Материал актуален на 9 октября 2026 года. Федеральный закон от 27 июля 2006 года № 152-ФЗ «О персональных данных» проверен в редакции от 26 июля 2026 года. Разбираем организацию комплекта в обычной коммерческой компании; специальные категории данных, биометрия и отраслевые системы требуют дополнительной проверки. Перечень ниже — способ связать обязанности и доказательства их исполнения, а не одинаковый набор для любого оператора.
Начните с инвентаризации процессов и систем
До подготовки документов опишите процессы, в которых участвуют сведения об определяемых физических лицах. У кадровой службы это приём кандидатов, трудовые отношения, расчёты и архив. У продаж — обращения, заключение договоров, обслуживание и отдельные рекламные действия. У бухгалтерии, ИТ-службы и службы безопасности будут свои задачи, системы и получатели.
Для каждого процесса зафиксируйте юридическое лицо, деловую цель, категории людей и данных, источник, действия, системы, доступы, получателей и порядок завершения хранения. Не ограничивайтесь названием программы. Одна CRM может поддерживать несколько процессов с разными основаниями, а один процесс — использовать сайт, почту, таблицы и резервные копии.
Проверяйте фактический маршрут. Сотрудник может выгружать клиентскую базу в личную таблицу, хотя регламент называет только корпоративную систему. Подрядчик может получать весь массив вместо отдельных записей. Такие разрывы невозможно исправить добавлением ещё одного приказа: сначала определяют допустимую модель работы, затем отражают её в документах и настройках.
Назначьте владельца сведений о каждом процессе. Юрист проверяет правовые основания, но руководитель подразделения подтверждает реальные действия. ИТ-служба уточняет размещение систем и доступы. Без этого автор документа будет вынужден угадывать технические детали, а подписавший приказ руководитель — принимать непроверенное описание за действующее.
Результат инвентаризации — реестр процессов. Он служит исходными данными для политики, локальных актов, согласий, поручений подрядчикам и уведомления Роскомнадзора. Само название «реестр процессов» не установлено как обязательная форма для всех компаний; полезность документа состоит в том, что его сведения можно сопоставить с остальным комплектом.
Политика и локальные акты выполняют разные задачи
Статья 18.1 предусматривает меры по организации обработки. Для юридического лица к ним относятся назначение ответственного, политика, локальные акты, внутренний контроль, оценка возможного вреда и ознакомление работников. Объём и содержание мер связывают с деятельностью оператора, а не с количеством сотрудников или страниц документа.
Публичная политика объясняет подход компании к обработке: цели, основания, категории данных и людей, порядок действий, хранение, уничтожение и реализацию прав. По каждой цели должны быть согласованы соответствующие сведения. Если данные собираются через сайт, доступ к политике обеспечивают в том числе на страницах, где происходит сбор.
Локальные акты переводят этот подход в работу сотрудников. Они определяют, кто выдаёт доступ, кто принимает обращения людей, кто проверяет основание передачи, как согласуют новый сервис и как выполняют уничтожение. Документ с формулировкой «соблюдать законодательство» не даёт исполнителю ответа, какой шаг сделать в конкретной ситуации.
Отдельно проверьте документ о назначении ответственного за организацию обработки. Он должен соответствовать внутренним полномочиям и системе контроля. Если ответственный может только хранить папку, но не получать сведения о новых формах и подрядчиках, формальное назначение не обеспечивает управление процессами.
Не смешивайте организацию обработки и техническое администрирование. Специалист, который выдаёт учётные записи, не обязательно определяет правовое основание обработки. Юрист, который готовит согласие, не обязательно имеет полномочия изменять систему. Документы должны показывать взаимодействие этих функций и порядок обращения к руководителю при разногласиях.
Ознакомление работников также требует подтверждения. Проверьте, какие сотрудники должны знать конкретный порядок, как фиксируется ознакомление и кто отвечает за повторное ознакомление после изменений. Подписанный лист к старой версии не объясняет, почему новая процедура должна считаться доведённой до исполнителей.
Основания обработки, согласия и поручения подрядчикам
Для каждого процесса определите основание по статье 6. Обработка может опираться на закон, применимый договор, согласие или другое предусмотренное основание. Поэтому перечень согласий нельзя составлять отдельно от реестра процессов: сначала устанавливают допустимость действий, затем выбирают документы, которые её подтверждают.
Если основанием служит согласие, проверьте его содержание, форму и доказательство получения. По статье 9 согласие оформляют отдельно от других подтверждаемых или подписываемых человеком информации и документов. Требование письменной формы зависит от соответствующего случая; паспортные реквизиты не следует автоматически добавлять в каждую форму обычного обращения.
Доказательство должно позволять восстановить, что именно подтвердил человек. Для электронной формы это может быть связанная запись действия, версия текста и дата её применения. Конкретный технический способ компания выбирает с учётом процесса. Текущая версия страницы сама по себе не подтверждает содержание согласия, полученного несколько месяцев назад.
Рекламные действия выделяйте отдельно. Для прямого продвижения товаров, работ и услуг с помощью средств связи статья 15 предусматривает предварительное согласие и обязанность немедленно прекратить такую обработку по требованию человека. Общее согласие на работу с заявкой не следует автоматически считать разрешением на любую последующую рекламную рассылку.
Если подрядчику поручают обработку, условия договора проверяют по части 3 статьи 6. В поручении определяют данные, действия, цели и необходимые обязанности исполнителя, включая конфиденциальность и безопасность. К договору полезно связать описание систем, каналов передачи и допуска работников подрядчика, чтобы договорное ограничение можно было проверить технически.
Передача другому самостоятельному оператору требует отдельной оценки. Стороны не могут сделать получателя обработчиком только названием пункта договора, если он использует сведения для собственных целей. Для кадровых данных дополнительно учитывают требования Трудового кодекса; единого пункта о конфиденциальности для всех ситуаций недостаточно.
Уведомление, безопасность и подтверждение действий
Общее правило статьи 22 — уведомление Роскомнадзора до начала обработки. Компания проверяет применимые исключения, готовит сведения по целям и сохраняет подтверждение направления. Запись в реестре операторов не заменяет остальные документы и не подтверждает автоматически законность каждого действия с данными.
Сведения уведомления сопоставляйте с действующими процессами. Новая цель, изменение ответственного или системы могут повлиять на поданные сведения. Поэтому к комплекту полезно включить копию направленного уведомления, подтверждение подачи и реестр изменений, по которому видно, какая версия сведений сейчас должна действовать.
Статья 19 требует правовых, организационных и технических мер безопасности. Документы по доступам, угрозам, восстановлению и контролю связывают с фактической системой. Разовая покупка средства защиты не отменяет необходимость проверить роли пользователей, действия подрядчика и хранение резервных копий.
Не все журналы из чужого шаблона обязательны для каждого оператора в одинаковом виде. Для каждой формы учёта укажите, какую обязанность или процедуру она подтверждает. Если журнал нужен для выдачи доступов, записи должны сопоставляться с действующими учётными записями. Если он предназначен для обращений людей, должны быть видны решение и результат исполнения.
Отдельно определите документы завершения обработки. По статье 21 сроки и действия зависят от основания прекращения и возможности дальнейшей законной обработки. Нельзя назначать одно правило «удалить всё немедленно» для отзыва согласия, обязательного архива и требования о прекращении рекламного использования.
Доступ к самим доказательствам тоже ограничивайте. Реестр обращений или подтверждений согласия может содержать персональные данные. Для контроля часто достаточно номера процесса, версии документа и статуса исполнения; дополнительные сведения о человеке включают только при установленной необходимости.
Реестр документов и ответственных
Рабочий реестр связывает документ с процессом, владельцем и способом проверки. Он помогает увидеть, что нужно подготовить, что уже действует и что должно измениться вместе с новой системой. Включайте в него действующую версию и место хранения, чтобы сотрудники не выбирали подходящий файл по дате последнего скачивания.
| Элемент комплекта | Что описывает | Кто подтверждает исполнение |
|---|---|---|
| Реестр процессов | Цели, данные, системы и получателей | Владельцы процессов и ИТ-служба |
| Политика | Подход оператора и сведения по целям | Ответственный и юридическая служба |
| Локальные порядки | Действия сотрудников и распределение функций | Руководители соответствующих подразделений |
| Основания и согласия | Допустимость конкретной обработки | Владелец процесса и юрист |
| Поручения подрядчикам | Разрешённые данные, действия и обязанности | Заказчик услуги и контролирующая функция |
| Уведомление РКН | Сведения, направленные регулятору | Ответственный за подготовку и обновление |
| Документы безопасности | Меры для действующих систем | ИТ-служба и ответственные за защиту |
| Подтверждения исполнения | Доступы, обращения, уничтожение и изменения | Исполнители установленных процедур |
Не назначайте одного сотрудника ответственным за все строки только ради удобной таблицы. За содержание договора, настройки системы и выполнение кадровой процедуры могут отвечать разные люди. В реестре нужно видеть, кто принимает решение, кто его выполняет и кто подтверждает результат.
Как проверить комплект на противоречия
Возьмите один процесс и прочитайте все связанные документы как единое описание. Сравните его цель в реестре, политике, согласии и уведомлении; затем сопоставьте категории данных, получателей, действия и сроки. Законное различие общего охвата политики и отдельного согласия допустимо. Противоречие возникает, когда один и тот же процесс описан несовместимым образом.
После документальной сверки проверьте исполнение. Выдаётся ли доступ в установленном порядке? Получает ли подрядчик только разрешённые сведения? Находят ли сотрудники нужную версию согласия? Можно ли подтвердить результат обращения человека? Именно эти вопросы превращают комплект в работающую систему.
Изменения вводите согласованно. Если подразделение запускает новый процесс, сначала уточняют основание и данные, затем обновляют связанные документы и сведения, настраивают систему и доводят порядок до исполнителей. Раздельное обновление файлов в течение нескольких месяцев создаёт период, когда компания работает по нескольким несовместимым версиям.
Для общего маршрута проверки используйте материал о требованиях 152-ФЗ. Отдельные разборы посвящены согласию и политике сайта. На странице аудита и документов по 152-ФЗ можно определить состав проверки для действующих процессов компании.
Вопросы и ответы
Есть ли универсальный комплект документов для всех компаний?
Обязанности определяют по закону и реальной обработке. Типовые формы могут служить заготовкой, но их состав и содержание проверяют по целям, данным, системам, людям и получателям конкретного оператора.
Достаточно ли политики и согласия на сайте?
Нет. Эти документы относятся к части обработки. Компания также проверяет внутренние процедуры, основания других процессов, уведомление, поручения подрядчикам, безопасность и исполнение прав людей.
Нужно ли получать согласие каждого работника на все кадровые действия?
Сначала определяют законное основание соответствующей обработки и специальные требования трудового законодательства. Согласие не заменяет обязательные правила работы работодателя и не требуется автоматически для любой операции.
Все ли журналы из шаблонного комплекта обязательны?
Универсального требования вести любой журнал из чужой папки нет. Для формы учёта определяют применимую обязанность, назначение и способ подтверждения исполнения. Отсутствие конкретного названия журнала не отменяет самой обязанности.
Когда пересматривать комплект?
При изменении целей, данных, систем, получателей, ответственных или применимых правил. Регулярная внутренняя сверка полезна дополнительно, но не заменяет проверку нового процесса до запуска.
Источники
152-ФЗ: действующая редакция закона.
Статья 9: форма согласия и подтверждение основания.
Статья 15: прямое продвижение с помощью средств связи.
Статья 18.1: политика, локальные акты и организационные меры.
Статья 19: обеспечение безопасности.