· Законодательство · 7 мин чтения

Автор: команда ДокументЛаб — сервис, который генерирует юридические документы для сайтов и помогает бизнесу соблюдать 152-ФЗ и GDPR.

GDPR и 152-ФЗ: в чём отличия

GDPR и 152-ФЗ преследуют одну цель — защиту прав граждан при обработке персональных данных, но подходят к ней по-разному. GDPR (General Data Protection Regulation) — регламент Европейского союза, который действует с 25 мая 2018 года, а 152-ФЗ «О персональных данных» — российский закон, действующий с 27 июля 2006 года. Если бизнес работает с аудиторией из Европы и России, соблюдать нужно оба акта. Разбираем ключевые отличия — от оснований обработки до штрафов — и даём практические рекомендации.

Главное

  • GDPR применяется к любой организации в мире, обрабатывающей данные резидентов ЕС.
  • 152-ФЗ требует обязательной локализации баз данных российских граждан в РФ.
  • GDPR признаёт «законный интерес» как основание обработки, в 152-ФЗ его нет.
  • Максимальный штраф GDPR — 20 млн € или 4% оборота, по 152-ФЗ — до 18 млн ₽.
  • При работе с обеими аудиториями ориентируйтесь на более строгие требования.

Содержание

  1. Что такое GDPR и 152-ФЗ?
  2. Ключевые отличия GDPR и 152-ФЗ
  3. Что делать, если нужно соблюдать оба закона?
  4. Практические рекомендации
  5. Начните с документов

Что такое GDPR и 152-ФЗ?

GDPR

General Data Protection Regulation вступил в силу 25 мая 2018 года. Это регламент Европейского союза, который действует напрямую во всех странах ЕС, а также в Исландии, Лихтенштейне и Норвегии (ЕЭЗ). GDPR применяется к любой организации в мире, которая обрабатывает данные резидентов ЕС.

152-ФЗ

Федеральный закон № 152-ФЗ «О персональных данных» действует с 27 июля 2006 года и неоднократно дополнялся. Он регулирует обработку персональных данных на территории Российской Федерации и применяется к любым операторам, обрабатывающим данные российских граждан.

Ключевые отличия GDPR и 152-ФЗ

Территориальное действие

Аспект GDPR 152-ФЗ
Территория действия Весь мир (если обрабатываются данные резидентов ЕС) Россия (если обрабатываются данные российских граждан)
Экстерриториальность Да, распространяется на компании за пределами ЕС Да, требует локализации баз данных в РФ
Локализация данных Ограничения на трансграничную передачу, но без обязательной локализации Обязательное хранение баз данных на территории РФ

Определение персональных данных

GDPR использует более широкое определение персональных данных. Сравним подходы:

GDPR определяет персональные данные как:

  • Любую информацию, относящуюся к идентифицированному или идентифицируемому физическому лицу
  • Явно включает: онлайн-идентификаторы, данные о местоположении, cookies, IP-адреса
  • Выделяет «особые категории данных» (sensitive data): расовое происхождение, политические взгляды, религия, здоровье, биометрия, сексуальная ориентация

152-ФЗ определяет персональные данные как:

  • Любую информацию, относящуюся к прямо или косвенно определённому или определяемому физическому лицу (субъекту ПД)
  • Не содержит исчерпывающего перечня
  • Выделяет специальные категории: расовая принадлежность, национальность, политические взгляды, религия, здоровье, интимная жизнь
  • Отдельно выделяет биометрические данные

Правовые основания обработки

Основание GDPR 152-ФЗ
Согласие субъекта Да Да
Исполнение договора Да Да
Юридическая обязанность Да Да
Жизненно важные интересы Да Да (угроза жизни и здоровью)
Публичные интересы Да Да (государственные и муниципальные полномочия)
Законный интерес Да (с балансировкой интересов) Нет прямого аналога

Ключевое отличие: GDPR признаёт «законный интерес» (legitimate interest) как самостоятельное основание обработки, а в 152-ФЗ такого основания нет, что делает согласие более значимым инструментом.

Требования к согласию

GDPR:

  • Свободное, конкретное, информированное и однозначное
  • Может быть отозвано так же легко, как было дано
  • Молчание или предзаполненные чекбоксы не являются согласием
  • Для детей до 16 лет (в некоторых странах ЕС — до 13) требуется согласие родителей

152-ФЗ:

  • Конкретное, информированное и сознательное
  • Может быть отозвано субъектом в любой момент
  • Для определённых случаев требуется письменная форма (бумажная или электронная с ЭП)
  • Обработка ПД несовершеннолетних — с согласия законного представителя

Права субъектов данных

Право GDPR 152-ФЗ
Право на доступ Да Да
Право на исправление Да Да (уточнение)
Право на удаление («право быть забытым») Да (с исключениями) Да (блокирование и уничтожение)
Право на ограничение обработки Да Частично (блокирование)
Право на переносимость данных Да Нет
Право на возражение Да Да (отзыв согласия)
Право не подчиняться автоматизированному решению Да Нет прямого аналога

Право на переносимость данных (data portability) — одно из ключевых нововведений GDPR, которого нет в 152-ФЗ. Оно позволяет пользователю получить свои данные в машиночитаемом формате и передать другому оператору.

Уведомление об утечках

GDPR:

  • Уведомление надзорного органа: в течение 72 часов
  • Уведомление субъектов данных: «без неоправданной задержки» при высоком риске
  • Документирование всех утечек, даже если уведомление не требуется

152-ФЗ:

  • Уведомление Роскомнадзора: в течение 24 часов с момента обнаружения
  • Уведомление о результатах расследования: в течение 72 часов
  • Также необходимо уведомить ГосСОПКА (НКЦКИ)

Российский закон в этой части даже строже: срок уведомления регулятора — 24 часа вместо 72.

Ответственный за обработку данных

GDPR:

  • DPO (Data Protection Officer) обязателен для: государственных органов, компаний с систематическим масштабным мониторингом, компаний, обрабатывающих особые категории данных в большом масштабе
  • DPO может быть внешним

152-ФЗ:

  • Назначение ответственного за организацию обработки ПД обязательно для всех операторов
  • Не требуется специальная квалификация (в отличие от DPO в GDPR)

Штрафы и санкции

Критерий GDPR 152-ФЗ
Максимальный штраф 20 000 000 € или 4% годового оборота до 18 000 000 ₽ (с тенденцией к увеличению)
Принцип расчёта Пропорционально обороту компании Фиксированные суммы по статьям КоАП
Другие санкции Запрет на обработку данных Блокировка сайта, приостановка деятельности

Штрафы по GDPR существенно выше. Крупнейшие штрафы исчисляются сотнями миллионов евро (Amazon — 746 млн €, Meta — 1,2 млрд €). Российские штрафы значительно ниже, но постоянно растут.

Трансграничная передача данных

GDPR:

  • Свободная передача внутри ЕЭЗ
  • За пределы ЕЭЗ — при наличии решения об адекватности, стандартных контрактных оговорок (SCC) или обязательных корпоративных правил (BCR)
  • Россия не признана страной с адекватным уровнем защиты

152-ФЗ:

  • Трансграничная передача допускается в страны, обеспечивающие адекватную защиту (список определяет Роскомнадзор)
  • В иные страны — при наличии согласия субъекта или других оснований
  • Первичный сбор данных российских граждан обязательно на территории РФ (локализация)

Что делать, если нужно соблюдать оба закона?

Если ваш бизнес работает и с российскими, и с европейскими пользователями:

  1. Определите аудиторию. Если сайт доступен пользователям из ЕС и вы целенаправленно работаете с ними (язык, валюта, маркетинг), GDPR на вас распространяется.

  2. Создайте два набора документов. Политика конфиденциальности для российской аудитории (по 152-ФЗ) и Privacy Policy для европейской (по GDPR). Или единый документ, покрывающий оба закона.

  3. Обеспечьте локализацию данных. Базы данных российских граждан храните в РФ. Для европейских пользователей обеспечьте соответствие требованиям GDPR к трансграничной передаче.

  4. Настройте механизм согласий. GDPR требует более строгого подхода к согласиям (opt-in, а не opt-out). Ориентируйтесь на более строгие требования.

  5. Обеспечьте реализацию прав. Создайте процедуру обработки запросов субъектов данных, включая право на переносимость (для GDPR) и право на удаление.

Практические рекомендации

  • Если работаете только с российскими пользователями, сосредоточьтесь на 152-ФЗ
  • Если ваш сайт посещают пользователи из ЕС, но вы не целенаправленно работаете на этот рынок, GDPR скорее всего не применяется
  • Если вы активно привлекаете клиентов из ЕС, соблюдайте оба закона, ориентируясь на более строгие требования
  • Следите за изменениями: оба закона регулярно обновляются

Начните с документов

Вне зависимости от того, какой закон вы обязаны соблюдать, всё начинается с качественных юридических документов. Генератор документов ДокументЛаб поможет создать политику конфиденциальности по 152-ФЗ за несколько минут: документы адаптируются под специфику бизнеса и включают все обязательные разделы. В ПоряДке документы формируются под конкретный сайт с учётом актуальной редакции 152-ФЗ.

Частые вопросы

Распространяется ли GDPR на российский бизнес?

Да, если компания целенаправленно работает с пользователями из ЕС (язык, валюта, маркетинг). GDPR применяется к любой организации в мире, которая обрабатывает данные резидентов ЕС.

В чём главное отличие GDPR от 152-ФЗ?

GDPR признаёт «законный интерес» как самостоятельное основание обработки и требует более строгого согласия (opt-in). В 152-ФЗ законного интереса нет, но есть обязательная локализация баз данных российских граждан в РФ.

Какой закон строже по штрафам?

GDPR: максимальный штраф — 20 000 000 € или 4% годового оборота. По 152-ФЗ штрафы фиксированные — до 18 000 000 ₽. По срокам уведомления об утечках российский закон строже: 24 часа вместо 72.

Что делать, если нужно соблюдать оба закона?

Определите аудиторию, создайте два набора документов (по 152-ФЗ и GDPR), обеспечьте локализацию данных российских граждан в РФ и настройте механизм согласий, ориентируясь на более строгие требования GDPR.

Итоги

GDPR и 152-ФЗ преследуют одну цель — защиту персональных данных, но различаются в основаниях обработки, штрафах и требованиях к локализации.

  • GDPR действует в ЕС и экстерриториально на компании по всему миру.
  • 152-ФЗ требует локализации баз данных российских граждан в РФ.
  • GDPR признаёт «законный интерес», в 152-ФЗ такого основания нет.
  • Штрафы GDPR — до 20 млн € или 4% оборота, 152-ФЗ — до 18 млн ₽.
  • Уведомление об утечке по 152-ФЗ — 24 часа, по GDPR — 72 часа.
  • При работе с обеими аудиториями ориентируйтесь на более строгие требования.

Соблюдайте закон, который применяется к вашей аудитории, и начните с качественных юридических документов.