.

Список литературы

1. Конвенция Совета Европы о защите физических лиц при автоматизированной обработке персональных данных (ETS № 108, Страсбург, 28.01.1981).
2. Протокол о внесении изменений в Конвенцию Совета Европы о защите физических лиц при автоматизированной обработке персональных данных (CETS № 223, Страсбург, 10.10.2018).
3. Директива 95/46/ЕС Европейского парламента и Совета от 24.10.1995 о защите физических лиц при обработке персональных данных и о свободном обращении таких данных.
4. Регламент (ЕС) 2016/679 Европейского парламента и Совета от 27.04.2016 о защите физических лиц при обработке персональных данных и о свободном обращении таких данных (GDPR).
5. California Consumer Privacy Act (CCPA, 2018); California Privacy Rights Act (CPRA, 2020).
6. Personal Information Protection Law of the People’s Republic of China (PIPL, 2021).
7. OECD Guidelines on the Protection of Privacy and Transborder Flows of Personal Data (23.09.1980).
8. Руководящие принципы, касающиеся компьютеризированных картотек, содержащих данные личного характера (резолюция Генеральной Ассамблеи ООН 45/95 от 14.12.1990).
9. National Data Protection Laws before 1980 [Электронный ресурс] // Cambridge University Press. — 2019. — URL: https://www.cambridge.org/ (дата обращения: 11.09.2026).
10. EDPS. Timeline: History of Data Protection [Электронный ресурс]. — URL: https://20years.edps.europa.eu/en/history/timeline (дата обращения: 11.09.2026).
11. Council of Europe. Convention 108 and Protocols [Электронный ресурс]. — URL: https://www.coe.int/en/web/data-protection/convention108-and-protocol (дата обращения: 11.09.2026).

Сведения об авторе

Афанасьев Александр Александрович, специалист по информационной безопасности, магистр управления персоналом, юрист, e-mail: info@генератор152фз.рф.