Персональные данные

Обработка персональных данных: определение, принципы и основания

Редактор ФТИ 8 октября 2026 10 мин чтения

Коротко

Что закон № 152-ФЗ называет обработкой персональных данных, какие у неё принципы по ст. 5 и какие основания есть в ч. 1 ст. 6. Таблицы по частям и пунктам, автоматизированная и бумажная обработка, ответственность по ст. 13.11 КоАП.

Коротко: обработка персональных данных — это любое действие или набор действий с данными, с компьютером или без него (п. 3 ст. 3 закона № 152-ФЗ). Сбор, запись, хранение, использование, передача, обезличивание, удаление — всё это обработка. Она законна, когда соблюдены принципы ст. 5 и есть хотя бы одно основание из ч. 1 ст. 6. Согласие человека — только одно из таких оснований, а не обязательное условие.

Разбор целей и оснований, политика, согласия, локальные акты · пишет юрист, правки включены до вашего «принимаю»

Документы по 152-ФЗ под ваш бизнес — 9 900 ₽

Собрать пакет →

Главное об обработке

Обработка — широкое понятие: даже хранение карточки в шкафу попадает под определение (п. 3 ст. 3).
Законная основа и справедливость — первый принцип (ч. 1 ст. 5).
Цель определена заранее, данных ровно столько, сколько нужно для неё (ч. 2, 4, 5 ст. 5).
Основания перечислены в ч. 1 ст. 6. Пункты пронумерованы с 1 по 11, п. 10 утратил силу с 01.03.2021.
Уничтожить или обезличить данные нужно по достижении целей (ч. 7 ст. 5).
Бумага тоже под законом, если по ней можно искать по алгоритму (ч. 1 ст. 1).

Что закон называет обработкой

Определение дано в п. 3 ст. 3: обработка персональных данных — «любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными». Дальше идёт слово «включая» и перечень: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение. По нашему прочтению, перечень примерный, поэтому любое другое действие с данными тоже попадает под понятие.

Действие из определения	Пример из жизни (наш)
Сбор, запись	Клиент заполнил форму на сайте, администратор записал данные в журнал
Хранение, накопление	Карточки клиентов лежат в CRM или в шкафу
Использование	Менеджер звонит по номеру из заявки
Передача: предоставление	Данные передали курьерской службе (п. 6 ст. 3: определённому лицу)
Передача: распространение	Фото сотрудников опубликовали на сайте (п. 5 ст. 3: неопределённому кругу)
Обезличивание	Из таблицы убрали имена, чтобы посчитать статистику (п. 9 ст. 3)
Блокирование	Временно приостановили работу с данными на время проверки (п. 7 ст. 3)
Удаление, уничтожение	Стёрли запись и документы по окончании срока (п. 8 ст. 3)

Что именно считать персональными данными, объясняет главный материал кластера — что такое персональные данные. Кто обрабатывает данные и становится оператором — в статье об операторе персональных данных.

Автоматизированная обработка и обработка без средств автоматизации

Автоматизированная обработка — это обработка с помощью средств вычислительной техники (п. 4 ст. 3). Сайт, CRM, 1С, Excel, мессенджер под это подходят.

Закон применяется и к бумаге, но не к любой. Обработка без средств автоматизации подпадает под закон, если она по характеру действий позволяет искать данные по заданному алгоритму в картотеках или иных систематизированных собраниях и (или) получать доступ к ним (ч. 1 ст. 1). Обычный блокнот без системы поиска сюда по нашему прочтению не относится, а картотека с алфавитными карточками относится.

Постановление Правительства № 687 (действует до 1 сентября 2030 года) уточняет правила для бумаги. Обработка считается неавтоматизированной, если использование, уточнение, распространение, уничтожение данных каждого человека идёт при непосредственном участии человека (п. 1 Положения). Наличие данных в информационной системе само по себе не делает обработку автоматизированной (п. 2). На одном носителе нельзя фиксировать данные с заведомо несовместимыми целями (п. 5), а носители, обрабатываемые в разных целях, хранят раздельно (п. 14).

Практическое следствие: из трёх исключений ч. 2 ст. 22 для обычного бизнеса важно одно: уведомление в Роскомнадзор не подают, если обработка идёт исключительно без средств автоматизации (п. 8). Перечень обязанностей — в статье об обязанностях оператора.

Семь принципов обработки: ст. 5 по частям

Часть ст. 5	Требование	Что это значит на практике (наше прочтение)
ч. 1	Законная и справедливая основа	Нет основания по ст. 6 — нет и обработки. Обманом данные не собирают
ч. 2	Конкретные, заранее определённые и законные цели; обработка, несовместимая с целями сбора, не допускается	Цель записана до сбора: «исполнение договора», а не «разные нужды компании»
ч. 3	Не допускается объединение баз с несовместимыми целями	Нельзя «слить» базу клиентов с базой, собранной для другого
ч. 4	Обрабатывают только данные, отвечающие целям	Если данные не нужны для цели, их не берут
ч. 5	Содержание и объём соответствуют целям и не избыточны	Паспорт для записи на услугу, как правило, избыточен
ч. 6	Точность, достаточность, актуальность; неполные и неточные данные удаляют или уточняют	Раз в год сверять базу, исправлять по обращениям
ч. 7	Хранение не дольше, чем требуют цели, если срок не установлен федеральным законом или договором; по достижении целей уничтожить или обезличить	Сроки хранения по каждой цели записаны в политике или положении

В ч. 7 ст. 5 срок хранения может установить федеральный закон либо договор, стороной которого, выгодоприобретателем или поручителем по которому является человек. Если срок не установлен, действует правило «не дольше, чем требуют цели». Как оформляют сроки и отчёт об уничтожении, описано в статьях об акте уничтожения и о перечне персональных данных.

Основания обработки: ч. 1 ст. 6

Часть 1 ст. 6 говорит, что обработка допускается в перечисленных случаях. Пункты пронумерованы с 1 по 11, есть пп. 3.1 и 9.1, п. 10 утратил силу с 1 марта 2021 года. Примеры в таблице наши, они иллюстрируют формулировки закона, а не заменяют их.

Пункт	Формулировка по закону (сжато)	Пример (наш)
п. 1	Согласие субъекта на обработку	Подписка на рассылку
п. 2	Достижение целей, предусмотренных международным договором или законом; выполнение возложенных законом на оператора функций, полномочий и обязанностей	Работодатель передаёт сведения о работниках в фонды по закону
п. 3	Обработка в связи с участием лица в конституционном, гражданском, административном, уголовном судопроизводстве, в арбитражных судах	Данные участника спора в материалах дела (по нашему прочтению)
п. 3.1	Исполнение судебного акта и актов, подлежащих исполнению по законодательству об исполнительном производстве	Удержания по исполнительному листу
п. 4	Полномочия органов власти и функции организаций, участвующих в предоставлении государственных и муниципальных услуг (ФЗ № 210)	Приём заявления в МФЦ
п. 5	Исполнение договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект, и заключение договора по его инициативе	Доставка заказа интернет-магазином
п. 6	Защита жизни, здоровья или иных жизненно важных интересов субъекта, если получить согласие невозможно	Сведения для бригады скорой, когда человек без сознания
п. 7	Осуществление прав и законных интересов оператора или третьих лиц либо общественно значимые цели при условии, что права и свободы субъекта не нарушены	Подготовка иска к должнику (по нашему прочтению)
п. 8	Профессиональная деятельность журналиста или законная деятельность СМИ либо научная, литературная, иная творческая деятельность, при условии, что не нарушаются права и законные интересы субъекта	Редакция готовит публикацию
п. 9	Статистические и иные исследовательские цели при условии обязательного обезличивания	Опрос с итоговой сводкой без имён
п. 9.1	Данные, полученные в результате обезличивания, для повышения эффективности государственного или муниципального управления и в иных случаях по законам, названным в пункте	Обработка по правилам ст. 13.1 закона
п. 11	Данные, подлежащие опубликованию или обязательному раскрытию в соответствии с федеральным законом	Сведения, которые закон требует раскрыть публично

Утративший силу п. 10 касался общедоступных данных. По нашему прочтению, старое объяснение «человек сам разместил данные в интернете, значит можно» устарело. Для данных, которые человек сам раскрыл неопределённому кругу без согласия оператору, ч. 2 ст. 10.1 возлагает доказательство законности последующей обработки на каждого, кто их распространил или обработал.

Для специальных категорий данных (здоровье, национальная принадлежность, убеждения) и биометрии действуют особые правила (ч. 2 ст. 6, ст. 10 и 11). Про согласие читайте в хабе о согласии на обработку, про остальные основания — в статье об обработке без согласия. Здесь мы их не повторяем.

Как выбрать основание и не ошибиться

Закон не диктует порядок выбора основания. По нашей рекомендации для каждой цели записывают то основание, на котором она реально держится:

Записать цель. «Доставить заказ», «вести кадровый учёт», «отправлять рекламу».
Найти основание по таблице выше. Заказ — договор (п. 5), кадровый учёт — обязанности по закону (п. 2), реклама по прямым контактам — только предварительное согласие (ст. 15).
Проверить, нет ли особой категории. Данные о здоровье или биометрия потребуют отдельного режима.
Сверить объём данных с целью (ч. 5 ст. 5) и назначить срок хранения (ч. 7 ст. 5).
Записать в политике и перечнях (для юридического лица — п. 2 ч. 1 ст. 18.1).

Доказывать наличие основания придётся оператору. Закон прямо говорит об этом для согласия и для оснований по пп. 2–11 ч. 1 ст. 6, ч. 2 ст. 10 и ч. 2 ст. 11 (ч. 3 ст. 9). Если обработку поручают другому лицу, действует ч. 3 ст. 6, подробности в статье о поручении обработки.

Уведомление в Роскомнадзор — 4 900 ₽, пакет «Старт» (уведомление, документы, документы для сайта) — 14 900 ₽ вместо 18 700 ₽

Подберём основание и оформим документы под вашу обработку

Смотреть услуги ФТИ →

Что бывает за обработку без основания

Обработка в случаях, не предусмотренных законодательством о персональных данных, либо обработка, несовместимая с целями сбора, — ч. 1 ст. 13.11 КоАП. Суммы: граждане от 10 до 15 тыс. ₽, должностные лица от 50 до 100 тыс. ₽, юридические лица от 150 до 300 тыс. ₽. У ИП в ч. 1 своей строки нет, он отвечает как должностное лицо (ст. 2.4 КоАП). Обработка без письменного согласия там, где закон требует именно письменную форму, — ч. 2: организации от 300 до 700 тыс. ₽. Это границы диапазонов, а не фиксированные суммы. Срок давности — один год (ст. 4.5), по длящемуся нарушению он считается со дня обнаружения. Общая картина — в статье о штрафах за персональные данные.

Как мы помогаем

ФТИ — учебный центр, услуги по персональным данным ведёт юрист по образованию. Обработка у каждого своя, поэтому начинаем с разбора:

Документы по 152-ФЗ — 9 900 ₽. Звонок на 20–30 минут: бизнес, данные, системы. Потом политика, согласия, локальные акты по вашей ситуации. Состав называем до оплаты. Правки включены до «принимаю».
Аудит сайта на 152-ФЗ — 4 900 ₽; документы для сайта — 3 900 ₽, устранение нарушений — от 9 900 ₽.
Уведомление в Роскомнадзор — 4 900 ₽: цели, данные и основания по каждой цели.

Если хотите разобраться в предмете сами, есть курс «Защита персональных данных»: повышение квалификации, 72 часа, дистанционно, удостоверение с записью в ФИС ФРДО. Принимаем с образованием не ниже среднего профессионального (ч. 3 ст. 76 закона № 273-ФЗ). Курс не выдаёт готовых документов и не подаёт уведомление.

Нормативные документы

На эти документы опирается статья. Ссылки ведут на официальные тексты в справочных правовых системах.

Частые вопросы

Что такое обработка персональных данных простыми словами?

Любые действия с данными человека: собрать, записать, хранить, использовать, передать, удалить. Закон не делит действия на «серьёзные» и «простые», под определение п. 3 ст. 3 попадает и хранение одной карточки; для бумажных данных закон действует, если они составляют систематизированное собрание (ч. 1 ст. 1).

Является ли хранение персональных данных обработкой?

Да. Хранение прямо названо в перечне действий в п. 3 ст. 3 закона № 152-ФЗ. Для хранения действует ч. 7 ст. 5: не дольше, чем требуют цели, если срок не установлен федеральным законом или договором.

Нужно ли согласие на любую обработку персональных данных?

Нет. Согласие — одно из оснований в ч. 1 ст. 6. Есть и другие: договор, обязанности по закону, судопроизводство, жизненно важные интересы и т. д. Согласие обязательно в случаях, которые закон прямо называет, например, для рекламы по прямым контактам (ст. 15); для специальных категорий нужно письменное согласие, если нет другого основания из ч. 2 ст. 10.

Чем автоматизированная обработка отличается от обработки без средств автоматизации?

Автоматизированная идёт с помощью средств вычислительной техники (п. 4 ст. 3). Неавтоматизированная — когда действия с данными каждого человека совершаются при непосредственном участии человека (п. 1 Положения, утверждённого постановлением № 687). Для бумаги закон работает, если по документам можно искать по алгоритму (ч. 1 ст. 1).

Какие принципы обработки персональных данных назвал закон?

Они в ст. 5: законная и справедливая основа, конкретные цели, запрет объединять несовместимые базы, только нужные данные, отсутствие избыточности, точность и актуальность, хранение не дольше целей.

Что делать, когда цель обработки достигнута?

Прекратить обработку и уничтожить данные не позднее 30 дней, если иное не предусмотрено договором, соглашением или законом (ч. 4 ст. 21). Хранение дольше возможно, если срок установлен федеральным законом или договором (ч. 7 ст. 5).

Можно ли использовать данные, которые человек сам опубликовал в интернете?

Не просто так. Пункт 10 ч. 1 ст. 6 про общедоступные данные утратил силу с 1 марта 2021 года. По ст. 10.1 доказывать законность последующей обработки раскрытых данных должен тот, кто их распространил или обработал (ч. 2).

Какой штраф за обработку персональных данных без законных оснований?

Ч. 1 ст. 13.11 КоАП: граждане от 10 до 15 тыс. ₽, должностные лица от 50 до 100 тыс. ₽, организации от 150 до 300 тыс. ₽. Это границы диапазонов, конкретную сумму определяет орган, рассматривающий дело.

Сколько стоит оформить документы на обработку персональных данных?

Пакет документов по 152-ФЗ в ФТИ — 9 900 ₽, состав называем после разбора до оплаты, правки включены до «принимаю». Уведомление в Роскомнадзор — 4 900 ₽, аудит сайта — 4 900 ₽.