СРАВНИТЕЛЬНО-ПРАВОВОЙ АНАЛИЗ НАЦИОНАЛЬНЫХ МОДЕЛЕЙ ЗАЩИТЫ ПЕРСОНАЛЬНЫХ ДАННЫХ: ОПЫТ РОССИИ, КИТАЯ И США

COMPARATIVE LEGAL ANALYSIS OF NATIONAL MODELS FOR THE PROTECTION OF PERSONAL DATA: THE EXPERIENCE OF RUSSIA, CHINA, AND THE UNITED STATES

Nikolaychenko Vladimir Gennadyevich

student, Don State Technical University, Rostov-on-Don, Russian Federation

Аннотация. Защита персональных данных в цифровой среде перестала быть узкопрофильной темой, с развитием цифрового пространства этот вопрос стал касаться каждого пользователя сети интернет, смартфона, онлайн-банкинга и не только. Разумеется, данная тема является актуальной не только для нашей страны, но и для всех государств мира. В Китае за 2025 год было зафиксировано более 40 тысяч случаев хищения данных, это затронуло 2000 компаний и организаций, а банковский сектор является лидером антирейтинга по утечкам конфиденциальной информации своих клиентов. В Соединённых Штатах Америки Центр по краже личных данных сообщал о более чем 3000 случаев кражи персональных данных. Важно понимать, что когда речь заходит о количество случаев утечки данных, это дает не совсем верное представление об объемах украденных данных, так как в рамках одного случая хищения могут быть украдены миллионы строк информации о пользователях, включающие в себя Ф.И.О., контактные номера, адреса, данные банковских карт и другие данные.

Abstract. Protecting personal data in the digital environment has ceased to be a narrowly focused topic; with the development of the digital space, this issue has become relevant to every user of the internet, smartphones, online banking, and more. Of course, this topic is relevant not only for our country but for all states in the world. In China, more than 40,000 cases of data theft were recorded in 2025; this affected 2,000 companies and organizations, and the banking sector is the leader in the anti‑rating for leaks of confidential information about its customers. In the United States of America, the Identity Theft Resource Center reported more than 3,000 cases of personal data theft. It is important to understand that when it comes to the number of data breach incidents, this does not give a completely accurate picture of the volume of stolen data, as millions of lines of user information – including full names, contact numbers, addresses, bank card details, and other data – may be stolen in a single incident.

Ключевые слова: персональные данные; защита информации; утечка данных; законодательство; нормативно-правовой акт; информация.

Keywords: personal data; information protection; data leakage; legislation; regulatory legal act; information.

В России по итогам 2025 года в открытый доступ попало 750 миллионов записей о гражданах, что более чем на 65 % больше, чем по сравнению с 2024 годом. И именно в нашей стране сформирована одна из наиболее широких систем цифрового пространства, к примеру, сервис Госуслуги. Несмотря на схожесть проблемы, Россия, Китай и США сформировали разные подходы к защите персональных данных пользователей, что выражается как в нормативно-правовой базе, судебной практике и даже технических решениях.

Говоря о российском подходе, то в первую очередь государство озадачилось созданием единых принципов нормативно-правовой базе, которые отражаются в федеральных законах: ФЗ-152 «О персональных данных» [1] и ФЗ-149 «Об информации, информационных технологиях и защите информации» [2]. Данные нормативно-правовые акты закрепили само понятие персональных данных, установили условия и правила обработки и хранения персональных данных, и что, не менее важно, перечень информации, которая относится к персональным данным. Помимо прочего, появились четкие требования к операторам, которые осуществляют сбор и хранения подобной информации. В течении длительного периода времени наказания за ненадлежащую защиту конфиденциальной информации граждан были незначительными, в особенности для крупных организаций и компаний, так, до 2025 года штрафы для юридических лиц в данных случаях составляли от 60 тысяч до 100 тысяч рублей, согласно со статьей 13.11 Кодекса Российской Федерации об административных правонарушениях (далее - КоАП РФ) [3]. За неуведомление пользователя о сборе его персональных данных, та самая плашка о принятии согласия, которая появляется при посещении веб-сайта, ранее можно было получить штраф от 40 000 до 80 000 тысяч рублей. Но за последние 5 лет требования законодательства стали более строгими, а штрафные санкции крупными. На практике Федеральный закон о персональных данных практически всегда применяется ровно так, как и был задуман. Можно обратиться к решению Савеловского суда Москвы от 24 августа 2025 г. по делу № 02 – 3901/2025 [4], исходя из которого видно, что суд установил, что микрофинансовая организация не удостоверилась в действительности и подлинности согласия гражданина на обработку его персональных данных, при этом передав сведения в Национальное бюро кредитных историй. Суд возложил на ответчика обязанность направить информацию об исключении этих сведений, подчеркнув, что «обязанность предоставить доказательство получения согласия субъекта персональных данных на обработку его персональных данных возлагается на оператора. В принципе, когда речь заходит о нарушениях в области надлежащей защиты и хранения персональных данных, российские суды занимают принципиально жесткую позицию, показательным тут служит Постановление Верховного Суда РФ от 21.01.2026 N 5-АД25-119-К2 [5], где ответчиком выступало не физическое лицо, компания или крупная коммерческая организация, а Министерство труда и социальной защиты Российской Федерации – целый федеральный орган исполнительной власти в стране. Тогда ведомство было признано виновным в совершении административного нарушения, предусмотренного частью 1 статьи 13.11 КоАП РФ. Верховный Суд установил, что в действиях МинТруда РФ содержится состав правонарушения в части касающейся обработки персональных данных не предусмотренным действующим законодательством, поэтому судебный орган наложил на ведомство штраф в размере 100 000 рублей. Таким образом, судебная практика подтверждает равенство всех перед законом, даже если в роли нарушителя выступает федеральное министерство.

К иным значимым нормативно-правовым актам в области защиты персональных данных граждан следует отнести: Указ Президента Российской Федерации от 06.03.1997 г. № 188 «Об утверждении перечня сведений конфиденциального характера», Постановление Правительства РФ от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных», различные приказы Роскомнадзора, а также методические рекомендации. Исходя из всего, можно сделать вывод, что российский подход защиты конфиденциальной информации своих граждан имеет комплексный и последовательный характер, при этом нормативно-правовая база продолжает постоянно совершенствоваться.

Китайская Народная Республика приняла Закон о защите персональной информации (Personal Information Protection Law, PIPL) 20 августа 2021 года [8], и он вступил в силу 1 ноября 2021 года. Этот закон стал одним из трёх столпов китайской системы защиты персональных данных, наряду с Законом о кибербезопасности от 2017 года и Законом о безопасности данных от 2021 года.

PIPL во многом напоминает европейский GDPR: он устанавливает принципы обработки данных, права субъекта (на доступ, исправление, удаление), обязанности операторов и требования к трансграничной передаче. Однако есть и принципиальные отличия. Во-первых, PIPL имеет экстерриториальное действие: он применяется к обработке персональной информации лиц, находящихся в Китае, даже если обработка осуществляется за пределами страны. Во-вторых, китайский закон делает акцент на государственном надзоре и национальной безопасности, что отражает общую логику китайской модели регулирования данных. Китайская модель характеризуется высокой степенью государственного участия, данный подход обеспечивает эффективное преследование нарушителей, но одновременно создает вопрос о балансе между защитой и государственным надзором. При этом, представители высшей власти в КНР не скрывают того, что в данном вопросе, в первую очередь, руководствуются именно интересами национальной безопасности.

Американская система значительно отличается от российской или китайской, в первую очередь, свой свое нецентрализованостью, поскольку в США нет единого федерального законна, направленного на защиту персональных данных, вместо этого в стране действует так называемая «лоскутная система», когда каждый штат издает свои нормативно-правовые акты. По состоянию на конец 2025 года, только половина штатов имели законы о защите персональных данных, например: Калифорния, Вирджиния, Колорадо, Коннектикут и другие. Безусловным лидером в данном направлении является Калифорния, на территории которой действует California Consumer Privacy Act (CCPA) [6], вступивший в силу еще в январе 2020 года.

CCPA предоставил калифорнийским потребителям четыре базовых права:

• право знать, какую персональную информацию компания собирает и как она используется и передаётся;
• право на удаление персональной информации, собранной о потребителе (с определёнными исключениями);
• право на отказ от продажи или передачи персональной информации, включая через Global Privacy Control (GPC);
• право на недискриминацию за осуществление прав по CCPA.

В ноябре 2020 года калифорнийские избиратели одобрили Proposition 24, California Privacy Rights Act (CPRA), который дополнил CCPA новыми правами, вступившими в силу с 1 января 2023 года:

• право на исправление неточной персональной информации;
• право на ограничение использования и раскрытия чувствительной персональной информации.

Помимо прочего, в Калифорнии создано специальное агентство California Privacy Protection Agency (CPPA) – Калифорнийское агентство по защите конфиденциальности, которое наделен полномочиями контроля по соблюдению данных законов на территории штата. Но все же, утверждать, что в США совершенно нет федеральных актов в данной области, было бы неверно, поскольку существуют отдельные НПА в некоторой своей части касаются данной темы, например:

• Health Insurance Portability and Accountability Act (HIPAA, 1996) – регулирует информацию о состоянии здоровья, связанную с конкретным лицом, находящуюся под контролем определённых организаций здравоохранения.
• Gramm-Leach-Bliley Act (GLBA, 1999) – защищает персональную информацию, находящуюся в распоряжении финансовых учреждений и связанных с ними компаний.
• Fair Credit Reporting Act (FCRA, 1970) – регулирует использование информации для принятия решений о трудоустройстве, кредитовании и страховании.

Тем не менее, главная проблема такого подхода возникает при ведении коммерческой деятельности, поскольку крупным корпорациям, франшизам, сетевым организациям при ведении своей деятельности приходится руководствоваться не только федеральными актами, но и законами штатов, которые хоть и работают по одному принципу, но могут отличаться по целому ряду нюансов. Поэтому вместо выполнения одного единственного закона, бизнесу приходится выполнять требования еще 20 разных, что приводит к ситуации, в которой то, что разрешено в одном штате, может быть наказуемо в другом.