В цифровую эпоху информация о личности стала одним из самых ценных активов. Однако за термином «персональные данные» стоит не просто технический ресурс, а фундаментальное право человека — право на частную жизнь, защиту чести и доброго имени. Статья 12 Всеобщей декларации прав человека и статья 17 Международного пакта о гражданских и политических правах устанавливают, что никто не может быть подвергнен произвольному вмешательству в свою частную жизнь. В Российской Федерации эти принципы закреплены в статье 23 и 24 Конституции РФ, а детально регламентированы Федеральным законом от № 152-ФЗ «О персональных данных».

Понятие и классификация персональных данных

Согласно ст. 3 Закона № 152-ФЗ, персональные данные, это любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).

Закон выделяет специальные категории данных, обработка которых требует усиленных мер защиты и, как правило, письменного согласия субъекта:

• Особые категории: раса, национальность, политические взгляды, религиозные и философские убеждения, состояние здоровья, интимная жизнь, биометрические и генетические данные.
• Биометрические данные: отпечатки пальцев, образец голоса, сканирование сетчатки/радужки, фото/видео для идентификации.
• Общедоступные данные: сведения, которые субъект сделал общедоступными самостоятельно (с его согласия).
• Другие категории: фамилия, имя, отчество, дата/место рождения, адрес, контакты, паспортные данные, сведения о образовании, трудовой деятельности, доходах.

Ключевые принципы обработки (ст. 5 Закона № 152-ФЗ)

Любая работа с данными (сбор, запись, систематизация, накопление, хранение, уточнение, использование, передача, обезличивание, блокирование, удаление, уничтожение) должна строиться на следующих принципах:

1. Законность и справедливость: обработка только на правовых основаниях (согласия, закон, договор, защита жизни, публичный интерес).
2. Целевое назначение: данные собираются для конкретных, заранее определенных и законных целей.
3. Минимизация (адекватность): объем данных должен соответствовать заявленным целям. Важно: как указано в актуальной практике, оператору при сборе сведений о контрагенте необходимо определить объем необходимой для заключения и исполнения договора персонифицированной информации, избегая избыточного сбора.
4. Точность и актуальность: оператор обязан принимать меры для обновления неточных данных.
5. Ограничение сроков хранения: данные уничтожаются или обезличиваются по достижении целей обработки.
6. Конфиденциальность: оператор и лица, получившие доступ к данным, обязаны не раскрывать их третьим лицам без согласия субъекта.

Права субъекта персональных данных (ст. 14 Закона № 152-ФЗ)

Человек, чьи данные обрабатываются, наделен широким спектром прав, реализация которых является гарантией соблюдения прав человека:

• Право на получение информации об обработке своих данных (кто, зачем, какие, кому переданы).
• Право на уточнение, блокирование или уничтожение неполных, неточных или незаконно полученных данных.
• Право на отзыв согласия на обработку (с последствиями в виде прекращения обработки и уничтожения данных).
• Право на обжалование действий/бездействия оператора в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) или в суд.
• Право на защиту своих прав и законных интересов, включая возмещение убытков и компенсацию морального вреда.

Роль Уполномоченного по правам человека (Омбудсмена)

Институт Уполномоченного по правам человека в РФ играет ключевую роль в защите прав граждан в сфере персональных данных, особенно в сложных социальных ситуациях. В недавнем большом интервью (по данным на ) Уполномоченная Яна Лантратова подчеркивала актуальные проблемы:

• Поиск пропавших бойцов: обработка биометрических и генетических данных для идентификации личности.
• Пленные и базы данных: вопросы открытия баз пленных и баланс между правом родственников на информацию и безопасностью/конфиденциальностью.
• «Серые пансионаты» и утечки: защита данных пожилых людей и инвалидов в установочных организациях, предотвращение несанкционированного доступа к медицинским и паспортным данным.

Деятельность Омбудсмена способствует устранению системных нарушений, когда нарушение прав на защиту данных сопряжено с нарушением прав на достойную жизнь, здоровье и безопасность.

Современные вызовы: Искусственный интеллект и нейросети

Развитие генеративного ИИ создало беспрецедентные риски для прав субъектов данных. Российский регулятор и законодатель формируют жесткую позицию:

Отсутствие «ИИ-исключения»

Использование нейросети не создает отдельного режима для персональных данных. Если компания передает ИИ-сервису сведения, по которым прямо или косвенно можно определить личность (ФИО клиента рядом с историей болезни, номер договора, биометрия), — это полноценная обработка персональных данных со всеми вытекающими обязанностями (согласие, политика конфиденциальности, меры защиты, уведомление Роскомнадзора).

Запрет на загрузку в публичные зарубежные сервисы

Категорически нельзя загружать персональные данные в публичные зарубежные нейросети (ChatGPT, Gemini, Claude и др.). Даже если имя клиента стоит рядом с безобидным запросом, это считается трансграничной передачей данных в небезопасную юрисдикцию без гарантий защиты прав субъекта.

Законодательные инициативы по обучению ИИ

Наблюдается активная дискуссия между бизнесом и государством:

• Позиция бизнеса: российские компании просят разрешить использовать персональные данные россиян для обучения собственных нейросетей без получения отдельного согласия (в рамках легитимного интереса или публичного интереса).
• Позиция государства (Правительство/Госдума): готовится законопроект, который может разрешить разработчикам ИИ использовать статьи, книги, фильмы и другие контенты (в т.ч. содержащие персональные данные) для обучения моделей, однако с жесткими условиями анонимизации и безопасности.
• Госдума (июль 2026): приняла в третьем чтении закон, меняющий условия включения иностранных государств в перечень обеспечивающих адекватную защиту прав субъектов персональных данных (трансграничная передача).

Трансграничная передача и «адекватная защита»

Передача данных за пределы РФ допускается только в страны, включенные в Перечень стран, обеспечивающих адекватную защиту прав субъектов персональных данных (утвержден Роскомнадзором), либо при наличии международного договора, письменного согласия субъекта, исполнения договора.

Актуальные изменения в Казахстане (обновление правил сбора, хранения, передачи третьим лицам) и законодательная активность в РФ демонстрируют тренд на «суверенизацию» данных: требование локализации баз данных (ст. 18 Закона № 152-ФЗ) и контроля за перетоком информации за рубеж.

Обязательства оператора: от политики конфиденциальности до уведомления

Каждый оператор (организация, ИП, госорган), обрабатывающий данные, обязан:

1. Разработать и публиковать Политику конфиденциальности (на сайте — обязательно, в доступном виде).
2. Назначить ответственного за обработку персональных данных.
3. Разработать локальные акты: Положение о защите ПДн, инструкции, модели угроз.
4. Обеспечить информационную безопасность (технические и организационные меры: шифрование, контроль доступа, учет носителей, защита от НСД).
5. Подать уведомление в Роскомнадзор об обработке ПДн (кроме случаев, освобожденных законом).
6. Проводить оценку вреда от обработки ПДн (ОВПД) при внедрении новых технологий (в т.ч. ИИ), обработке биометрии/спецкатегорий.

Ответственность за нарушения

Нарушение законодательства о персональных данных влечет:

• Административную ответственность (КоАП РФ ст. 13.11): штрафы на должностных лиц до 50 тыс. руб., на юрлиц — до 15 млн руб. (за повторные нарушения или утечки — до 500 тыс. руб; для должностных лиц и до 500 млн руб. для юрлиц по ст. 13.11.1 КоАП РФ).
• Гражданско-правовую: возмещение убытков и компенсация морального вреда (суды все чаще взыскивают значительные суммы за утечки и отказ в предоставлении информации).
• Уголовную (УК РФ ст. 137, 272, 273, 274): за незаконный сбор/распространение сведений о частной жизни, несанкционированный доступ к защищенной информации, создание/распространение вредоносных программ.

Практические рекомендации для бизнеса и граждан

Для операторов (бизнеса):

• Проводите регулярный аудит обрабатываемых данных: «Зачем мы это храним? Есть ли согласие? Актуальны ли цели?».
• Внедряйте Privacy by Design (защита данных по умолчанию и при проектировании) при разработке ИИ-систем.
• Используйте только российские или сертифицированные коробочные решения для обработки чувствительных данных (on-premise), избегая публичных облачных ИИ.
• Обучайте сотрудников работе с ПДн и фишингу (основной вектор утечек).

Для субъектов данных (граждан):

• Читайте политики конфиденциальности перед нажатием «Согласен».
• Используйте право на запрос к оператору (ст. 14 Закона № 152-ФЗ) — требуйте отчета о том, какие данные хранятся и кому переданы.
• При утечке или отказе в праве — обращайтесь в Роскомнадзор (через Госуслуги или сайт ведомства) и в суд.
• Осторожно относитесь к вводу личных данных в чат-боты и публичные ИИ-сервисы.

Защита персональных данных — это не просто бюрократическая процедура заполнения журналов и написания политик. Это прямой реализатор конституционного права на тайну личной и семейной жизни. В условиях тотальной цифровизации, внедрения ИИ и роста киберугроз, баланс между удобством технологий, интересами бизнеса/государства и правами человека смещается в сторону усиления контроля и ответственности.

Законодательство (152-ФЗ, ГК РФ, КоАП РФ, УК РФ), практика Роскомнадзора, судов и деятельность Уполномоченного по правам человека формируют жесткий каркас: данные принадлежат человеку, а оператор — лишь временный хранитель с строгими обязательствами. Игнорирование этого принципа сегодня ведет не только к штрафам, но и к репутационному краху и потере доверия граждан.