Защита персональных данных в Российской Федерации регулируется в первую очередь Федеральным законом от N 152-ФЗ «О персональных данных» (далее — Закон, 152-ФЗ). Статья 18 этого Закона закрепляет исчерпывающий перечень прав, которыми наделен субъект персональных данных (физическое лицо, чьи данные обрабатываются). Реализация этих прав является гарантией того, что обработка информации происходит законно, справедливо и в интересах самого человека.

В 2026 году исполняется 20 лет со дня принятия 152-ФЗ, за это время законодательство существенно эволюционировало, адаптируясь к вызовам цифровизации, появлению биометрии и искусственного интеллекта. Ниже представлен подробный разбор прав субъектов, сгруппированных по функциональному назначению.

Права на информацию и прозрачность (Информированность)

Базовым условием реализации всех остальных прав является осведомленность субъекта о том, кто, какие и зачем обрабатывает его данные.

• Право на получение информации об обработке своих данных (ч. 1 ст. 18, ст. 19 152-ФЗ). Оператор обязан предоставить субъекту информацию о подтверждающих обработку документах, целях обработки, применяемых способах, о лицах, имеющих доступ к данным, о сроках обработки и порядке реализации прав.
• Право требовать уточнения информации. Если предоставленная оператором информация неполная или неясная, субъект может потребовать разъяснений.
• Право знать о переграничной передаче. Субъект должен быть уведомлен о намерении оператора передать данные за пределы РФ (в государствах, не обеспечивающих адекватную защиту), а также о мерах защиты при такой передаче.

Права на контроль за качеством и законностью данных

Эти права позволяют субъекту влиять на достоверность и правомерность массива информации, хранящегося у оператора.

• Право на уточнение (исправление) неточных данных (п. 1 ч. 1 ст. 18 152-ФЗ). Если данные неверны, неполны или устарели, субъект имеет право потребовать их приведения в соответствие с действительностью. Оператор обязан внести изменения в течение 3 рабочих дней (если иной срок не установлен законом/договором).
• Право на блокирование данных (п. 2 ч. 1 ст. 18, ст. 21 152-ФЗ). При выявлении неполных, устаревших, недостоверных, незаконно полученных данных или нарушении закона при их обработке, субъект может потребовать блокирования до устранения нарушений. Блокирование означает временное прекращение операций обработки (кроме хранения).
• Право на уничтожение данных (п. 3 ч. 1 ст. 18, ст. 21 152-ФЗ). Если обработка осуществляется с нарушением закона или целей обработки достигнуты/исчезла необходимость, субъект вправе требовать уничтожения своих данных.

Права на управление согласием и режимом обработки

Согласие субъекта — основное правовое основание обработки (ст. 6 152-ФЗ). Закон наделяет субъекта инструментами контроля над этим согласием.

• Право на отзыв согласия (ч. 2 ст. 18, ст. 9 152-ФЗ). Субъект может отозвать согласие в любой момент. Отзыв должен быть в форме, предусмотренной для его дачи (обычно письменной). После получения отзыва оператор обязан прекратить обработку и уничтожить данные в течение 30 дней (если нет иных законных оснований для продолжения — ст. 6, 11 152-ФЗ).
• Право на предъявление требования о прекращении обработки (п. 4 ч. 1 ст. 18 152-ФЗ). Даже без формального отзыва согласия, если субъект считает обработку незаконной или ненужной, он может потребовать её прекращения.
• Право на запрет обработки для целей продвижения товаров/услуг (п. 5 ч. 1 ст. 18 152-ФЗ). Специальное право требовать прекращения обработки данных для маркетинговых рассылок (прямого маркетинга). Оператор обязан выполнить требование в течение 3 рабочих дней.

Права в сфере автоматизированной обработки и профилирования

С развитием технологий (Big Data, ИИ, нейросети) особую актуальность приобретают права, связанные с принятием автоматизированных решений.

• Право не подлежать решению, основанному исключительно на автоматизированной обработке (п. 6 ч; 1 ст. 18 152-ФЗ). Субъект имеет право требовать, чтобы решение, порождающее правовые последствия или существенно затрагивающее его права/интересы, не принималось только алгоритмом без участия человека.
• Право на объяснение логики автоматизированной обработки. При использовании профилирования (оценки личных аспектов: надежности, поведения, предпочтений) субъект может требовать информации о задействованной логике, значении и последствиях такой обработки.

Права на защиту и восстановление нарушенных интересов

Действительная защита прав невозможна без механизмов реагирования на нарушения.

• Право на обжалование действий/бездействия оператора (п. 7 ч. 1 ст. 18 152-ФЗ). Жалоба может быть подана:
  • В Роскомнадзор (уполномоченный орган по защите прав субъектов ПДн) — административный порядок;
  • В суд — гражданский процесс (защита прав, возмещение ущерба и морального вреда);
  • В прокурору, надзор за законностью.
• Право на возмещение ущерба и морального вреда (ст. 15 152-ФЗ, ГК РФ). Если нарушение прав привело к материальным потерям или нравственным страданиям, субъект может взыскать компенсацию через суд.
• Право на защиту от незаконного доступа и утечки. Оператор обязан уведомить субъекта (и Роскомнадзор) о нарушении безопасности данных, если оно создает угрозу правам субъекта (ч. 2.1 ст. 22 152-ФЗ).

Специальные права в отношении особо защищаемых категорий данных

Для специальных категорий данных (раса, национальность, политические взгляды, здоровье, интимная жизнь, биометрия — ст. 10 152-ФЗ) установлены усиленные гарантии:

• Обработка допускается преимущественно только при письменном согласии субъекта (с редкими исключениями: спасение жизни, судебные процедуры и т.д.).
• Субъект имеет право требовать соблюдения особого режима защиты (шифрование, изоляция систем, строгий учет доступа).
• При обработке биометрических данных — право на получение информации о системе биометрии (ЕБС) и порядке отзыва согласия на её использование (ФЗ-572 от ).

Порядок реализации прав (Процедурные аспекты)

Для реализации своих прав субъект (или его представитель) направляет оператору требование (заявление).

1. Форма: Письменная (на бумажном носителе с подписью) или в форме электронного документа, подписанного усиленной/неусиленной квалифицированной электронной подписью, либо иным способом, подтверждающим авторство (личный кабинет, почта оператора).
2. Содержание: ФИО, адрес/контакты, реквизиты документа, удостоверяющего личность, перечень требуемых действий (уточнить, заблокировать, уничтожить, предоставить информацию и т.д.).
3. Сроки ответа оператора:
   • На предоставление информации, 30 календарных дней (ч. 3 ст. 19 152-ФЗ).
   • На уточнение/блокирование/уничтожение/прекращение обработки/запрет маркетинга — 3 рабочих дня (если законом/договором не установлен иной срок).
   • На отзыв согласия — прекращение обработки и уничтожение в течение 30 дней.
4. Отказ оператора: Должен быть мотивированным и письменным. Отказ может быть обжалован в Роскомнадзор или суд.

Актуальные тренды и изменения (на 2026 год)

Законодательство продолжает развиваться. Ключевые направления, влияющие на права субъектов:

• Единая биометрическая система (ЕБС): Внедрен механизм отзыва согласия на использование биометрии через Госуслуги/МФЦ/банки. Укреплены требования к информированию при сборе биометрии.
• Искусственный интеллект: Использование ИИ для обработки ПДн не создает особый правовой режим. Оператор-разработчик/пользователь ИИ несет полную ответственность за законность обучения моделей на персональных данных и за отсутствие дискриминации при алгоритмических решениях.
• Усиление ответственности: Значительно повышены штрафы за нарушения законодательства о ПДн (в т.ч. за повторные нарушения, до 15 млн руб. или 3% выручки). Это стимулирует операторов быстрее реагировать на требования субъектов.
• Национальный реестр операторов: Обязательность уведомления Роскомнадзора о начале обработки (с исключениями) повышает прозрачность ландшафта операторов для субъектов.

Права субъектов персональных данных по 152-ФЗ формируют комплексную систему защиты информационной автономии личности. Они охватывают весь жизненный цикл данных: от момента сбора (право на информирование) через этап использования (права на уточнение, блокирование, запрет маркетинга, контроль за ИИ-решениями) до завершения обработки (право на уничтожение, отзыв согласия).

Эффективная реализация этих прав требует от субъектов осведомленности и активности (написание грамотных требований операторам), а от операторов, построения прозрачных бизнес-процессов, автоматизации обработки входящих обращений и внедрения принципов Privacy by Design (защита данных по умолчанию и при проектировании). В случае нарушений закон предоставляет мощные инструменты: от административных жалоб в Роскомнадзор до судебной защиты с взысканием компенсаций.