Принципы обработки ПДн по ст. 5: 7 базовых правил

Ст. 5 ФЗ-152 — это не декларация намерений. Каждый из семи принципов транслируется в конкретные требования к документации, технической архитектуре и бизнес-процессам оператора. РКН при проверке оценивает соответствие принципам через политику обработки ПДн, согласия, приказы о назначении ответственного и регламенты. Отсутствие или неактуальность любого документа даёт основание для протокола. Ниже — разбор каждого принципа с привязкой к нормам и практике.

Что такое принципы обработки ПДн и зачем они нужны юристу?

Принципы обработки ПДн по ст. 5 ФЗ-152 — это обязательные требования к характеристикам обработки: её законности, целевой направленности, соразмерности и срочности. Они применяются ко всем операторам — независимо от организационно-правовой формы, отрасли и объёма обрабатываемых данных.

Для юриста, сопровождающего комплаенс, принципы ст. 5 выполняют роль фильтра: любой новый бизнес-процесс, предполагающий сбор или использование ПДн, проверяется на соответствие каждому из семи пунктов до его запуска. Если процесс не проходит этот фильтр — он либо переделывается, либо закрывается.

Каковы семь принципов ст. 5 ФЗ-152 и как они применяются на практике?

Принцип 1 — законность и справедливость обработки. Обработка допустима только при наличии правового основания из ст. 6 ФЗ-152. Таких оснований одиннадцать: согласие субъекта (п. 1), исполнение договора (п. 5), исполнение обязанностей оператора (п. 2) и другие. Обработка без основания — нарушение ч. 1 ст. 13.11 КоАП, штраф до 300 000 ₽.

Принцип 2 — конкретность и законность цели. Цель обработки должна быть определена до начала сбора ПДн. Размытые формулировки — «для улучшения сервиса», «в маркетинговых целях» без детализации — не соответствуют принципу. Цель фиксируется в политике обработки и в согласии субъекта (ст. 9 ФЗ-152).

Принцип 3 — недопустимость объединения несовместимых баз. Оператор не вправе объединять базы ПДн, собранных для несовместимых целей. Типичный пример нарушения: база клиентов интернет-магазина используется для кадрового учёта или передаётся в аффилированную структуру без переоформления оснований.

Принцип 4 — соответствие объёма и содержания ПДн целям. Оператор собирает только те данные, которые необходимы для заявленной цели. Избыточный сбор — нарушение: если для доставки нужен адрес, запрашивать ИНН и паспортные данные нет оснований. Это напрямую связано с составом полей форм на сайте и анкет при найме.

Принцип 5 — точность и актуальность данных. Оператор обязан обеспечивать точность ПДн и при необходимости обновлять их. Если субъект сообщил об изменении данных — оператор обязан внести уточнения в срок, установленный ст. 21 ФЗ-152 (по общему правилу — семь рабочих дней). Хранение заведомо недостоверных данных — риск при проверке.

Принцип 6 — срок хранения не дольше необходимого. ПДн не хранятся дольше, чем этого требует цель обработки или срок, установленный законом. По достижении цели или истечении срока — данные уничтожаются или обезличиваются. Это обязывает оператора ввести регламент хранения с конкретными сроками по каждой категории ПДн.

Принцип 7 — уничтожение или обезличивание ПДн. Когда цель достигнута или необходимость в обработке отпала, оператор уничтожает ПДн либо обезличивает их. С 2025 года методы обезличивания регулируются подзаконным актом РКН: введены пять методов (введение идентификаторов, изменение состава/семантики, декомпозиция, перемешивание, обобщение). Отказ от уничтожения после прекращения трудового договора — типичная ошибка при работе с кадровыми данными.

Как нарушение принципов связано со штрафами по ст. 13.11 КоАП?

Принципы ст. 5 ФЗ-152 транслируются в составы ст. 13.11 КоАП напрямую. Обработка в целях, несовместимых с заявленными, — ч. 1 (150 000–300 000 ₽). Обработка без надлежащего правового основания или с ненадлежащим согласием — ч. 2 (300 000–700 000 ₽). Повторные нарушения — ч. 1.1 и ч. 2.1 соответственно.

Принцип минимизации (принцип 4) и принцип срочности (принцип 6) создают риски по ч. 5 ст. 13.11: если субъект потребовал уничтожения данных, цель обработки которых утрачена, а оператор не исполнил требование в установленный срок. Штраф по ч. 5 — 50 000–90 000 ₽; повторно — 300 000–500 000 ₽.

С введением ст. 272.1 УК РФ (ФЗ-421 от 30.11.2024, действует с 11.12.2024) нарушение принципов хранения и передачи ПДн может получить уголовно-правовую квалификацию. Часть 5 ст. 272.1 УК (тяжкие последствия) предусматривает лишение свободы до 10 лет.

Типовые ситуации нарушения принципов: три сценария для юриста

Сценарий 1. Объединение несовместимых баз. Производственная компания (Приволжский ФО, начало 2026 года) вела единую базу, куда попадали данные клиентов, соискателей и контрагентов. При проверке РКН установил, что обработка велась в рамках единой ИСПДн без разграничения целей. Нарушение принципов 2 и 3 ст. 5 ФЗ-152. Протокол по ч. 1 ст. 13.11 КоАП. Штраф в диапазоне 150 000–300 000 ₽, приостановление конкретных процессов обработки до разграничения баз.

Сценарий 2. Избыточный сбор данных на сайте. Интернет-сервис (Центральный ФО, лето 2025 года) при регистрации пользователя запрашивал дату рождения, паспортные данные и ИНН, хотя функционал не требовал идентификации по документам. РКН квалифицировал это как нарушение принципа соответствия объёма целям (принцип 4 ст. 5). Оператор получил предписание об изменении формы регистрации и штраф по ч. 1 ст. 13.11. Стратегия: аудит полей всех форм сбора ПДн с обоснованием необходимости каждого поля.

Сценарий 3. Хранение данных уволенных сотрудников без основания. HR-служба торговой сети (Сибирский ФО, осень 2025 года) хранила полные личные дела уволенных сотрудников, включая медицинские справки и сканы паспортов, бессрочно — без регламента уничтожения. После обращения уволенного субъекта РКН вынес предписание. Нарушение принципов 6 и 7 ст. 5 ФЗ-152. Штраф по ч. 5 ст. 13.11. Стратегия: ввести регламент хранения с разграничением категорий данных и указанием конкретных сроков.

Услуги DATUM по теме

• Аудит соответствия 152-ФЗ — проверка по 38 пунктам, включая соответствие принципам ст. 5
• Комплект ОРД под ключ — политика, согласия, регламент хранения, журналы
• DPO-аутсорсинг — постоянный мониторинг соответствия принципам ФЗ-152

Частые вопросы

1. Что считается обработкой ПДн по 152-ФЗ?

Обработка ПДн по ст. 3 ФЗ-152 — это любое действие или совокупность действий с персональными данными: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение. Действие может быть автоматизированным или без применения средств автоматизации — режим ФЗ-152 распространяется на оба варианта.

2. На основании чего можно обрабатывать ПДн?

Статья 6 ФЗ-152 содержит одиннадцать правовых оснований обработки: согласие субъекта (п. 1), исполнение договора, стороной которого является субъект (п. 5), исполнение обязанностей оператора, установленных законом (п. 2), защита жизни или здоровья субъекта (п. 6), осуществление правосудия (п. 3) и другие. Основание должно существовать до начала обработки и быть зафиксировано документально. Согласие — не единственное основание; для многих бизнес-процессов достаточно договора или требования закона.

3. Что грозит за нарушение 152-ФЗ?

Административная ответственность по ст. 13.11 КоАП (в редакции ФЗ-420, действует с 30.05.2025): 18 частей, штрафы от 30 000 ₽ (ч. 3 — отсутствие политики) до 500 млн ₽ (ч. 15 — оборотный при повторной утечке). Утечка от 100 000 субъектов — ч. 14, штраф 10–15 млн ₽. С 11.12.2024 действует ст. 272.1 УК РФ (ФЗ-421): незаконные действия с ПДн в компьютерных системах — до 10 лет лишения свободы по ч. 5 (тяжкие последствия).

4. Нужно ли уведомлять РКН малому бизнесу?

По общему правилу ст. 22 ФЗ-152 уведомление РКН о намерении обрабатывать ПДн обязательно для всех операторов. Исключения перечислены в ч. 2 ст. 22: обработка данных работников в рамках трудовых отношений, обработка для исполнения договора с субъектом без передачи третьим лицам, обработка без средств автоматизации. Если хотя бы один процесс не попадает под исключение — уведомление подаётся до начала обработки. Неуведомление — штраф 100 000–300 000 ₽ по ч. 10 ст. 13.11 КоАП.

5. С какого возраста нужно согласие на обработку ПДн?

ФЗ-152 не устанавливает единый возраст для самостоятельного согласия. По общим нормам ГК РФ полная дееспособность — с 18 лет; с 14 до 18 лет несовершеннолетний действует с согласия родителей или законных представителей. На практике это означает: при обработке ПДн несовершеннолетних до 14 лет согласие подписывает родитель или законный представитель; с 14 до 18 лет — возможна совместная подпись. Для образовательных сервисов и медицинских организаций действуют дополнительные требования специального законодательства.

Итог

Семь принципов ст. 5 ФЗ-152 — это операционная система соответствия для любого оператора ПДн. Нарушение принципа законности создаёт состав по ч. 1 или ч. 2 ст. 13.11 КоАП. Нарушение принципа минимизации или срочности — основание для требования субъекта об уничтожении данных и, при неисполнении, протокол по ч. 5. Введение с 30.05.2025 оборотных штрафов по ч. 15 (до 500 млн ₽) делает системное несоответствие принципам ст. 5 финансово критичным для среднего и крупного бизнеса.

DATUM сопровождает операторов ПДн в части соответствия принципам ст. 5 ФЗ-152 в рамках аудита, формирования ОРД и DPO-аутсорсинга. Практика охватывает производство, ритейл, финансовые организации и IT-компании.

24 сентября 2026 года