152-ФЗ «О персональных данных»: структура закона, статьи и поправки
Закон № 152-ФЗ по главам и статьям: что в какой статье, где у нас разбор, как закон соотносится с другими актами и какие поправки 2011–2026 годов подтверждает текст. Редакция сверена 07.10.2026.
Коротко: Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» — основной закон об обработке данных о людях. В нём шесть глав и статьи с 1 по 25, часть из них с дополнительными номерами: 10.1, 13.1, 18.1, 22.1, 23.1. Для бизнеса главное — глава 4 «Обязанности оператора» (ст. 18–22.1) и ст. 6 и 9 об основаниях и согласии. Закон менялся много раз, последние поправки — 2024–2026 годов. Редакцию мы сверили 7 октября 2026 года, ниже оговорка, как её читать.
Главное о законе
- Шесть глав: общие положения, принципы и условия обработки, права субъекта, обязанности оператора, надзор и ответственность, заключительные положения.
- Определения — в ст. 3, принципы — в ст. 5, основания обработки — в ст. 6, согласие — в ст. 9.
- Обязанности оператора — ст. 18–22.1: информирование при сборе, меры и политика, безопасность, ответы на запросы, устранение нарушений, уведомление, ответственный.
- Закон не работает один: он опирается на другие акты и отраслевые законы (см. ст. 4).
- Редакция меняется. На 07.10.2026 — ред. от 26.07.2026, в тексте есть будущие изменения (с 01.03.2027).
Как устроен закон: шесть глав
Названия глав и статей приведены по тексту в КонсультантПлюс. Цель закона — защита прав и свобод человека при обработке его персональных данных, в том числе права на неприкосновенность частной жизни, личную и семейную тайну (ст. 2).
| Глава | Статьи | О чём | Где разбор |
|---|---|---|---|
| 1. Общие положения | 1–4 | Сфера действия, цель, понятия, состав законодательства | Что такое персональные данные |
| 2. Принципы и условия обработки персональных данных | 5–13.1 | Принципы, основания, конфиденциальность, согласие, специальные категории, биометрия, трансграничная передача | Обработка персональных данных |
| 3. Права субъекта персональных данных | 14–17 | Доступ к данным, продвижение товаров, автоматизированные решения, обжалование | Рассмотрение запросов субъектов |
| 4. Обязанности оператора | 18–22.1 | Сбор, меры и политика, безопасность, запросы, устранение нарушений, уведомление, ответственный | Обязанности оператора |
| 5. Федеральный государственный контроль (надзор) за обработкой персональных данных. Ответственность за нарушение требований настоящего Федерального закона | 23–24 (включая 23.1) | Уполномоченный орган, государственный контроль, ответственность | Проверка Роскомнадзора |
| 6. Заключительные положения | 25 | Вступление в силу и переходные положения (по нашему прочтению, сегодня их значение небольшое) | — |
Статьи по порядку и где их читать у нас
| Статья | О чём (по тексту закона) | Наш разбор |
|---|---|---|
| 1–2 | Сфера действия, исключения (личные и семейные нужды, архивы, государственная тайна), цель | Главная статья кластера |
| 3 | Понятия: персональные данные, оператор, обработка, распространение, предоставление, обезличивание, ИСПДн, трансграничная передача | Глоссарий, оператор |
| 4 | Состав законодательства, подзаконные акты | См. раздел ниже |
| 5 | Принципы обработки | Обработка |
| 6 | Условия обработки (основания), поручение обработки другому лицу | Без согласия, поручение |
| 7 | Конфиденциальность | Конфиденциальность |
| 8 | Общедоступные источники | Какие данные персональные |
| 9 | Согласие субъекта | Согласие, с 1 сентября 2025 |
| 10, 10.1, 11 | Специальные категории, данные для распространения, биометрия | Распространение, биометрия |
| 12 | Трансграничная передача | Передача, уведомление о трансграничной передаче |
| 13, 13.1 | Государственные информационные системы; данные, полученные в результате обезличивания | Подробно в наших статьях не разбираем |
| 14, 17 | Право доступа, обжалование | Ответ на запрос, жалоба на оператора |
| 15 | Продвижение товаров и услуг, агитация: нужно предварительное согласие | Согласие на рассылку |
| 16 | Решения только на основе автоматизированной обработки | Подробно в наших статьях не разбираем |
| 18 | Информирование при сборе; запись и хранение данных граждан России в базах на территории России (ч. 5) | Данные на сайте |
| 18.1 | Меры оператора, политика, публикация политики | Политика, документы |
| 19 | Безопасность данных | Защита |
| 20, 21 | Запросы субъектов и Роскомнадзора; устранение нарушений, прекращение обработки, инциденты | Прекращение обработки, утечка за 24 часа |
| 22, 22.1 | Уведомление Роскомнадзора; ответственный за организацию обработки в организациях | Уведомление, ответственный |
| 23, 23.1 | Уполномоченный орган, федеральный государственный контроль (надзор) | Предписание, внеплановая проверка |
| 24 | Ответственность, возмещение морального вреда | Штрафы |
Закон и другие акты: статья 4
Законодательство о персональных данных основывается на Конституции и международных договорах и состоит из закона № 152-ФЗ и других федеральных законов, которые определяют случаи и особенности обработки данных (ч. 1 ст. 4). Поэтому на практике читают несколько источников сразу. Например, данные работников — ещё и ст. 86–90 Трудового кодекса (персональные данные работников), врачебная тайна — ст. 13 закона № 323-ФЗ (врачебная тайна и персональные данные).
Государственные органы вправе принимать акты по отдельным вопросам обработки, но такие акты не могут ограничивать права субъектов, вводить не предусмотренные федеральными законами ограничения для операторов и возлагать на них не предусмотренные законами обязанности (ч. 2 ст. 4). Если вам предъявляют требование, которого нет в законе, посмотрите, на какой акт ссылаются (наша рекомендация). Из актов чаще всего встречаются:
- постановление Правительства от 01.11.2012 № 1119 — требования к защите данных в информационных системах: разбор;
- постановление Правительства от 15.09.2008 № 687 — обработка без средств автоматизации;
- приказ Роскомнадзора от 28.10.2022 № 179 — подтверждение уничтожения данных: акт уничтожения;
- приказ ФСТЭК от 18.02.2013 № 21 — состав мер защиты: разбор.
История поправок: что подтверждается текстом
Ниже поправки, которые видны по пометкам «в ред.», «введена», «утратил силу» в тексте закона на КонсультантПлюс. Даты вступления в силу указаны только там, где они есть в тексте или в сверенной нами справке. Подробный разбор изменений последнего времени — в статье об изменениях в 2026 году.
| Закон | Что изменено в 152-ФЗ (в частности) | Дата |
|---|---|---|
| от 25.07.2011 № 261-ФЗ | Введены ст. 18.1 (меры оператора) и 22.1 (ответственный в организациях); многие статьи изложены в новой редакции | — |
| от 21.07.2014 № 242-ФЗ | Сведения о месте нахождения базы данных в уведомлении (п. 10.1 ч. 3 ст. 22); п. 3.1 ч. 3 ст. 23 (право Роскомнадзора ограничивать доступ к информации, обрабатываемой с нарушением); ч. 5 ст. 18 о базах в России сейчас действует в редакции 23-ФЗ | — |
| от 30.12.2020 № 519-ФЗ | Введены ст. 10.1 и п. 1.1 ст. 3 (данные для распространения); п. 10 ч. 1 ст. 6 утратил силу | С 01.03.2021 утратил силу п. 10 |
| от 11.06.2021 № 170-ФЗ | Введена ст. 23.1 о федеральном государственном контроле (надзоре) | — |
| от 14.07.2022 № 266-ФЗ | Пункты 1–6 ч. 2 ст. 22 утратили силу; введены ч. 3.1, 4.1 и 8 ст. 22, ч. 3.1 ст. 21 (инциденты), ч. 3 ст. 11, ч. 1.1 ст. 1; новая редакция ст. 12 | С 01.09.2022 — исключения из уведомления |
| от 08.08.2024 № 233-ФЗ | Введён п. 3.1 ч. 2 ст. 19; новая редакция ч. 8 и 9 ст. 19; введены ст. 13.1 и ч. 12 ст. 23 | — |
| от 28.02.2025 № 23-ФЗ | Новая редакция ч. 5 ст. 18 (базы данных граждан России); введена ч. 1.2 ст. 6 | — |
| от 24.06.2025 № 156-ФЗ | Новая редакция ч. 1 ст. 9: согласие оформляется отдельно от иных документов | С 01.09.2025 |
| от 07.07.2025 № 200-ФЗ | Изменения п. 7 ч. 2 ст. 10 (пометка КонсультантПлюс о будущей редакции) | С 01.03.2027 |
| от 26.07.2026 № 265-ФЗ | Новая редакция ч. 2, п. 2 ч. 5, ч. 10 и 11 ст. 12 (трансграничная передача) | Ред. от 26.07.2026 |
Штрафы живут не в самом законе, а в КоАП: ч. 10–18 ст. 13.11 добавил закон от 30.11.2024 № 420-ФЗ (по нашей сверке, эти суммы действуют с 30.05.2025). Подробнее — в статье о штрафах.
Оговорка: как читать редакцию
- Дата проверки: 07.10.2026. Мы сверяли тексты статей на КонсультантПлюс; закон меняется, перед использованием проверьте дату.
- «Подготовлена редакция с изменениями, не вступившими в силу». Так КонсультантПлюс помечает документ, у которого есть будущие поправки (например, п. 7 ч. 2 ст. 10 с 01.03.2027). Это не значит, что они действуют сегодня.
- Часть и пункт. Правильно писать «ч. 7 ст. 5» и «п. 5 ч. 1 ст. 6». Во многих статьях закона есть части, а в них пункты, путаница меняет смысл.
- Утратившие силу пункты остаются в тексте со словами «утратил силу». Не все старые материалы в интернете это учитывают.
С чего начать читать закон
Если времени мало, читайте в таком порядке: п. 1–3 ст. 3 (определения), ст. 6 и 9 (основания и согласие), ст. 18.1 (меры и политика), ст. 22 (уведомление), ст. 21 (инциденты и сроки). Если вы только начинаете, сначала откройте главный материал кластера — что такое персональные данные — и карту из шести шагов в нём.
Как мы помогаем
Читать закон самому необязательно: ФТИ — действующий учебный центр, услуги по персональным данным ведёт юрист Максим Ромазанов. Работаем дистанционно по всей России.
- Уведомление в Роскомнадзор под ключ — 4 900 ₽ (подача в Роскомнадзор бесплатна).
- Документы по 152-ФЗ — 9 900 ₽: пишем под ваш бизнес, правки до вашего «принимаю».
- Аудит сайта на 152-ФЗ — 4 900 ₽ с отчётом за 3 рабочих дня.
- Сопровождение по персональным данным — 1 990 ₽ в месяц или 19 900 ₽ в год: следим за изменениями, обновляем документы, отвечаем на вопросы.
Нормативные документы
На эти документы опирается статья. Ссылки ведут на официальные тексты в справочных правовых системах.
- Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» — полный текст с оглавлением
- Статья 4 закона № 152-ФЗ — законодательство в области персональных данных
- Статья 3 закона № 152-ФЗ — основные понятия
- Статья 9 закона № 152-ФЗ — согласие субъекта персональных данных
- Статья 18.1 закона № 152-ФЗ — меры, направленные на обеспечение выполнения обязанностей оператора
- Статья 22 закона № 152-ФЗ — уведомление об обработке персональных данных
- Статья 23.1 закона № 152-ФЗ — федеральный государственный контроль (надзор) за обработкой персональных данных
- КоАП РФ, статья 13.11 — нарушение законодательства в области персональных данных
- Постановление Правительства РФ от 01.11.2012 № 1119 — требования к защите персональных данных в информационных системах
- Постановление Правительства РФ от 15.09.2008 № 687 — особенности обработки персональных данных без использования средств автоматизации
Частые вопросы
Что такое 152-ФЗ?
Это Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных». Он определяет, что такое персональные данные, на каких условиях их можно обрабатывать, какие права у людей и какие обязанности у операторов, и кто контролирует исполнение.
Сколько глав и статей в законе 152-ФЗ?
Шесть глав. Статьи пронумерованы с 1 по 25, а ещё есть статьи с дополнительными номерами: 10.1, 13.1, 18.1, 22.1 и 23.1.
Какая статья 152-ФЗ самая важная для бизнеса?
Нет одной главной. На практике чаще всего нужны ст. 3 (понятия), 6 и 9 (основания и согласие), 18.1 (меры и политика), 19 (безопасность), 21 (сроки и инциденты) и 22 (уведомление). Для юридических лиц отдельно ст. 22.1 об ответственном.
Какая сейчас редакция закона 152-ФЗ?
На 7 октября 2026 года на КонсультантПлюс закон показан в редакции от 26.07.2026, с пометкой о подготовленной редакции, содержащей изменения, которые ещё не вступили в силу (например, п. 7 ч. 2 ст. 10 с 01.03.2027). Перед использованием проверьте актуальную дату.
Что изменилось в 152-ФЗ за последние годы?
Из поправок, подтверждённых текстом закона: с 2022 года сокращены исключения из уведомления (266-ФЗ), в 2024 году введён п. 3.1 ч. 2 ст. 19 (233-ФЗ), в 2025 году изменены ч. 5 ст. 18 (23-ФЗ) и ч. 1 ст. 9 (156-ФЗ), в 2026 году изменена ст. 12 (265-ФЗ). Таблица с датами выше в статье.
Кто следит за исполнением закона?
Уполномоченный орган по защите прав субъектов персональных данных (ст. 23), на практике это Роскомнадзор. Федеральный государственный контроль (надзор) осуществляется по закону № 248-ФЗ о государственном контроле (ч. 3 ст. 23.1).
Какая ответственность предусмотрена за нарушение закона?
Ст. 24 закона отсылает к законодательству: виновные несут предусмотренную им ответственность, а моральный вред субъекту возмещается отдельно. Административные штрафы — ст. 13.11 КоАП, срок давности один год.
Какие акты, кроме закона, нужно знать оператору?
Зависит от ситуации. Для защиты данных в информационных системах — постановление Правительства № 1119 и приказ ФСТЭК № 21; для обработки без средств автоматизации — постановление № 687; для подтверждения уничтожения — приказ Роскомнадзора № 179. Для работников — Трудовой кодекс (ст. 86–90).
Сколько стоит подготовить документы по 152-ФЗ в ФТИ?
Пакет «Документы по 152-ФЗ» — 9 900 ₽: юрист разбирает ваши сайт, людей и системы и пишет документы под них, правки включены до вашего «принимаю». Уведомление в Роскомнадзор — 4 900 ₽. Пакет «Старт» (уведомление, документы и документы для сайта) — 14 900 ₽ вместо 18 700 ₽.