Правила работы с персональными данными в Российской Федерации регулируются законодательством, которое устанавливает требования к сбору, обработке, хранению и защите информации, относящейся к физическим лицам. Эти нормы направлены на защиту прав субъектов персональных данных и обеспечение конфиденциальности их личной информации.

1. Понятие и сфера регулирования персональных данных
   Персональные данные — это любая информация, относящаяся к прямо или косвенно определённому физическому лицу (субъекту персональных данных). К таким сведениям относятся, например, ФИО, дата рождения, адрес, семейное и имущественное положение, образование, профессия, доходы и другие данные. Обработка персональных данных охватывает широкий спектр действий — от сбора и хранения до изменения и уничтожения информации. Законодательство регулирует работу как с бумажными архивами, так и с автоматизированными системами. Основным нормативным актом является Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных». Конституция РФ закрепляет право на неприкосновенность частной жизни и запрещает сбор, хранение и распространение личной информации без согласия субъекта.

2. Принципы обработки и законные основания
   Обработка персональных данных должна быть законной, справедливой и ограниченной конкретными, заранее определёнными целями. Недопустимо использовать данные в целях, несовместимых с первоначальными. Объём и содержание обрабатываемой информации должны соответствовать заявленным целям и не быть избыточными. Основным основанием для обработки является согласие субъекта данных. Однако закон предусматривает и другие случаи, например, исполнение договора, требований законодательства, осуществление правосудия, защита жизни и здоровья. Обязанность доказать наличие согласия или иного законного основания лежит на операторе персональных данных.

3. Согласие субъекта: форма и содержание
   Согласие на обработку персональных данных должно быть конкретным, информированным, сознательным и однозначным. Оно может быть выражено в любой форме, позволяющей подтвердить факт его получения. Для некоторых случаев, например, передачи сведений об абонентах операторами связи, требуется письменная форма согласия. Письменное согласие должно содержать данные субъекта (ФИО, адрес), реквизиты удостоверяющего личность документа, сведения об операторе, цель обработки, перечень обрабатываемых данных и действий, срок действия согласия и порядок его отзыва, а также подпись субъекта. Особое внимание уделяется отдельному согласию на распространение персональных данных, которое оформляется отдельно и соответствует требованиям Роскомнадзора. Субъект имеет право отозвать согласие в любой момент — оператор обязан прекратить обработку и уничтожить данные в течение 30 дней.

4. Обязанности оператора и обеспечение конфиденциальности
   Оператор персональных данных обязан обеспечивать конфиденциальность информации, не раскрывать и не распространять её без согласия субъекта. Для защиты данных оператор принимает правовые, организационные и технические меры, предотвращающие неправомерный доступ, уничтожение, изменение, блокирование, копирование и распространение. Если данные получены не от субъекта, оператор должен уведомить его о целях, правовых основаниях обработки, перечне данных, пользователях и правах субъекта до начала обработки. Юридические лица обязаны назначить ответственного за организацию обработки персональных данных и внедрять внутренние меры — локальные акты, обучение персонала.

5. Защита прав субъекта и ответственность за нарушения
   Субъект персональных данных вправе требовать уточнения, блокирования или уничтожения неполных, устаревших, неточных или незаконно полученных данных. Нарушение правил обработки влечёт административную ответственность по статье 13.11 Кодекса РФ об административных правонарушениях, предусматривающей штрафы для граждан, должностных и юридических лиц. Кроме того, субъект может обратиться в суд для защиты своих прав, требовать возмещения убытков и компенсации морального вреда. Компенсация морального вреда возможна независимо от имущественного ущерба. Судебная практика показывает взыскание компенсаций за утечки персональных данных, что также несёт для оператора репутационные риски и дополнительные административные последствия.

Итоговый ответ
В России правила работы с персональными данными регулируются Федеральным законом № 152-ФЗ «О персональных данных». Основные принципы — законность и справедливость обработки, ограничение целей, минимизация объёма данных и обеспечение конфиденциальности. Обработка возможна при наличии согласия субъекта или иных законных оснований. Согласие должно быть информированным и однозначным, иногда в письменной форме. Оператор обязан защищать данные, уведомлять субъектов при необходимости, прекращать обработку и уничтожать данные при отзыве согласия. Нарушения ведут к административной и гражданско-правовой ответственности.

Ссылки
Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 3, 5, 6, 7, 8, 9, 10.1, 14, 17, 18, 18.1, 19, 21, 22.1, 23, 24
Конституция Российской Федерации, ст. 23, 24
Гражданский кодекс Российской Федерации, п. 1 ст. 150, ст. 151, п. 1 ст. 152.2, п. 1 ст. 1099
Кодекс Российской Федерации об административных правонарушениях, ч. 1 ст. 13.11
Кодекс Российской Федерации, ч. 2 ст. 2.1