149-ФЗ и 152-ФЗ: в чём разница и зачем знать оба

Коротко: 149-ФЗ регулирует информацию в целом: правила распространения, обязанности владельцев сайтов и блокировки. 152-ФЗ – только персональные данные: согласие, хранение в РФ, уведомления РКН. Законы не заменяют друг друга, соблюдать нужно оба.

Владельцы сайтов и бизнеса в России часто путают два ключевых закона, регулирующих работу с информацией: 149-ФЗ «Об информации, информационных технологиях и о защите информации» и 152-ФЗ «О персональных данных». У них разные предметы, требования и штрафы, и для большинства сайтов действуют оба.

В этой статье разберём, чем отличаются эти законы, как они пересекаются, и что нужно знать владельцу сайта, чтобы не нарушить ни один из них.

Что регулирует 149-ФЗ «Об информации, информационных технологиях и о защите информации»

149-ФЗ – это базовый «рамочный» закон для всей цифровой среды в России. Он датирован 27 июля 2006 года и определяет фундаментальные понятия: что такое информация, информационная система, оператор информационной системы, сайт в интернете, провайдер хостинга и так далее.

Этот закон не про персональные данные как таковые. Он про:

• Правила распространения информации – что можно публиковать, что запрещено (экстремистские материалы, призывы к суициду, пропаганда наркотиков и т.д.).
• Обязанности владельцев сайтов – размещать на сайте контактную информацию, не допускать распространение запрещённого контента.
• Регулирование информационных посредников – хостинг-провайдеров, операторов связи, новостных агрегаторов.
• Порядок ограничения доступа к информации – блокировки сайтов по решению суда или Роскомнадзора.
• Блокировку сайтов, нарушающих закон о персональных данных – ст. 15.5 149-ФЗ (реестр нарушителей прав субъектов ПДн). Само требование хранить данные россиян на серверах в России («закон о локализации») записано не здесь, а в ч. 5 ст. 18 152-ФЗ.

Ключевое отличие: 149-ФЗ регулирует информацию в целом – любые сведения, независимо от того, относятся ли они к конкретному человеку. Например, новостная статья, рекламный баннер, пользовательский комментарий – всё это информация по 149-ФЗ.

Что регулирует 152-ФЗ «О персональных данных»

152-ФЗ тоже датирован 27 июля 2006 года – оба закона подписаны в один день. Но он гораздо уже и конкретнее. Этот закон регулирует только персональные данные – любую информацию, прямо или косвенно относящуюся к конкретному физическому лицу (субъекту персональных данных).

152-ФЗ устанавливает:

• Принципы обработки персональных данных – законность, справедливость, ограничение обработки конкретными целями.
• Порядок получения согласия – ст. 9, 10, 10.1 152-ФЗ (согласие на обработку, на специальные категории, на распространение).
• Обязанности оператора – того, кто собирает и обрабатывает данные (владельца сайта, компании).
• Права субъекта – доступ к своим данным, их удаление, отзыв согласия.
• Ответственность за нарушения – наступает по КоАП и УК: ст. 13.11 КоАП РФ, ст. 137 и 272.1 УК РФ (сам 152-ФЗ лишь отсылает к ответственности по законодательству РФ, ст. 24).
• Уведомление Роскомнадзора – о начале обработки ПДн, об утечках.

Главное отличие от 149-ФЗ: 152-ФЗ регулирует только данные, которые позволяют идентифицировать человека (ФИО, телефон, email, фотография, биометрия и т.д.; cookie и IP-адрес – если их можно связать с человеком). Если на сайте нет сбора таких данных, к сайту 152-ФЗ не применяется – но закон действует для оператора целиком, включая данные сотрудников и клиентов вне сайта.

Ключевые различия между 149-ФЗ и 152-ФЗ

1. Предмет регулирования

2. Требования к сайту

По 149-ФЗ владелец сайта обязан:

• Разместить на сайте контактную информацию (наименование, адрес, email) – ст. 10 149-ФЗ.
• Не допускать распространение запрещённой информации (экстремизм, порнография, наркотики).
• Ограничивать доступ к информации по требованию Роскомнадзора.
• Ограничить доступ к сайту, если его внесли в реестр нарушителей прав субъектов ПДн. Основание для внесения – вступившее в силу решение суда (ч. 5 ст. 15.5 149-ФЗ), Роскомнадзор сам сайт за нарушения в области ПДн не блокирует.

По 152-ФЗ владелец сайта обязан:

• Иметь законное основание для обработки – договор, закон или согласие на обработку персональных данных (ст. 6, 9 152-ФЗ).
• Уведомлять Роскомнадзор о начале обработки ПДн.
• При сборе не записывать и не хранить данные россиян в зарубежных базах – только в базах на территории РФ (ч. 5 ст. 18 152-ФЗ).
• Обеспечивать безопасность данных (технические и организационные меры).
• Уничтожать данные после отзыва согласия (в течение 30 дней – ст. 21 152-ФЗ).
• Сообщать об утечках в РКН (24 часа на первичное уведомление, 72 часа на детальное).

3. Ответственность

По 149-ФЗ:

• Штрафы за нарушение порядка ограничения доступа к запрещённой информации – по ст. 13.41 КоАП РФ.
• Блокировка сайта за распространение запрещённого контента.
• Штрафы за неисполнение обязанностей информационным посредником.

По 152-ФЗ:

• Штрафы за нарушения при обработке ПДн – по ст. 13.11 КоАП РФ: для организаций от 30 до 300 тыс. ₽ за основные составы (до 700 тыс. ₽ – если не было обязательного письменного согласия, например на данные о здоровье) и до 6 млн ₽ за хранение данных россиян за рубежом.
• Штрафы за утечку данных – от 3 до 15 млн ₽ в зависимости от числа людей (от 1 000 человек или от 10 000 идентификаторов), за специальные категории – 10–15 млн ₽, за биометрию – 15–20 млн ₽; за повторную – оборотный штраф 1–3% годовой выручки, но не менее 20 млн ₽ и не более 500 млн ₽ (ч. 15 ст. 13.11 КоАП РФ); за неуведомление РКН об утечке – отдельный штраф 1–3 млн ₽ (ч. 11).
• Уголовная ответственность за оборот незаконно полученных ПДн – ст. 272.1 УК РФ (по ч. 1 – до 4 лет лишения свободы, по квалифицированным частям – строже).

4. Кто контролирует

149-ФЗ: Роскомнадзор (РКН) – контролирует соблюдение правил распространения информации, блокирует сайты, ведёт реестры запрещённой информации.

152-ФЗ: Роскомнадзор (РКН) – контролирует обработку персональных данных, проверяет согласия, уведомления, реагирует на утечки. Также ФСТЭК России – устанавливает требования к защите информации (технические меры).

Как законы пересекаются на практике

На практике 149-ФЗ и 152-ФЗ работают вместе. Например:

Ситуация 1: Форма обратной связи на сайте

• По 149-ФЗ: вы обязаны разместить контактную информацию (название компании, адрес, email).
• По 152-ФЗ: если в форме собираются ФИО, телефон, email – вы обязаны получить согласие на обработку ПДн, разместить политику обработки ПДн, уведомить РКН.

Ситуация 2: Комментарии на сайте

• По 149-ФЗ: если в комментариях появилась запрещённая информация и хостинг-провайдер сообщил, что страница внесена в реестр запрещённой информации, её нужно сразу удалить (ч. 8 ст. 15.1 149-ФЗ); за неудаление – штраф по ч. 2 ст. 13.41 КоАП.
• По 152-ФЗ: если комментарий содержит персональные данные (например, пользователь написал свой телефон) – вы должны обеспечить их защиту и удалить по требованию.

Ситуация 3: Авторизация через соцсети

• По 149-ФЗ: с 1 декабря 2023 года авторизация на российских сайтах возможна только российскими способами (не через Google, Apple, Facebook); с 7 июля 2026 года за нарушение штрафуют по ст. 13.55 КоАП РФ.
• По 152-ФЗ: при авторизации вы получаете от соцсети персональные данные пользователя – нужно согласие на их обработку.

Что важнее: 149-ФЗ или 152-ФЗ?

Оба закона одинаково важны, но применяются в разных ситуациях.

149-ФЗ – общий закон для интернета. Он определяет общие правила игры для всех участников информационного обмена. Если вы владелец сайта – вы обязаны его соблюдать, даже если не собираете никаких персональных данных.

152-ФЗ – это «специализированный закон» для защиты людей. Он применяется только тогда, когда вы имеете дело с данными конкретных лиц. Если на вашем сайте нет форм сбора данных, нет регистрации, нет cookie – к самому сайту 152-ФЗ не относится, но как оператор вы отвечаете и за данные сотрудников и клиентов вне сайта.

Практический совет: Даже если вы считаете, что 152-ФЗ к вам не применяется, проверьте это внимательно: персональные данные – любая информация, относящаяся к определяемому физическому лицу (ст. 3). Cookie и IP-адреса могут быть персональными данными, если их можно связать с человеком; счётчики аналитики (Яндекс Метрика, Google Analytics) обычно это позволяют, поэтому их лучше описать в политике. Прямой нормы, запрещающей запускать счётчики и cookie до согласия, в законе нет; это позиция Роскомнадзора (ч. 1 ст. 6 и ст. 9 152-ФЗ). Надёжнее не запускать их до согласия посетителя.

Типичные ошибки владельцев сайтов

Ошибка 1: «У меня маленький сайт, 152-ФЗ не нужен»

Это не так. 152-ФЗ не делает исключений для малого бизнеса. Если вы собираете email для рассылки – вы оператор ПДн. При этом размер ответственности зависит от состава нарушения: по одним составам ИП отвечают как должностные лица, по другим – как организации, поэтому одинаковыми штрафы для ИП и крупных корпораций назвать нельзя.

Ошибка 2: «Я использую только 149-ФЗ, а 152-ФЗ – для крупных компаний»

149-ФЗ не заменяет 152-ФЗ. Это разные законы с разными требованиями. Нельзя «выбрать» один из них – нужно соблюдать оба, если ваша деятельность подпадает под оба.

Ошибка 3: «Согласие на обработку ПДн – это галочка на сайте, и достаточно»

По 152-ФЗ согласие должно быть конкретным, предметным, информированным, сознательным и однозначным. Просто галочка без текста о целях обработки – нарушение. Также нужно отдельное согласие на распространение данных (ст. 10.1 152-ФЗ), если вы публикуете данные (например, отзывы с ФИО).

Ошибка 4: «Я не храню данные в России – это не моя проблема»

По ч. 5 ст. 18 152-ФЗ при сборе данные российских пользователей нельзя записывать и хранить в зарубежных базах. Если вы собираете их сразу на зарубежный хостинг или в облачные сервисы (Google, Amazon) – вы нарушаете закон. Штраф для организаций – от 1 до 6 млн ₽ (ч. 8 ст. 13.11 КоАП), за повторное нарушение – до 18 млн ₽, а по решению суда сайт могут внести в реестр нарушителей и ограничить к нему доступ (ч. 5 ст. 15.5 149-ФЗ).

Как проверить свой сайт на соответствие обоим законам

Чтобы не запутаться в требованиях 149-ФЗ и 152-ФЗ, можно использовать автоматизированные сервисы. Например, сканер 152 NORMA (152norma.ru) проверяет сайт на соответствие 152-ФЗ: наличие политики обработки персональных данных, согласий, записи в реестре операторов Роскомнадзора, правильность форм сбора данных.

Для проверки по 149-ФЗ нужно отдельно смотреть:

• Размещена ли контактная информация (название, адрес, email).
• Нет ли запрещённого контента (экстремизм, наркотики, призывы к суициду).

Простой чек-лист для владельца сайта:

1. По 149-ФЗ:
   • На сайте указаны название компании, юридический адрес, email.
   • Нет запрещённой информации.
   • Если есть авторизация – только российскими способами (с 1 декабря 2023 года; штраф – с 7 июля 2026 года).
2. По 152-ФЗ:
   • Данные российских пользователей записываются и хранятся в базах в РФ (ч. 5 ст. 18).
   • Размещена политика обработки персональных данных.
   • Есть согласие на обработку ПДн (с правильным текстом).
   • Уведомление РКН подано (через pd.rkn.gov.ru или Госуслуги).
   • Обеспечена безопасность данных (технические меры).
   • Настроен порядок удаления данных по требованию.

Главное

Понимать, чем отличаются 149-ФЗ и 152-ФЗ, – базовая грамотность для любого владельца сайта в России. 149-ФЗ – общий закон об информации, 152-ФЗ – специальный закон о персональных данных. Они не заменяют друг друга, а дополняют.

За нарушение 149-ФЗ возможна блокировка сайта и штрафы по ст. 13.41 КоАП (суммы – по действующей редакции). По 152-ФЗ штрафы для ИП и организаций составляют от 10 тыс. до 20 млн ₽, за повторную утечку – 1–3% выручки; уголовная ответственность наступает по отдельным составам. Если нарушения найдены в одном контрольном мероприятии, штраф обычно один – по самой строгой статье (ч. 5–6 ст. 4.4 КоАП).

Лучший способ избежать проблем – провести аудит сайта. Проверьте, какие данные вы собираете, как храните, есть ли все необходимые документы.

Частые вопросы

На что опираемся

• 152-ФЗ «О персональных данных» – ст. 3 (понятие персональных данных), ч. 5 ст. 18 (запись и хранение данных в базах в РФ)
• КоАП РФ – ст. 4.4 (назначение наказания за несколько нарушений), ст. 13.11 (нарушения при обработке ПДн), ст. 13.41 (нарушение порядка ограничения доступа), ст. 13.55 (авторизация через иностранные сервисы)
• УК РФ – ст. 137, 272.1 (уголовная ответственность за нарушения ПДн)
• 149-ФЗ – ч. 2 ст. 10 (сведения о владельце сайта), ч. 10 ст. 8 (авторизация), ч. 8 ст. 15.1 (удаление запрещённой информации), ч. 5 ст. 15.5 (реестр нарушителей прав субъектов ПДн – по решению суда)

Что сделать дальше

1. Проверьте свой сайт бесплатно – найдём нарушения 152-ФЗ и покажем, какие штрафы за них грозят.
   Проверить бесплатно
2. Соберите документы под свою компанию – политика, отдельное согласие по 156-ФЗ и cookie-политика, реквизиты по ИНН. Политика – бесплатно. Перейти к генератору →
3. Пришло требование Роскомнадзора или случай сложный? Опишите задачу – посмотрим и скажем, чем можем помочь.