Базовый закон - 152-ФЗ «О персональных данных» от 27.07.2006, он задает общие правила: основания обработки, права субъектов, обязанности оператора. Вокруг него - целый блок подзаконных актов: постановление Правительства № 1119 определяет уровни защищенности информационных систем, приказы ФСТЭК и ФСБ конкретизируют технические и организационные меры защиты под каждый уровень.
Отдельная группа актов - про ответственность. За нарушения при обработке персональных данных отвечают по статье 13.11 КоАП РФ, с 30 мая 2025 года суммы штрафов заметно выросли, а за повторные утечки предусмотрены оборотные штрафы от выручки компании. За незаконный оборот персональных данных, в том числе с использованием служебного положения, есть уголовная статья 272.1 УК РФ.
В зависимости от сферы бизнеса добавляются отраслевые законы: для медицины - нормы об охране здоровья, для бухгалтерии и хранения документов - закон о бухучете, для рекламных рассылок - закон о рекламе, общий закон об информации 149-ФЗ тоже применим к сайту и хранению данных.
Кроме федеральных норм закон обязывает саму компанию принять внутренние организационные меры - это уже не нормативный акт, а локальные документы: политика обработки персональных данных, приказ о назначении ответственного, перечень информационных систем, инструкции для сотрудников с доступом к данным. Без них соответствие федеральным нормам на бумаге есть, а по факту проверить нечем.