---
title: "\"Модельный закон о персональных данных\""
issuer: "Межпарламентская Ассамблея СНГ"
status: действует
canonical: "https://bukva.ai/docs/modelnyy-zakon-o-personalnyh-dannyh"
---

## "Модельный закон о персональных данных"

(Принят в г. Санкт-Петербурге 16.10.1999 Постановлением 14-19 на 14-ом пленарном заседании Межпарламентской Ассамблеи государств-участников СНГ)

> [!IMPORTANT]
> Документ применяется в части, не противоречащей Модельному [закону](https://bukva.ai/docs/postanovlenie-48-9#p100224) "О персональных данных" в редакции от 29.11.2018.
> Документ является законодательным актом рекомендательного характера, подробнее см. [Положение](https://bukva.ai/docs/polozhenie-o-razrabotke-modelnyh-zakonodatelnyh-mpa-sng-mezhparlamentskaya#p100015) о разработке модельных законодательных актов и рекомендаций Межпарламентской Ассамблеи государств-участников Содружества Независимых Государств от 22.05.2026.


<div align="right">

<a id="p100001"></a>Принят<br>
на четырнадцатом пленарном<br>
заседании Межпарламентской Ассамблеи<br>
государств-участников СНГ<br>
(Постановление N 14-19<br>
от 16 октября 1999 года)

</div>


<div align="center">

<a id="p100002"></a>**МОДЕЛЬНЫЙ ЗАКОН**<br>
**О ПЕРСОНАЛЬНЫХ ДАННЫХ**

</div>


<a id="p100003"></a>Настоящий Закон определяет операции с персональными данными и их правовой режим с учетом общепризнанных норм международного права и обязательств по международным договорам.

## Статья 1. Цель Закона

## <a id="p100004"></a>Статья 1. Цель Закона


<a id="p100005"></a>Целью Закона является защита прав человека в отношении его персональных данных и операций с ними, определение правового режима использования персональных данных и функций их держателей.

## Статья 2. Основные термины и определения

## <a id="p100006"></a>Статья 2. Основные термины и определения


<a id="p100007"></a>Персональные данные - информация (зафиксированная на материальном носителе) о конкретном человеке, которая отождествлена или может быть отождествлена с ним. К персональным данным относятся биографические и опознавательные данные, личные характеристики, сведения о семейном, социальном положении, образовании, профессии, служебном и финансовом положении, состоянии здоровья и прочие.
<a id="p100008"></a>Материальные носители - материальные объекты (в том числе физические поля), в которых персональные данные находят свое отображение в виде символов, образов и сигналов.
<a id="p100009"></a>Субъект персональных данных (субъект) - человек, к которому относятся соответствующие персональные данные.
<a id="p100010"></a>Держатель персональных данных (держатель) - органы государственной власти и органы местного самоуправления, юридические и физические лица, осуществляющие действия с персональными данными на законных основаниях.
<a id="p100011"></a>Действия (операции) держателя с персональными данными - сбор, хранение, уточнение, передача, блокирование, обезличивание и уничтожение персональных данных.
<a id="p100012"></a>Сбор персональных данных - документально оформленная процедура получения держателем персональных данных от субъектов этих данных.
<a id="p100013"></a>Передача персональных данных - предоставление держателем персональных данных третьим лицам в соответствии с законом и международными договорами.
<a id="p100014"></a>Трансграничная передача персональных данных - передача держателем персональных данных этих данных держателям, которые находятся под юрисдикцией другого государства.
<a id="p100015"></a>Уточнение персональных данных - оперативное внесение изменений в персональные данные в соответствии с процедурами, установленными национальным законодательством.
<a id="p100016"></a>Блокирование персональных данных - временное прекращение передачи, уточнения и уничтожения персональных данных.
<a id="p100017"></a>Уничтожение персональных данных - действия держателя персональных данных по приведению последних в состояние, не позволяющее восстановить их содержание.
<a id="p100018"></a>Обезличивание персональных данных - изъятие из персональных данных той их части, которая позволяет отождествить их с конкретным человеком.
<a id="p100019"></a>База персональных данных - упорядоченный массив персональных данных, независимый от вида материального носителя информации и используемых средств его обработки (архивы, картотеки, электронные базы данных).
<a id="p100020"></a>Режим конфиденциальности персональных данных - нормативно установленные правила, определяющие ограничения доступа, передачи и условия хранения персональных данных.

## Статья 3. Принципы правового регулирования персональных данных

## <a id="p100021"></a>Статья 3. Принципы правового регулирования персональных данных


1. <a id="p100022"></a>Персональные данные должны быть получены и обработаны законным образом на основании действующего законодательства.
2. <a id="p100023"></a>Персональные данные включаются в базы персональных данных на основании свободного согласия субъекта, выраженного в письменной форме.
3. <a id="p100024"></a>Персональные данные должны накапливаться для точно определенных и законных целей, не использоваться в противоречии с этими целями и не быть избыточными по отношению к ним.
4. <a id="p100025"></a>Персональные данные, предоставляемые держателем, должны быть точными и в случае необходимости обновляться.
5. <a id="p100026"></a>Персональные данные должны храниться не дольше, чем этого требует цель, для которой они накапливаются, и подлежать уничтожению по достижении этой цели или при миновании надобности.
6. <a id="p100027"></a>Должны приниматься меры для охраны персональных данных, исключающие случайное или несанкционированное разрушение или случайную их утрату, а равно несанкционированный доступ к ним, изменение, блокирование или передачу данных.
7. <a id="p100028"></a>Не допускается объединение баз персональных данных, собранных держателями в разных целях, для автоматизированной обработки информации.
8. <a id="p100029"></a>Для лиц, занимающих высшие государственные должности, и кандидатов на эти должности национальным законодательством может быть установлен специальный правовой режим для их персональных данных, обеспечивающий открытость только общественно значимых данных.

## Статья 4. Правовой режим персональных данных

## <a id="p100030"></a>Статья 4. Правовой режим персональных данных


1. <a id="p100031"></a>Правовой режим персональных данных - нормативно установленные правила, определяющие условия доступа, хранения, уточнения, передачи, блокирования, обезличивания и уничтожения персональных данных.
2. <a id="p100032"></a>Персональные данные, находящиеся в ведении держателя, относятся к конфиденциальной информации, кроме случаев, определенных настоящим Законом.
3. <a id="p100033"></a>Режим конфиденциальности персональных данных снимается в случаях обезличивания персональных данных; требований субъекта в отношении своих персональных данных, не противоречащих национальному законодательству; включения персональных данных в общедоступные базы данных.
4. <a id="p100034"></a>По желанию субъекта для его персональных данных может быть установлен режим общедоступной информации (био-, библиографические справочники, телефонные книги, адресные книги, частные объявления и т.д.).
5. <a id="p100035"></a>С момента смерти субъекта персональных данных правовой режим персональных данных подлежит замене на режим архивного хранения или иной правовой режим, предусмотренный национальным законодательством.
6. <a id="p100036"></a>Правовой режим для персональных данных, полученных в результате деятельности правоохранительных органов, устанавливается в соответствии с национальным законодательством.
7. <a id="p100037"></a>Защита персональных данных умершего лица может осуществляться другими лицами, в том числе наследниками, в порядке, предусмотренном национальным законодательством о защите чести, достоинства, деловой репутации, личной и семейной тайн.

## Статья 5. Основные формы государственного регулирования

## <a id="p100038"></a>Статья 5. Основные формы государственного регулирования


<a id="p100039"></a>Государство может осуществлять регулирование действий держателей персональных данных в формах:
- <a id="p100040"></a>лицензирования действий с персональными данными;
- <a id="p100041"></a>регистрации баз персональных данных;
- <a id="p100042"></a>регистрации держателей персональных данных;
- <a id="p100043"></a>сертификации информационных систем, предназначенных для обработки персональных данных.

## Статья 6. Лицензирование действий (операций) с персональными данными

## <a id="p100044"></a>Статья 6. Лицензирование действий (операций) с персональными данными


<a id="p100045"></a>Путем лицензирования действий с персональными данными обеспечивается государственный контроль над деятельностью в этой сфере. Лицензия на действия с персональными данными выдается органами исполнительной власти, на которые возложены функции защиты прав субъектов персональных данных.
<a id="p100046"></a>В лицензии на действия с персональными данными указываются:
- <a id="p100047"></a>цели и способы получения и использования персональных данных, режимы и сроки их хранения;
- <a id="p100048"></a>категории или группы субъектов персональных данных;
- <a id="p100049"></a>перечень персональных данных;
- <a id="p100050"></a>источники персональных данных;
- <a id="p100051"></a>порядок информирования субъектов о получении их персональных данных;
- <a id="p100052"></a>меры по обеспечению сохранности персональных данных и конфиденциальности обращения с ними;
- <a id="p100053"></a>лица, непосредственно ответственные за работу с персональными данными;
- <a id="p100054"></a>требование наличия сертификатов на информационные системы, предназначенные для обработки персональных данных, средств защиты информационных систем и персональных данных.
<a id="p100055"></a>Информационные продукты, содержащие персональные данные, а также информация, предоставляемая субъекту персональных данных, должны содержать ссылку на выданную лицензию.
<a id="p100056"></a>Лицензия не требуется:
- <a id="p100057"></a>органам государственной власти и органам местного самоуправления, осуществляющим работу с персональными данными в соответствии со своей компетенцией;
- <a id="p100058"></a>в случае работы с персональными данными для целей, исключающих передачу персональных данных иным юридическим и физическим лицам;
- <a id="p100059"></a>в случае получения этих данных в личных целях, не предполагающих их распространения.

## Статья 7. Регистрация баз персональных данных

## <a id="p100060"></a>Статья 7. Регистрация баз персональных данных


<a id="p100061"></a>Регистрация баз персональных данных обеспечивает их гласный учет и позволяет информировать граждан о возможностях доступа к своим персональным данным.
<a id="p100062"></a>Базы персональных данных подлежат обязательной регистрации в органах исполнительной власти, на которые возложены функции защиты прав субъектов персональных данных.
<a id="p100063"></a>При регистрации баз персональных данных фиксируются наименование баз персональных данных, цели получения и использования персональных данных, перечень собираемых персональных данных, категории или группы субъектов персональных данных, сроки хранения персональных данных.

## Статья 8. Регистрация держателей персональных данных

## <a id="p100064"></a>Статья 8. Регистрация держателей персональных данных


<a id="p100065"></a>Регистрация держателей персональных данных обеспечивает ведение общедоступного реестра держателей персональных данных. При регистрации держателей персональных данных указываются:
- <a id="p100066"></a>цели и способы получения и использования персональных данных, режим и сроки их хранения;
- <a id="p100067"></a>категории или группы субъектов персональных данных;
- <a id="p100068"></a>источники персональных данных;
- <a id="p100069"></a>порядок информирования субъектов о сборе их персональных данных;
- <a id="p100070"></a>меры по обеспечению сохранности персональных данных и конфиденциальности действий с ними;
- <a id="p100071"></a>лица, непосредственно ответственные за работу с персональными данными;
- <a id="p100072"></a>требование наличия сертификатов на информационные системы, предназначенные для обработки персональных данных, средств защиты информационных систем и персональных данных.

## Статья 9. Сертификация автоматизированных информационных систем, предназначенных для обработки персональных данных

## <a id="p100073"></a>Статья 9. Сертификация автоматизированных информационных систем, предназначенных для обработки персональных данных


<a id="p100074"></a>Сертификация автоматизированных информационных систем, предназначенных для обработки персональных данных, осуществляется с целью обеспечения требуемого уровня безопасности персональных данных.
<a id="p100075"></a>Сертификации подлежат предназначенные для обработки персональных данных автоматизированные информационные системы, а также средства защиты информационных систем и персональных данных.
<a id="p100076"></a>Сертификацию осуществляют органы по сертификации в соответствии с национальным законодательством.

## Статья 10. Трансграничная передача персональных данных

## <a id="p100077"></a>Статья 10. Трансграничная передача персональных данных


1. <a id="p100078"></a>Не может запрещаться или ставиться под специальный контроль трансграничная передача персональных данных, за исключением случаев, создающих угрозу национальной безопасности, и при необеспечении адекватного уровня защиты персональных данных.
2. <a id="p100079"></a>Государство обеспечивает законные меры защиты находящихся на его территории или передаваемых через его территорию персональных данных, исключающие их искажение и несанкционированное использование.
3. <a id="p100080"></a>При трансграничной передаче персональных данных передающая сторона исходит из того, что в соответствии с межгосударственными соглашениями либо национальным законодательством другая сторона обеспечивает адекватный уровень защиты прав субъектов персональных данных и охраны этих данных.
4. <a id="p100081"></a>Передача персональных данных в страны, не обеспечивающие адекватный уровень защиты этих данных, может иметь место при условии:
- <a id="p100082"></a>явно выраженного согласия субъекта персональных данных на эту передачу;
- <a id="p100083"></a>необходимости передачи персональных данных для заключения и (или) исполнения договора между субъектом и держателем персональных данных либо между держателем и третьей стороной в интересах субъекта персональных данных;
- <a id="p100084"></a>если передача необходима для защиты жизненно важных интересов субъекта персональных данных;
- <a id="p100085"></a>если персональные данные содержатся в общедоступной базе персональных данных.

## Статья 11. Общедоступные базы персональных данных

## <a id="p100086"></a>Статья 11. Общедоступные базы персональных данных


1. <a id="p100087"></a>В целях информационного обеспечения в стране могут создаваться общедоступные базы персональных данных (справочники, телефонные книги, адресные книги и т.д.).
2. <a id="p100088"></a>В общедоступные базы персональных данных с письменного согласия субъекта могут включаться следующие персональные данные: фамилия, имя, отчество, год и место рождения, адрес, номер контактного телефона, сведения о профессии, иные сведения, предоставленные субъектом, сведения, полученные из открытых источников.
3. <a id="p100089"></a>В случае, если персональные данные получены держателем из открытых источников либо иных общедоступных баз персональных данных, держатель общедоступной базы информирует субъекта о содержании его персональных данных и цели их использования.
4. <a id="p100090"></a>Сведения о конкретных субъектах могут быть в любое время исключены из базы на основании:
- <a id="p100091"></a>распоряжения субъекта персональных данных;
- <a id="p100092"></a>решений правоохранительных органов.
5. <a id="p100093"></a>Режим конфиденциальности для общедоступных баз персональных данных не устанавливается.

## Статья 12. Права субъекта персональных данных

## <a id="p100094"></a>Статья 12. Права субъекта персональных данных


1. <a id="p100095"></a>Субъект персональных данных самостоятельно решает вопрос о предоставлении кому-либо своих персональных данных за исключением случаев, предусмотренных [пунктом 7](https://bukva.ai/docs/modelnyy-zakon-o-personalnyh-dannyh/statya-12#p100104) настоящей статьи.
2. <a id="p100096"></a>В целях реализации своих прав и свобод субъект предоставляет необходимые персональные данные, а также сведения об их изменениях в соответствующие органы государственной власти в объемах, определяемых законодательством.
3. <a id="p100097"></a>Субъект персональных данных имеет право знать о наличии у держателя относящихся к себе персональных данных и иметь к ним доступ.
<a id="p100098"></a>Право на доступ может быть ограничено только в случаях, предусмотренных [пунктом 7](https://bukva.ai/docs/modelnyy-zakon-o-personalnyh-dannyh/statya-12#p100104) настоящей статьи.
<a id="p100099"></a>Указанная информация должна быть выдана субъекту персональных данных в доступной документированной форме, четко и ясно выраженной, и не должна содержать персональные данные, относящиеся к другим субъектам.
4. <a id="p100100"></a>При наличии оснований, подтвержденных соответствующими документами, субъект персональных данных вправе требовать от держателя этих данных внесения изменений в свои персональные данные.
5. <a id="p100101"></a>В случае, если субъект персональных данных выявляет их недостоверность или оспаривает правомерность действий в отношении его персональных данных, он вправе потребовать от держателя блокирования этих данных.
6. <a id="p100102"></a>Если субъект персональных данных считает, что в отношении его персональных данных совершены неправомерные действия, он вправе обжаловать эти действия в административном, судебном или ином порядке в соответствии с национальным законодательством.
<a id="p100103"></a>В случае установления неправомерности действий при работе с персональными данными субъект данных имеет право на возмещение убытков и на иные формы обеспечения прав в соответствии с национальным законодательством.
7. <a id="p100104"></a>Ограничение прав субъекта на свои персональные данные возможно в отношении:
<a id="p100105"></a>а) права предоставления субъектом своих персональных данных для субъектов персональных данных, допущенных к сведениям, составляющим государственную тайну, - в пределах, установленных национальным законодательством о государственной тайне;
<a id="p100106"></a>б) права доступа к своим персональным данным, внесения в них изменений и их блокирования в отношении персональных данных, полученных в результате оперативно-розыскной деятельности, иных персональных данных в случаях, предусмотренных национальным законодательством.

## Статья 13. Права и обязанности держателя персональных данных

## <a id="p100107"></a>Статья 13. Права и обязанности держателя персональных данных


1. <a id="p100108"></a>Юридические и физические лица получают право на действия с персональными данными на основании лицензии или в соответствии с разрешительным порядком, предусмотренным национальным законодательством.
2. <a id="p100109"></a>Держатель персональных данных обязан:
- <a id="p100110"></a>получать персональные данные непосредственно от субъекта или из других источников с его согласия, за исключением случаев, предусмотренных действующим законодательством;
- <a id="p100111"></a>обеспечивать режим конфиденциальности при использовании персональных данных в предусмотренных настоящим Законом случаях;
- <a id="p100112"></a>документально определять порядок работы с персональными данными служащих, а также лиц, несущих юридическую ответственность за соблюдение режима конфиденциальности и сохранность персональных данных;
- <a id="p100113"></a>обеспечивать сохранность персональных данных, их уточнение, а также установленный в нормативном порядке режим доступа к ним;
- <a id="p100114"></a>сообщать субъекту по его требованию информацию о наличии персональных данных о нем, а также сами персональные данные.
3. <a id="p100115"></a>Лица, которым персональные данные становятся известными благодаря их должностным обязанностям, принимают на себя обязательства и несут ответственность за обеспечение конфиденциальности действий с этими персональными данными. Обязательства остаются в силе и после окончания работы с персональными данными в течение срока сохранения режима конфиденциальности.
4. <a id="p100116"></a>В случаях выявления субъектом персональных данных их недостоверности или неправомерности действий с ними держатель обязан заблокировать эти персональные данные на период проверки, после которой исправить их, снять блокирование или уничтожить.
5. <a id="p100117"></a>Передача персональных данных другому держателю возможна только в том случае, если цели использования персональных данных новым держателем соответствуют целям их получения. Передача персональных данных в целях, не соответствующих целям их получения, осуществляется либо с согласия субъекта, либо на основании закона. При передаче персональных данных другому держателю на него возлагается обязанность соблюдать режим конфиденциальности.

## Статья 14. Обезличивание персональных данных

## <a id="p100118"></a>Статья 14. Обезличивание персональных данных


<a id="p100119"></a>Для проведения статистических, социологических, медицинских и других исследований держатель персональных данных обезличивает используемые данные, придавая им форму анонимных сведений. При этом правовой режим, установленный для персональных данных, снимается.
<a id="p100120"></a>Обезличивание должно исключать возможность идентификации субъекта персональных данных.

## Статья 15. Хранение и обновление персональных данных

## <a id="p100121"></a>Статья 15. Хранение и обновление персональных данных


1. <a id="p100122"></a>Сроки хранения персональных данных определяются национальным законодательством с учетом целей их получения. Сроки хранения могут быть продлены только в интересах субъекта персональных данных или если это предусмотрено национальным законодательством. По истечении срока хранения или достижении целей получения персональных данных они подлежат уничтожению.
<a id="p100123"></a>Определенные персональные данные (личные дела, метрические книги и т.д.) после того, как практическая надобность в них отпадает, могут оставаться на постоянном хранении, приобретая статус архивного документа либо иной статус, предусмотренный национальным законодательством.
2. <a id="p100124"></a>Держатель персональных данных вносит изменения в имеющиеся у него персональные данные при условии документального подтверждения достоверности новых данных:
- <a id="p100125"></a>в случаях, предусмотренных законом;
- <a id="p100126"></a>по собственной инициативе;
- <a id="p100127"></a>по инициативе субъекта, персональные данные подлежат изменению.

## Статья 16. Органы по защите прав субъектов персональных данных

## <a id="p100128"></a>Статья 16. Органы по защите прав субъектов персональных данных


1. <a id="p100129"></a>Защита прав субъектов персональных данных осуществляется в общем порядке органами исполнительной власти, судебными органами, органами прокуратуры в соответствии с функциями и полномочиями, определенными для них национальным законодательством.
2. <a id="p100130"></a>Для защиты прав субъектов персональных данных могут создаваться специальные органы, деятельность которых дополняет существующие возможности защиты прав субъектов.
<a id="p100131"></a>Специальные органы по защите прав субъектов персональных данных осуществляют свою деятельность в пределах компетенции, установленной национальным законодательством, и не вправе принимать решения, отнесенные к компетенции держателей персональных данных.
3. <a id="p100132"></a>На указанные органы могут быть возложены:
- <a id="p100133"></a>лицензирование действий с персональными данными;
- <a id="p100134"></a>регистрация баз персональных данных;
- <a id="p100135"></a>регистрация держателей и ведение реестра держателей персональных данных;
- <a id="p100136"></a>представление интересов субъектов персональных данных в суде, расследование по фактам нарушения порядка работы с персональными данными по обращениям субъектов, а также на основании анализа других источников информации;
- <a id="p100137"></a>информирование органов государственной власти и граждан о положении дел в области защиты персональных данных;
- <a id="p100138"></a>представление в органы государственной власти предложений по развитию и совершенствованию нормативной базы, регламентирующей действия с персональными данными.
4. <a id="p100139"></a>Во исполнение указанных функций органы по защите прав субъектов персональных данных могут наделяться следующими правами:
- <a id="p100140"></a>беспрепятственно получать доступ к массивам персональных данных;
- <a id="p100141"></a>запрашивать и получать от держателя персональных данных любые необходимые сведения, документы и материалы;
- <a id="p100142"></a>проводить самостоятельно или совместно с уполномоченными органами и должностными лицами проверку деятельности держателей персональных данных, относительно которых имеется информация о нарушениях прав субъекта;
- <a id="p100143"></a>вносить предложения об отзыве лицензии на проведение действий с персональными данными (если лицензирование действий с персональными данными осуществляет другой орган);
- <a id="p100144"></a>в спорных случаях решать вопрос о снятии или установлении режима конфиденциальности;
- <a id="p100145"></a>блокировать персональные данные.

## Статья 17. Ответственность за нарушение Закона о персональных данных

## <a id="p100146"></a>Статья 17. Ответственность за нарушение Закона о персональных данных


<a id="p100147"></a>За нарушение настоящего Закона виновное лицо несет ответственность в порядке, установленном национальным законодательством.



<a id="p100148"></a>

---