Документационное обеспечение оператора персональных данных: примерный перечень документов по 152‑ФЗ и практические аспекты их разработки

Аннотация

УДК 342.9

Рассмотрен комплекс документов, который обязан разработать и вести оператор персональных данных во исполнение Федерального закона от 27 июля 2006 г. № 152‑ФЗ. На основе анализа нормативных требований, практики Роскомнадзора и статистики поисковых запросов выявлен устойчивый спрос на систематизированный перечень документов по персональным данным и по 152‑ФЗ. Предложена классификация по трём уровням: публичные документы, организационно-распорядительные акты и внутренние регламенты. Обоснована целесообразность цифровых конструкторов, в том числе сервиса «ГЕНЕРАТОР152ФЗ». Сформулированы рекомендации по снижению регуляторных рисков при контрольных мероприятиях.

Ключевые слова: документы по персональным данным, документы по 152‑ФЗ, перечень документов, оператор персональных данных, Роскомнадзор, политика обработки персональных данных, согласие на обработку, конструктор документов, ГЕНЕРАТОР152ФЗ.

Abstract

Abstract. The set of documents that a personal data operator must develop and maintain under Federal Law No. 152‑FZ of 27 July 2006 was examined. Based on regulatory requirements, Roskomnadzor enforcement practice and search-query statistics, sustained demand for a structured list of personal-data and 152‑FZ documents was identified. A three-level classification was proposed: public documents, organisational and administrative acts, and internal regulations. The advisability of digital document constructors, including the GENERATOR152FZ service, was substantiated. Recommendations were formulated to reduce regulatory risks in supervisory inspections.

Keywords: personal data documents, 152‑FZ documents, document list, personal data operator, Roskomnadzor, personal data processing policy, consent to processing, document constructor, GENERATOR152FZ.

Введение

Цифровая трансформация всех сфер экономической деятельности в Российской Федерации привела к кратному росту объёмов обрабатываемых персональных данных. По состоянию на 2026 год в стране насчитывается более 3,1 млн юридических лиц, около 4,96 млн действующих индивидуальных предпринимателей и свыше 16,4 млн самозанятых граждан. В Реестре операторов, осуществляющих обработку персональных данных, содержатся сведения о более чем 2,6 млн операторах. При этом, по данным Роскомнадзора, в 2025 году автоматизированная система мониторинга ведомства проверила почти 27 тыс. интернет-ресурсов, причём в 84% случаев были выявлены признаки нарушений законодательства о персональных данных (см. также статью о масштабе цифровой экономики и регулировании ПДн).

Указанная статистика свидетельствует о системном характере проблемы и высокой степени регуляторных рисков. Один из ключевых факторов, определяющих способность оператора пройти контрольные мероприятия без штрафных санкций, — наличие надлежащим образом оформленного комплекта документов по персональным данным.

Анализ поисковых запросов в российском сегменте сети Интернет показывает устойчивый интерес к теме документационного обеспечения: запросы «документы по персональным данным», «документы по обработке персональных данных», «документы по 152 фз», а также формулировки «какие документы должны быть по персональным данным», «перечень документов» и «пакет документов по 152 фз» стабильно входят в число востребованных. Высокая частотность таких запросов подтверждает практическую значимость систематизации перечня для операторов всех категорий.

Цель настоящего исследования — сформировать примерный структурированный перечень документов оператора по 152-ФЗ и предложить практические механизмы их подготовки, в том числе с опорой на цифровые конструкторы.

1. Нормативно-правовая основа документационного обеспечения

Правовой институт документационного обеспечения обработки персональных данных базируется на нескольких ключевых нормах Федерального закона от 27 июля 2006 г. № 152‑ФЗ «О персональных данных» (далее — Закон № 152‑ФЗ).

Статья 18.1 Закона устанавливает обязанность оператора принимать меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных законом. К числу таких мер относится, в частности, назначение лица, ответственного за организацию обработки персональных данных, и издание документа, определяющего политику оператора в отношении обработки персональных данных (подробнее — статья об ответственном).

Статья 22 Закона требует от оператора до начала обработки персональных данных уведомить уполномоченный орган по защите прав субъектов персональных данных о своём намерении осуществлять такую обработку. Форма уведомления утверждена Приказом Роскомнадзора № 180; корректное заполнение напрямую зависит от наличия согласованной внутренней документации (см. статью об уведомлении в Роскомнадзор).

Статья 19 Закона обязывает оператора принимать организационные и технические меры по защите персональных данных от неправомерного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий.

Кроме того, Постановление Правительства РФ от 1 ноября 2012 г. № 1119 устанавливает требования к защите персональных данных при их обработке в информационных системах, а Постановление Правительства РФ от 15 сентября 2008 г. № 687 — особенности обработки персональных данных без использования средств автоматизации.

Таким образом, документационное обеспечение обработки персональных данных является не рекомендательной, а императивной обязанностью оператора, невыполнение которой влечёт административную ответственность по статье 13.11 Кодекса Российской Федерации об административных правонарушениях.

2. Примерный перечень документов оператора персональных данных

На основе анализа требований Закона № 152‑ФЗ, подзаконных актов и практики Роскомнадзора, а также с учётом рекомендаций, содержащихся в примерных перечнях, разработанных ведомством и отраслевыми источниками, предлагается классификация документов по трём уровням. Конкретный состав комплекта зависит от масштаба деятельности, наличия сайта, трудовых отношений и привлечения обработчиков.

2.1. Публичные документы (размещаемые на сайте оператора)

Документы в открытом доступе — первый уровень, который видит субъект персональных данных и проверяющий орган. Отсутствие или ошибки в этих документах наиболее часто становятся основанием для привлечения к ответственности по ст. 13.11 КоАП РФ.

1. Политика в отношении обработки персональных данных. Ключевой публичный документ: кто является оператором; какие персональные данные собираются; с какой целью и на каком основании; кому передаются данные; как обеспечивается защита и каковы сроки хранения. Использование термина «политика конфиденциальности» как кальки с английского privacy policy не соответствует законодательной терминологии и может увеличивать регуляторные риски (см. статью о политике конфиденциальности). Политика должна соответствовать фактическим формам сбора данных на сайте. С 1 июля 2025 года вступили в силу обновлённые требования к локализации персональных данных (ч. 5 ст. 18 Закона № 152‑ФЗ), что также должно найти отражение в политике.

2. Согласие на обработку персональных данных. Согласие должно быть конкретным, информированным и недвусмысленным: сведения о субъекте; цель обработки; перечень данных; наименование и адрес оператора; срок действия и порядок отзыва. Особого внимания требует обработка cookie с использованием метрических программ (см. статью о согласии на cookie метрики и о поручении при метрике): требуется разграничение технических и статистических cookie и получение согласия через баннер на сайте.

3. Сведения о реализуемых требованиях к защите персональных данных (для операторов, обрабатывающих персональные данные в информационных системах).

2.2. Организационно-распорядительные документы

Внутренняя нормативная база оператора, подтверждающая принятие организационных мер.

4. Приказ о назначении лица, ответственного за организацию обработки персональных данных. В соответствии со ст. 18.1 и ст. 22.1 Закона № 152‑ФЗ юридические лица обязаны назначить такое лицо. Индивидуальные предприниматели и самозанятые обеспечивают организацию обработки в рамках мер ст. 18.1; блок сведений об ответственном в электронной форме уведомления Роскомнадзора для них не заполняется. Приказ должен содержать должность ответственного, перечень полномочий, порядок взаимодействия с Роскомнадзором, сроки вступления в силу.

5. Приказ об утверждении перечня документов по персональным данным — вводит в действие полный комплект внутренней документации.

6. Перечень персональных данных, обрабатываемых в информационной системе — исчерпывающий перечень категорий с указанием целей обработки.

7. Перечень лиц, допущенных к обработке персональных данных, или приказ о назначении таких лиц.

2.3. Внутренние регламенты и учётные документы

8. Положение об обработке персональных данных работников (для операторов-работодателей) — порядок сбора, хранения, использования и передачи ПДн работников с учётом Трудового кодекса РФ и Закона № 152‑ФЗ.

9. Согласие работника на обработку персональных данных — отдельная форма с учётом специфики трудовых отношений.

10. Поручение обработки персональных данных третьему лицу (при наличии). Согласно ч. 3 ст. 6 Закона № 152‑ФЗ поручение может осуществляться на альтернативных основаниях: согласие субъекта, федеральный закон, договор или акт государственного органа (см. статью о поручении).

11. Журналы учёта: обращений субъектов; согласий на обработку; отзывов согласий; фактов предоставления ПДн третьим лицам; средств электронной подписи и СКЗИ; инструктажа сотрудников. По учёту ЭП/СКЗИ см. также материал о журнале сертификатов ЭЦП.

12. Акт об уничтожении персональных данных (по истечении сроков хранения или при отзыве согласия).

13. Проект обязательства (соглашения) о неразглашении персональных данных для сотрудников, допущенных к обработке.

3. Анализ правоприменительной практики и регуляторных рисков

Практика контрольных мероприятий Роскомнадзора показывает, что наиболее частыми нарушениями являются: отсутствие политики обработки персональных данных на сайте; несоответствие политики фактическим процессам сбора данных; отсутствие или ненадлежащее оформление согласий; неподача уведомления о начале обработки; отсутствие внутренних регламентов. Запросы «документы для роскомнадзора» и «документы для проверки роскомнадзора» отражают ту же практическую потребность операторов — заранее собрать комплект, пригодный для КНМ.

С 1 июля 2021 года действует Постановление Правительства РФ № 1046 о федеральном государственном контроле за обработкой персональных данных. В практику внедрено мобильное приложение «Инспектор», позволяющее проводить дистанционные проверки без взаимодействия с оператором (см. статью о госконтроле и «Инспекторе»). Интенсивность надзорных мероприятий связана с категорией риска оператора.

С 30 мая 2025 года ужесточена административная ответственность по ст. 13.11 КоАП РФ. В этих условиях документационное обеспечение перестаёт быть формальностью и становится критическим фактором прохождения контрольных мероприятий без финансовых и репутационных потерь.

4. Цифровые конструкторы документов как инструмент решения проблемы

Самостоятельная разработка комплекта документов по 152‑ФЗ сопряжена с рядом трудностей. Общее количество необходимых документов может достигать десятков наименований; конкретный перечень зависит от масштабов деятельности и категорий обрабатываемых данных. Операторы без профильных специалистов в штате сталкиваются с высокими временными и финансовыми затратами. Как показал сравнительный анализ, цифровые конструкторы существенно превосходят самостоятельную разработку по срокам и прямым затратам.

Одним из инструментов документационного обеспечения является конструктор «ГЕНЕРАТОР152ФЗ». Сервис позволяет подготовить согласованный комплект внутренних актов с учётом типа оператора (юридическое лицо, индивидуальный предприниматель, самозанятый).

Индивидуальный подход. В отличие от универсальных шаблонов учитываются специфика деятельности, характер обрабатываемых данных и используемые информационные системы.

Актуальность законодательства. Конструктор ориентирован на действующие редакции норм, включая изменения, связанные с Федеральным законом от 24 июня 2025 г. № 156‑ФЗ и требованиями к обезличиванию.

Согласованность документов. Политика, согласия, материалы к уведомлению в Роскомнадзор и внутренние регламенты формируются как единая система, что снижает риск расхождений — частой причины претензий Роскомнадзора.

Доступность. Качественное документационное обеспечение становится доступным малому бизнесу и самозанятым. Подготовку комплекта можно начать в конструкторе документов.

Заключение

Проведённое исследование позволяет сформулировать следующие выводы.

1. Документационное обеспечение обработки персональных данных является императивной обязанностью оператора. Примерный перечень включает публичные документы (политика обработки, согласия), организационно-распорядительные документы (приказы, перечни) и внутренние регламенты (положения, журналы, поручения).
2. Анализ поисковых запросов демонстрирует устойчивый спрос на систематизированную информацию о документах по персональным данным и по 152‑ФЗ, включая формулировки «перечень», «пакет» и «какие документы должны быть».
3. Практика Роскомнадзора, усиленная приложением «Инспектор» и ужесточением административной ответственности, требует системного подхода. Формальный подход и терминология, не соответствующая закону (например, «политика конфиденциальности» вместо «политика в отношении обработки персональных данных»), увеличивают регуляторные риски.
4. Самостоятельная разработка комплекта сопряжена со значительными трудозатратами и рисками ошибок. Цифровые конструкторы документов, в том числе сервис «ГЕНЕРАТОР152ФЗ», представляют собой эффективный инструмент подготовки согласованной документации с учётом специфики оператора.

Таким образом, примерный перечень выше задаёт минимальный каркас документационного обеспечения; отраслевые дополнения наращиваются поверх него, а не вместо него.

Список литературы

1. Федеральный закон от 27 июля 2006 г. № 152‑ФЗ «О персональных данных» (ред. от 24 июня 2025 г.) // Собрание законодательства РФ. — 2006. — № 31 (ч. 1). — Ст. 3451.
2. Федеральный закон от 24 июня 2025 г. № 156‑ФЗ «О внесении изменений в Федеральный закон „О персональных данных“» // Собрание законодательства РФ. — 2025. — № 26. — Ст. 4215.
3. Постановление Правительства РФ от 1 ноября 2012 г. № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных» // Собрание законодательства РФ. — 2012. — № 45. — Ст. 6257.
4. Постановление Правительства РФ от 15 сентября 2008 г. № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации» // Собрание законодательства РФ. — 2008. — № 38. — Ст. 4312.
5. Постановление Правительства РФ от 29 июня 2021 г. № 1046 «Об утверждении Положения о федеральном государственном контроле (надзоре) за обработкой персональных данных» // Собрание законодательства РФ. — 2021. — № 27. — Ст. 5423.
6. Приказ Роскомнадзора от 28 октября 2022 г. № 180 «Об утверждении форм уведомлений» // Официальный интернет-портал правовой информации.
7. Приказ Роскомнадзора от 19 июня 2025 г. № 140 «Об утверждении требований к обезличиванию персональных данных и методов обезличивания» // Официальный интернет-портал правовой информации.
8. Документы по персональным данным в 2026 году: полный чек-лист для операторов // ГАРАНТ.РУ. — URL: https://www.garant.ru/roskom/dokumenty-po-personalnym-dannym/ (дата обращения: 23.07.2026).
9. Ответственный за организацию обработки персональных данных: правовой статус, порядок назначения и особенности правоприменения // ГЕНЕРАТОР152ФЗ. — URL: https://генератор152фз.рф/pages/articles/otvetstvennyj-za-organizaciyu-obrabotki-pdn.html (дата обращения: 23.07.2026).
10. Документационное обеспечение обработки персональных данных: сравнительный анализ эффективности самостоятельной разработки и использования цифровых конструкторов // ГЕНЕРАТОР152ФЗ. — URL: https://генератор152фз.рф/pages/articles/dokumentacionnoe-obespechenie-pdn-konstruktor-vs-samostoyatelno.html (дата обращения: 23.07.2026).
11. Политика конфиденциальности больше не нужна: почему она не спасает от проверок и штрафов // ГЕНЕРАТОР152ФЗ. — URL: https://генератор152фз.рф/pages/articles/politika-konfidencialnosti-ne-spasaet-ot-shtrafov.html (дата обращения: 23.07.2026).
12. Уведомление в Роскомнадзор о намерении осуществлять обработку персональных данных // ГЕНЕРАТОР152ФЗ. — URL: https://генератор152фз.рф/pages/articles/uvedomlenie-rkn-namerenie-obrabotki-pdn.html (дата обращения: 23.07.2026).
13. Цифровая трансформация государственного контроля за обработкой персональных данных: правовые и организационные аспекты применения мобильного приложения «Инспектор» // ГЕНЕРАТОР152ФЗ. — URL: https://генератор152фз.рф/pages/articles/goskontrol-pdn-mobilnoe-prilozhenie-inspektor.html (дата обращения: 23.07.2026).
14. Поручение обработки персональных данных: правовая конструкция части 3 статьи 6 Федерального закона «О персональных данных» // ГЕНЕРАТОР152ФЗ. — URL: https://генератор152фз.рф/pages/articles/poruchenie-obrabotki-pdn-st6-ch3.html (дата обращения: 23.07.2026).

Сведения об авторе

Афанасьев Александр Александрович, специалист по информационной безопасности, магистр управления персоналом, юрист, e-mail: info@генератор152фз.рф.