Ответственный за организацию обработки персональных данных: правовой статус, порядок назначения и особенности правоприменения для различных категорий операторов

Аннотация

УДК 342.7:004.056

Проведён системный анализ правового института лица, ответственного за организацию обработки персональных данных (ст. 18.1 и ст. 22.1 Федерального закона № 152-ФЗ). Показано, что обязанность назначения по ст. 22.1 адресована юридическим лицам; индивидуальные предприниматели и самозанятые обеспечивают организацию обработки в рамках мер ст. 18.1, а блок сведений об ответственном в электронной форме уведомления Роскомнадзора для ИП и ФЛ не заполняется. Обоснована целесообразность цифровых конструкторов документов, в том числе сервиса «ГЕНЕРАТОР152ФЗ», для согласованного комплекта внутренних актов с учётом типа оператора.

Ключевые слова: персональные данные, оператор персональных данных, ответственный за организацию обработки персональных данных, 152-ФЗ, Роскомнадзор, юридическое лицо, индивидуальный предприниматель, самозанятый, документационное обеспечение, административная ответственность.

Abstract

Abstract. A systematic analysis was conducted of the legal institution of the person responsible for organizing personal data processing (Articles 18.1 and 22.1 of Federal Law No. 152-FZ). It is shown that the duty to appoint under Article 22.1 applies to legal entities; individual entrepreneurs and self-employed persons organize processing under Article 18.1 measures, and the responsible-person block in the Roskomnadzor electronic notification form is not filled for sole traders and individuals. The advisability of digital document constructors, including GENERATOR152FZ, for a consistent set of internal acts by operator type was substantiated.

Keywords: personal data, personal data operator, person responsible for organizing personal data processing, 152-FZ, Roskomnadzor, legal entity, individual entrepreneur, self-employed, documentation support, administrative liability.

Введение

Цифровая трансформация общественной и хозяйственной жизни в Российской Федерации сопровождается ростом числа субъектов, обрабатывающих персональные данные. По открытым данным на 2026 год в стране насчитывается более 3,1 млн юридических лиц, около 4,96 млн действующих индивидуальных предпринимателей и свыше 16,4 млн самозанятых граждан; в Реестре операторов, осуществляющих обработку персональных данных, содержатся сведения о более чем 2,6 млн операторах. В этих условиях защита персональных данных выступает и правовой обязанностью, и фактором доверия к цифровой экономике.

Федеральный закон от 27 июля 2006 г. № 152-ФЗ «О персональных данных» (далее – Закон о персональных данных, Закон) возлагает на операторов широкий перечень обязанностей по документационному обеспечению обработки и защиты персональных данных. Одной из ключевых организационных мер является назначение лица, ответственного за организацию обработки персональных данных, предусмотренное ст. 18.1 и ст. 22.1 Закона.

Несмотря на кажущуюся однозначность нормы, правоприменение выявляет ряд нерешённых вопросов. Юридические лица с разветвлённой структурой, индивидуальные предприниматели и самозанятые – плательщики налога на профессиональный доход сталкиваются с разными по сложности проблемами при назначении ответственного лица и документальном оформлении его полномочий (см. также о документационном обеспечении и конструкторах и об уведомлении Роскомнадзора).

Цель настоящего исследования — разграничить модели лица, ответственного за организацию обработки персональных данных, для юридических лиц (ст. 22.1) и для ИП / самозанятых (меры ст. 18.1 без назначения по ст. 22.1), с учётом электронной формы уведомления Роскомнадзора и документационного оформления.

1. Правовая природа и нормативное регулирование института ответственного за организацию обработки персональных данных

Законодательство Российской Федерации в области персональных данных основывается на Конституции Российской Федерации и международных договорах и состоит из Федерального закона № 152-ФЗ и иных федеральных законов, определяющих случаи и особенности обработки персональных данных. Пункт 1 ст. 3 Закона определяет персональные данные как любую информацию, относящуюся к прямо или косвенно определённому или определяемому физическому лицу.

Статья 18.1 Закона устанавливает, что оператор обязан принимать меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных Законом и принятыми в соответствии с ним нормативными правовыми актами. К таким мерам, в частности, относится назначение оператором, являющимся юридическим лицом, ответственного за организацию обработки персональных данных.

Статья 22.1 Закона конкретизирует правовой статус указанного лица. Оператор, являющийся юридическим лицом, назначает лицо, ответственное за организацию обработки персональных данных. Такое лицо получает указания непосредственно от исполнительного органа организации-оператора и подотчётно ему. Оператор обязан предоставлять ответственному лицу сведения, указанные в ч. 3 ст. 22 Закона (сведения, содержащиеся в уведомлении об обработке персональных данных).

Лицо, ответственное за организацию обработки персональных данных, в частности, обязано:

• осуществлять внутренний контроль за соблюдением оператором и его работниками законодательства о персональных данных, в том числе требований к защите персональных данных;
• доводить до сведения работников оператора положения законодательства о персональных данных, локальных актов по вопросам обработки персональных данных, требований к защите персональных данных;
• организовывать приём и обработку обращений и запросов субъектов персональных данных или их представителей и (или) осуществлять контроль за приёмом и обработкой таких обращений и запросов.

Таким образом, Закон возлагает на ответственное лицо три основные функции: внутренний контроль, информирование (обучение) работников и организация работы с обращениями субъектов. Специальных квалификационных требований к такому лицу Закон не устанавливает: оператор свободен в выборе кандидата, но несёт риск назначения лица без необходимой компетенции.

2. Порядок назначения ответственного лица для юридических лиц

Для юридических лиц назначение ответственного за организацию обработки персональных данных является императивным требованием ч. 1 ст. 22.1 Закона. Исключений в зависимости от организационно-правовой формы, размера или масштаба деятельности юридического лица норма не содержит.

2.1. Круг лиц, которые могут быть назначены ответственным

Закон не ограничивает круг лиц, которых можно назначить ответственным. На практике это может быть руководитель организации, юрист, руководитель кадровой службы, руководитель службы информационной безопасности либо иной работник с достаточной компетенцией.

Исходя из формулировок п. 1 ч. 1 ст. 18.1, п. 7.1 ч. 3 ст. 22 Закона и формы уведомления, где ответственный за организацию обработки персональных данных упоминается в единственном числе, целесообразно назначать одно такое лицо. Возможность указать в уведомлении физическое лицо либо организацию, оказывающую соответствующие услуги, следует из перечня сведений уведомления (п. 7.1 ч. 3 ст. 22). При недостатке кадровых ресурсов оператор может привлечь внешнего специалиста; при поручении обработки персональных данных другому лицу применяются правила ч. 3 ст. 6 Закона (см. статью о поручении обработки).

2.2. Документальное оформление назначения

Для юридических лиц оформление, как правило, осуществляется изданием приказа (распоряжения) руководителя о назначении ответственного лица с указанием должности, функциональных обязанностей и порядка взаимодействия с иными подразделениями. При создании структурного подразделения по защите персональных данных утверждается положение о таком подразделении. Документы о назначении должны быть согласованы с политикой в отношении обработки персональных данных, правилами обработки, перечнями и иными локальными актами оператора.

2.3. Особенности для организаций с различной штатной численностью

В крупных организациях с численностью сотрудников свыше 100 человек и разветвлённой информационной инфраструктурой целесообразно создание отдельного структурного подразделения либо назначение сотрудника, в обязанности которого входит обеспечение информационной безопасности. В организациях малого и среднего бизнеса функция ответственного лица часто возлагается на руководителя, его заместителя или иного компетентного сотрудника. Ответственное лицо должно иметь доступ к сведениям и системам, необходимым для выполнения функций, включая доступ к соответствующим информационным системам персональных данных и кадровой документации в пределах, установленных локальными актами. Как выстроить цепочку «руководитель – ответственный в организации – ответственный в подразделении – уполномоченный работник» и согласовать её с ЛНА – в статье о системе лиц и должностей при обработке ПДн.

3. Организация обработки персональных данных индивидуальным предпринимателем

Индивидуальный предприниматель признаётся оператором персональных данных, если он самостоятельно или совместно с другими лицами организует и (или) осуществляет обработку персональных данных (п. 2 ст. 3 Закона).

3.1. Обязанность и правовая квалификация

Буквальный текст ст. 22.1 Закона адресован оператору, являющемуся юридическим лицом: обязанность назначить лицо, ответственное за организацию обработки персональных данных, на индивидуального предпринимателя не распространяется. ИП как оператор обязан принимать меры, необходимые и достаточные для выполнения обязанностей по Закону (ст. 18.1), в том числе организовать внутренний контроль и взаимодействие с субъектами персональных данных.

На Портале персональных данных в электронной форме уведомления блок сведений об ответственном за организацию обработки персональных данных отображается и является обязательным для юридических лиц; для типа оператора «индивидуальный предприниматель» соответствующий блок формы не заполняется (не отображается). Поэтому для ИП не следует моделировать «назначение по ст. 22.1» и указание такого лица в уведомлении.

Практический вывод: индивидуальному предпринимателю целесообразно документально закрепить, что функции по организации обработки (внутренний контроль, информирование работников при их наличии, работа с обращениями субъектов) исполняет он сам (меры ст. 18.1), без конструкции назначения ответственного по ст. 22.1.

3.2. ИП без наёмных работников

При отсутствии работников организацию обработки обеспечивает сам индивидуальный предприниматель. Документально это оформляется приказом (распоряжением) ИП либо утверждением соответствующего решения в шапке локального акта – в зависимости от принятой у оператора модели делопроизводства. Документ подлежит хранению и предъявлению при проверке.

3.3. ИП с работниками

При наличии штата оператором остаётся предприниматель: он сохраняет статус оператора и ответственность перед субъектом персональных данных. Работников необходимо ознакомить с требованиями локальных актов по обработке персональных данных; контроль исполнения обеспечивает сам ИП (либо привлекает третье лицо только по ч. 3 ст. 6 Закона – с сохранением ответственности оператора).

3.4. Документальное оформление

Типовой способ – приказ ИП об организации обработки персональных данных либо утверждение локального акта подписью в шапке (когда такой порядок закреплён у оператора), а также Порядок исполнения оператором соответствующих функций (вместо должностной инструкции «назначенного» лица). При привлечении внешнего специалиста необходим договор (поручение) в соответствии с ч. 3 ст. 6 Закона.

4. Особенности правового статуса самозанятых граждан

Плательщик налога на профессиональный доход, обрабатывающий персональные данные клиентов или контрагентов (контакты, идентификаторы в сервисах и т.п.), может признаваться оператором в смысле п. 2 ст. 3 Закона.

4.1. Признание оператором

Достаточно самостоятельно организовывать и осуществлять обработку персональных данных иных физических лиц. Наличие наёмных работников для самозанятого по правилам специального налогового режима не предполагается; это не исключает статуса оператора при обработке данных клиентов.

4.2. Обязанность по ст. 22.1 и меры по ст. 18.1

Системное толкование ст. 18.1 и ст. 22.1 позволяет заключить: обязанность «назначить ответственное лицо» в конструкции ст. 22.1 прямо адресована юридическим лицам. Вместе с тем ст. 18.1 обязывает любого оператора принимать необходимые и достаточные меры для выполнения обязанностей по Закону. Для самозанятого это означает необходимость организовать внутренний контроль, работу с обращениями субъектов и иные меры, которые у юридических лиц обычно возлагаются на ответственное лицо, – как правило, путём самостоятельного исполнения этих функций оператором.

4.3. Практические рекомендации

На практике самозанятый фиксирует письменным актом (в том числе утверждением локального акта в шапке), что организацию обработки он обеспечивает лично, либо привлекает внешнего исполнителя по договору (ч. 3 ст. 6 Закона) без переноса статуса оператора. В электронной форме уведомления на Портале персональных данных для типа оператора «физическое лицо» (самозанятый) блок сведений об ответственном за организацию обработки не отображается – заполнять его не требуется.

5. Сравнительный анализ для различных категорий операторов

6. Ответственность и регуляторные риски

С 30 мая 2025 года действуют ужесточённые санкции ст. 13.11 Кодекса Российской Федерации об административных правонарушениях за нарушения законодательства о персональных данных. Ненадлежащая организация обработки, включая отсутствие согласованных внутренних актов и неопределённость в распределении функций внутреннего контроля, повышает риск привлечения к ответственности (подробнее о штрафах и проверяемой документации – в статье о политике конфиденциальности и проверках).

Отдельно следует учитывать обязанность направления уведомления Роскомнадзору о намерении осуществлять обработку персональных данных (ст. 22 Закона). Состав полей электронной формы на Портале персональных данных зависит от типа оператора: сведения об ответственном за организацию обработки запрашиваются у юридических лиц; у ИП и физических лиц соответствующий блок формы не отображается. Неполнота или противоречивость внутренних документов и сведений уведомления усиливают регуляторный риск.

7. Роль цифровых инструментов в документационном обеспечении

Усложнение требований законодательства и ужесточение ответственности делают востребованными инструменты, позволяющие сформировать согласованный комплект внутренних документов. Цифровые конструкторы документов снижают риск противоречий между политикой, локальными актами об организации обработки (для ЮЛ – о назначении ответственного и должностной инструкцией; для ИП и самозанятых – о самовозложении функций и Порядком их исполнения), правилами обработки и иными актами.

Конструктор документов «ГЕНЕРАТОР152ФЗ» предназначен для комплексного документационного обеспечения обработки персональных данных. Сервис позволяет оператору сформировать комплект, включающий политику в отношении обработки персональных данных, согласия субъектов, материалы для уведомления Роскомнадзора, а также локальные акты с учётом типа субъекта (юридическое лицо, индивидуальный предприниматель, самозанятый) в конструкторе документов.

Использование конструктора обеспечивает согласованность формулировок, экономию времени на разработку комплекта «с нуля», учёт актуальных требований законодательства и комплектность документов, предъявляемых при контрольных мероприятиях. Качество итогового комплекта при этом зависит от полноты и достоверности сведений, указанных оператором в анкете.

Заключение

Проведённое исследование позволяет сформулировать следующие выводы.

1. Институт лица, ответственного за организацию обработки персональных данных (ст. 18.1 и ст. 22.1 Закона), обеспечивает внутренний контроль у операторов-юридических лиц; у ИП и самозанятых те же организационные функции исполняет сам оператор в рамках мер ст. 18.1.
2. Для юридических лиц назначение ответственного лица – прямая императивная обязанность ст. 22.1. Для индивидуальных предпринимателей и самозанятых ст. 22.1 не применяется; обязательны меры ст. 18.1 и документальная определённость самостоятельного исполнения функций организации обработки.
3. Документальное оформление различается: у ЮЛ – приказ о назначении и должностная инструкция; у ИП – приказ и/или утверждение в шапке плюс Порядок исполнения функций; у самозанятых – утверждение в шапке и Порядок. В уведомлении РКН блок об ответственном заполняется у ЮЛ и не отображается у ИП и ФЛ.
4. Эффективность исполнения обязанностей оператора существенно зависит от согласованности локальных актов. Цифровые конструкторы документов, в частности «ГЕНЕРАТОР152ФЗ», помогают сформировать согласованный комплект с учётом категории оператора и снизить регуляторные риски.
5. Для ИП и самозанятых критична документальная определённость самостоятельного исполнения функций ст. 18.1 (Порядок, шапка утверждения), а не формальное «назначение ответственного» по модели ст. 22.1, которая к ним не применяется.

Список литературы

1. Федеральный закон от 27 июля 2006 г. № 152-ФЗ «О персональных данных» (ред. от 24 июня 2025 г.) // Собрание законодательства РФ. — 2006. — № 31 (ч. 1). — Ст. 3451.
2. Кодекс Российской Федерации об административных правонарушениях от 30 декабря 2001 г. № 195-ФЗ (в части ст. 13.11, с учётом изменений 2025 г.) // Собрание законодательства РФ. — 2002. — № 1 (ч. 1). — Ст. 1.
3. Постановление Правительства РФ от 29 июня 2021 г. № 1046 «Об утверждении Положения о федеральном государственном контроле (надзоре) за обработкой персональных данных» (с изменениями) // Собрание законодательства РФ. — 2021. — № 27 (ч. 3). — Ст. 5408.
4. Приказ Роскомнадзора от 24 февраля 2022 г. № 180 «Об утверждении Требований к содержанию уведомления об обработке персональных данных, а также к форме и содержанию уведомления о намерении осуществлять обработку персональных данных» // Официальный интернет-портал правовой информации. — URL: http://publication.pravo.gov.ru (дата обращения: 15.07.2026).
5. Бачило И.Л. Информационное право: учебник для вузов / И.Л. Бачило. — М.: Юрайт, 2023. — 432 с.
6. Волчинская Е.К. Правовое регулирование персональных данных: монография / Е.К. Волчинская, И.А. Иванюженко. — М.: Инфра-М, 2024. — 288 с.
7. Савельев А.И. Комментарий к Федеральному закону «О персональных данных» (постатейный) / А.И. Савельев. — М.: Статут, 2023. — 416 с.
8. Терещенко Л.К. Правовой режим информации: монография / Л.К. Терещенко. — М.: Юрлитинформ, 2022. — 256 с.
9. Роскомнадзор: сведения о реестре операторов и контрольно-надзорной деятельности // Официальный сайт Роскомнадзора. — URL: https://rkn.gov.ru (дата обращения: 15.07.2026).
10. Портал персональных данных Роскомнадзора: форма уведомления // pd.rkn.gov.ru. — URL: https://pd.rkn.gov.ru (дата обращения: 15.07.2026).

Сведения об авторе

Афанасьев Александр Александрович, специалист по информационной безопасности, магистр управления персоналом, юрист, e-mail: info@генератор152фз.рф.