Штраф за отсутствие документов по персональным данным может достигать 60 000, в некоторых случаях — 700 000 рублей. Проверьте, все ли у вас оформлено, а также узнайте, что необходимо сделать, чтобы законно работать с ПДн.
Если вы ведете бизнес и взаимодействуете с клиентами, сотрудниками и другими физлицами, работа с личной информацией — часть вашей повседневной деятельности. Чтобы избежать штрафов Роскомнадзора и защитить себя и своих клиентов, важно понимать, какие документы по персональным данным нужно оформить и как правильно организовать их обработку. Мы расскажем обо всем подробнее, чтобы вы могли обезопасить себя.
Кто считается оператором персональных данных
Вы — оператор, если:
→ Собираете ФИО, телефон, email, адрес, паспорт, СНИЛС, ИНН — даже один из этих реквизитов.
→ Храните, используете, передаёте — даже если не обрабатываете активно.
Попадают под это:
- ООО, АО, ИП, самозанятые
- Физлица (например, репетитор, врач, фрилансер с базой клиентов)
- Госорганы, школы, клиники
Важно:
Вы становитесь оператором в момент первого сбора данных.
Даже если потом просто лежат в папке — вы обязаны соблюдать ФЗ-152.
3 шага к законной обработке ПДн
1. Определите цели и объём
→ Зачем вы собираете данные?
→ Не «для маркетинга» — а «для отправки заказа по адресу, указанному в форме».
→ Какие именно данные? ФИО? Телефон? IP? Cookie?
→ Какие действия: хранение, передача, удаление?
2. Оформите документы
→ Без них — вы не можете доказать, что действуете по закону.
→ Роскомнадзор не спрашивает «почему». Он спрашивает: «Где документ?»
3. Подайте уведомление в Роскомнадзор
→ Почти всем — обязательно.
→ Без него — штраф 300 000 ₽ (ст. 13.11 КоАП).
→ Проверка сайта — автоматическая. Боты ищут отсутствие уведомления.
Поможем подготовить документы для работы с персональными данными в 2026 году для организаций. Оставляйте заявку на сайте для бесплатной консультации
Какие документы нужны оператору
Политика в отношении обработки персональных данных — главный документ любого оператора. Она описывает принципы обработки, цели сбора, порядок хранения и передачи информации. Этот документ становится ориентиром для всех сотрудников, определяет ответственность и регламентирует взаимодействие с клиентами и подрядчиками.
К основным документам оператора персональных данных также относятся:
- Положения по обработке и защите данных — отдельно для сотрудников, клиентов и иных лиц. Включают обработку как вручную, так и с использованием информационных систем, правила обезличивания данных.
- Регулирование доступа — перечни обрабатываемых данных, список сотрудников с допуском к информации, должностные инструкции и соглашения о неразглашении.
- Иные локальные акты: приказы о назначении ответственного за обработку данных, утверждение мест хранения, порядок рассмотрения запросов субъектов персональных данных.
- Образцы согласий субъектов на обработку, акты об уничтожении информации; договоры с третьими лицами, которым поручена обработка.
Кроме того, особое внимание уделяется безопасности:
- Документы по защите и безопасности данных включают учет и классификацию информационных систем, модель угроз, план мероприятий по безопасности, инструкции по действиям в нештатных ситуациях, правила резервного копирования и уничтожения носителей.
- Контроль соблюдения требований: положения и планы внутреннего аудита, акты оценки возможного вреда субъектам, схемы рабочих мест и потоков передачи данных, журналы учета и инструктажа работников.
Важный инструмент контроля — журналы, фиксирующие обращения субъектов, движение машинных и съемных носителей, инструктаж сотрудников по информационной безопасности, тестирование средств защиты и ознакомление персонала с политикой обработки данных.
Набор документов зависит от размера бизнеса, специфики деятельности, категорий ПДн и используемых информационных систем. Чтобы полностью закрыть все требования ФЗ № 152 и быть уверенным в законности работы с данными, стоит обратиться к юристу. Тогда ваши документы будут актуальными и защитят бизнес от штрафов.
Не забудьте зарегистрироваться в реестре операторов ПДн
Перед тем как собирать даже один телефон или email — вы обязаны подать уведомление в Роскомнадзор. Это не форма «для галочки». Это юридическое условие для легальной работы с ПДн.
Рассмотрение заявления занимает до 30 дней. После — вас добавляют в открытый реестр операторов. Проверить статус можно по ИНН или названию компании — Роскомнадзор делает это ежедневно.
Регистрация не нужна только в трёх случаях (ст. 22 ФЗ-152):
- Обработка — только вручную (без Excel, Google Forms, CRM, баз данных)
- Данные входят в государственные системы безопасности (ФСБ, МВД и т.п.)
- Обработка — в рамках транспортной безопасности (например, ЖД, авиаперевозки по спецрегламенту)
Всё остальное — подлежит регистрации. Даже если у вас 3 клиента в месяц.
Как зарегистрироваться — пошагово:
1. Подготовьте документы: Политика, приказы, инструкции — уведомление заполняется на их основе.
2. Назначьте ответственного: Это может быть вы, ИТ-специалист или юрист — но обязанность зафиксирована в приказе.
3. Заполните уведомление на сайте РКН:
→ Указывайте только те данные, которые реально собираете — ФИО, телефон, email.
→ Не пишите «на всякий случай»: если не запрашиваете СНИЛС или ИНН — не включайте их.
→ Ошибки = введение в заблуждение → штраф до 18 млн ₽
4. Подпишите электронно: через Госуслуги (если профиль привязан к организации) или с помощью КриптоПро.
5. Проверьте статус: через официальный реестр — по ИНН или ОГРН.
Ответственность оператора за нарушения
Если вы не оформите Политику обработки ПДн или не предоставите субъектам беспрепятственный доступ к ней, вас могут оштрафовать по ч. 3 ст.13.11 КоАП. Сумма штрафа для граждан — до 3 000, должностных лиц — до 12 000, ИП — до 20 000, организаций — до 60 000 рублей.
При обработке ПДн без согласия субъекта, когда оно обязательно по закону, штрафы существенно выше:
- для граждан — до 15 000;
- для должностных лиц — до 300 00;
- для юрлиц — до 700 000.
Самые высокие штрафы предусмотрены за утечку — до 20 млн рублей. При инциденте вас могут оштрафовать, если будет установлены ваши виновные действия или бездействие при условии, что именно это стало причиной утечки. Правильно оформленный пакет документов по персональным данным здесь играет не последнюю роль: если выяснится, что у вас, например, не было инструкций для сотрудников на случай инцидентов, вы рискуете как минимум получить предписание, как максимум — лишиться нескольких миллионов.
Поможем подготовить документы для работы с персональными данными в 2026 году для организаций. Оставляйте заявку на сайте для бесплатной консультации