Статья 5 152‑ФЗ о персональных данных формулирует базовые требования к тому, как оператор должен собирать, хранить, использовать и уничтожать ПДн. Эти «правила игры» обязательны для всех — от интернет‑сайтов и интернет‑магазинов до работодателей и банков. Если вы сомневаетесь, законна ли ваша обработка, начните со сверки со статьёй 5.
Для контекста и точных формулировок см. обзор закона О 152‑ФЗ и официальный текст в последней редакции. Следите за актуальностью требований: важные изменения 2025.
Статья 5 152‑ФЗ о персональных данных (часто ищут как «ст 5 152 фз о персональных данных» или «ст 5 фз 152») устанавливает принципы обработки: законность, определённость целей, совместимость, минимизация, точность и ограничение сроков хранения с последующим уничтожением или обезличиванием. Это универсальные требования: на них опираются проверки Роскомнадзора, внутренний контроль оператора и проектирование любых процессов с ПДн.
Если сводить всё к одному вопросу: соответствует ли ваш жизненный цикл данных (сбор → хранение → использование → передача → обезличивание/уничтожение) заявленным целям и законным основаниям? Если да — вы следуете статье 5. Если нет — есть риски нарушений и штрафов.
Статья 5 152‑ФЗ о персональных данных закрепляет, что обработка должна:
Обработка допустима при наличии законных оснований (например, согласие субъекта, исполнение договора, требования закона). Основания перечислены в статье 6 и в материале про обработку без согласия. «Справедливость» означает прозрачность и отсутствие злоупотреблений: субъект должен понимать, какие ПДн, зачем и как обрабатываются.
Практически: оформите ясные уведомления и согласия, ведите реестр операций, не скрывайте цели.
Цели должны быть законными и понятными до начала обработки. Нельзя «догонять» цели постфактум. Например, если вы собираете email для рассылки чеков, нельзя автоматически использовать его для рекламных рассылок без отдельного основания и информирования.
Подробнее о формулировке целей — в гайде Принципы и цели обработки.
Нельзя объединять базы данных, если их цели несовместимы (например, база кандидатов HR и база покупателей в маркетинге). Это приводит к новой обработке, которая может противоречить исходным целям. Для data‑lake подхода заранее стройте архитектуру с сегментацией, ролевым доступом и юридическими основаниями для каждой «витрины данных».
Собирайте только то, что нужно для целей. Для подписки на новости достаточно email; паспортные данные — лишние. Минимизация снижает риски утечек и сокращает нагрузку на безопасность. Проведите «инвентаризацию полей» в формах на сайте и в CRM. Подсказки по интерфейсам — в материале Формы на сайте и согласие.
Данные должны быть корректными и актуальными. Организуйте каналы для обновления (кабинет пользователя, обращение по e‑mail), процедуры верификации и исправления. Права субъекта на доступ, уточнение и удаление описаны здесь: Права субъектов ПДн и Заявления и отзыв согласия.
Храните ПДн не дольше, чем требуется. По достижении цели — удаляйте (уничтожение) или переводите в статистическую форму (обезличивание). Создайте график хранения и регламент по уничтожению и блокировке, учитывайте сроки хранения, а для аналитики применяйте обезличивание. В бэкапах применяйте те же политики с учётом технических ограничений.
Отдельные категории требуют особого внимания: общедоступные ПДн, специальные категории, биометрические, медицинские, дети и несовершеннолетние. Для трансграничной передачи соблюдайте дополнительные требования: трансграничная передача ПДн.
| Принцип ст. 5 | Что сделать на практике | Документы/инструменты |
|---|---|---|
| Законность и справедливость | Определить основания по ст. 6; прозрачно информировать субъекта | Политика/уведомление на сайте: Политика обработки ПДн, реестр операций |
| Конкретные цели | Описать цели до начала обработки; не менять их «задним числом» | Каталог целей в реестре, согласия по целям; шаблоны: Пакет документов |
| Совместимость, запрет объединения баз | Сегментировать базы и доступы; не смешивать HR/маркетинг/финансы без оснований | Модель доступа, архитектурная схема, журнал интеграций |
| Минимизация | Пересмотреть формы и поля; убрать избыточные данные | Акт инвентаризации форм, чек‑лист UX: Требования к сайту |
| Точность и актуальность | Запустить процедуры уточнения/исправления; канал для заявлений | Регламент обработки запросов: Права субъектов |
| Ограничение хранения | Установить сроки; внедрить уничтожение/обезличивание | График хранения, регламент: Сроки, Уничтожение/блокировка |
При проверке (проверки Роскомнадзора) эти нарушения трактуются как несоблюдение ст. 5 и смежных норм. Возможны штрафы и предписания: см. Ответственность и штрафы и КоАП 13.11.
Статья 5 152‑ФЗ — это краткий, но исчерпывающий «компас» для любого оператора ПДн. Следование её принципам — лучшая профилактика претензий и штрафов: определяйте цели заранее, не смешивайте несовместимые обработки, собирайте минимум данных, поддерживайте точность и строго управляйте сроками хранения.
Нужна помощь внедрить требования «под ключ»? Посмотрите наши решения: Консалтинг и документы, Генератор политики и согласий, Аудит сайта и Онлайн‑проверка сайта. Для системного понимания держите под рукой текст закона в последней редакции и следите за изменениями 2025.