Комплект документов по 152-ФЗ

То, что Роскомнадзор спрашивает первым при любой проверке - от дистанционного мониторинга сайта до выездной.

• Политика обработки персональных данных ч. 2 ст. 18.1 152-ФЗ

  Обязана быть опубликована на сайте в открытом доступе. Её отсутствие - самое частое нарушение и первое, что видит проверяющий.

• Уведомление в Роскомнадзор об обработке ПД ст. 22 152-ФЗ

  Подаётся до начала обработки. С 30.05.2025 уведомлять обязаны практически все, кто собирает данные через сайт - включая форму обратной связи.

• Приказ о назначении ответственного за организацию обработки ПД ч. 1 ст. 18.1, ст. 22.1 152-ФЗ

  У оператора-юрлица обязан быть назначенный ответственный. Без приказа считается, что мера не выполнена.

• Согласие на обработку персональных данных ст. 9 152-ФЗ

  Основание для обработки там, где нет договора или требования закона: рассылки, аналитика, публикация фото.

• Положение об обработке персональных данных п. 1 ч. 1 ст. 18.1 152-ФЗ

  Внутренний документ, который описывает реальные процессы: кто, что и на каком основании обрабатывает.

• Инструкция по работе с ПД в ИСПДн ПП РФ № 1119

  Правила для сотрудников, работающих в CRM, 1С, почте. По ней же проводится инструктаж.

• Акт об уничтожении персональных данных ч. 4 ст. 21 152-ФЗ, Приказ РКН № 179

  Подтверждает, что данные удалены в срок. Без акта факт уничтожения доказать нечем.

• План мероприятий по защите персональных данных ч. 1 ст. 18.1 152-ФЗ

  Показывает, что защита - система, а не разовое действие. Проверяется вместе с моделью угроз.

Блок, вокруг которого в 2026 году больше всего вопросов: баннер cookie, трансграничная передача, уведомления регулятору.

• Уведомление об использовании cookie ст. 9 152-ФЗ, рекомендации РКН

  Текст для баннера и отдельной страницы: категории cookie, цели, сроки, порядок отказа. Именно этого не хватает большинству сайтов.

• Уведомление в РКН об обработке ПД (расширенная форма) ст. 22 152-ФЗ

  Заполненная форма со всеми полями реестра операторов - остаётся перенести в личный кабинет РКН.

• Уведомление о трансграничной передаче ПД ст. 12 152-ФЗ

  Нужно, если вы используете зарубежные сервисы: аналитику, CDN, почтовые рассылки, хостинг.

Документы, которые описывают, какие данные у вас есть и где они лежат. Их запрашивают первым делом при проверке.

• Положение об обработке ПД работников гл. 14 ТК РФ, 152-ФЗ

  Отдельный режим для кадровых данных: они шире клиентских и защищаются строже.

• Положение об обработке ПД клиентов ст. 18.1 152-ФЗ

  Регламент по данным покупателей и пользователей сайта.

• Перечень ИСПДн оператора ПП РФ № 1119

  Список всех систем, где лежат данные: сайт, CRM, 1С, почта, облако.

• Перечень обрабатываемых персональных данных ч. 5 ст. 5 152-ФЗ

  Что именно вы собираете - по каждой категории субъектов. Основа для принципа минимизации.

Модель угроз, уровень защищённости, классификация. Самый «тяжёлый» блок, который дороже всего заказывать отдельно.

• Политика информационной безопасности ч. 2 ст. 19 152-ФЗ

  Верхнеуровневый документ, на который ссылаются все остальные меры защиты.

• Правила внутреннего контроля и аудита ПД п. 4 ч. 1 ст. 18.1 152-ФЗ

  Оператор обязан сам проверять себя. Правила задают периодичность и порядок.

• Модель угроз безопасности ИСПДн ч. 1 ст. 19 152-ФЗ, методика ФСТЭК

  Обязательный документ: без него нельзя определить уровень защищённости и подобрать меры.

• Акт определения уровня защищённости ПДн ПП РФ № 1119

  Фиксирует УЗ-1…УЗ-4 - от этого зависит весь набор технических требований.

• Акт классификации ИСПДн Приказ ФСТЭК № 21

  Классифицирует систему по типу данных и числу субъектов.

• Техническое задание на СЗПДн Приказ ФСТЭК № 21

  Что именно закупается и внедряется для защиты - основание для расходов и для подрядчика.

• Акт оценки эффективности мер защиты ПДн п. 4 ч. 2 ст. 19 152-ФЗ

  Оценка эффективности обязательна не реже раза в 3 года.

• Инструкция по эксплуатации СЗПДн Приказ ФСТЭК № 21

  Как пользоваться средствами защиты - для администратора и пользователей.

Формы, которые подписывают люди: сотрудники, клиенты, родители несовершеннолетних.

• Обязательство о неразглашении ПДн ч. 1 ст. 18.1 152-ФЗ

  Подписывает каждый сотрудник с доступом к данным. Без него ответственность работника не зафиксирована.

• Согласие работника на обработку ПД ст. 86-88 ТК РФ

  Кадровые данные сверх минимума требуют отдельного согласия.

• Согласие на передачу ПД третьим лицам ч. 3 ст. 6 152-ФЗ

  Нужно, если данные уходят в курьерскую службу, бухгалтерию на аутсорсе, партнёрам.

• Согласие на обработку ПД несовершеннолетнего ч. 1 ст. 9 152-ФЗ

  Даёт законный представитель. Обязательно для школ, секций, детских товаров и услуг.

Пошаговые процедуры на случай запроса субъекта, проверки регулятора или утечки. Именно они спасают, когда «уже случилось».

• Журнал ознакомления сотрудников с ПДн ч. 1 ст. 18.1 152-ФЗ

  Доказательство, что людей ознакомили с правилами под подпись.

• Регламент доступа субъекта к своим ПД ст. 14 152-ФЗ

  Человек вправе узнать, что вы о нём храните. Ответ - в течение 10 рабочих дней.

• Регламент рассмотрения запросов субъектов ст. 20 152-ФЗ

  Кто принимает запрос, кто готовит ответ, в какие сроки. Без регламента сроки срываются.

• Регламент уточнения, блокирования и уничтожения ПД ст. 21 152-ФЗ

  Процедура на случай, если данные неточные или основание обработки отпало.

• Регламент расследования инцидентов с ПД ч. 3.1 ст. 21 152-ФЗ

  Что делать в первые часы после инцидента, кто отвечает, как фиксировать.

• Регламент взаимодействия с регуляторами ст. 23 152-ФЗ

  Порядок ответа на запрос РКН, ФСТЭК, ФСБ и прокуратуры - с шаблонами писем.

• Регламент уведомления РКН об утечке (24/72 часа) ч. 3.1 ст. 21 152-ФЗ

  На уведомление даётся 24 часа с момента обнаружения и 72 часа на результаты расследования. Пропуск срока - отдельный состав.

• Регламент работы с обращениями граждан ст. 20 152-ФЗ

  Единый порядок для жалоб, отзывов согласия и претензий.

• Инструкция по обработке ПД без средств автоматизации ПП РФ № 687

  Бумажные анкеты, журналы, договоры - отдельный режим со своими правилами хранения.

• Инструкция по уничтожению ПД и носителей ст. 21 152-ФЗ, Приказ РКН № 179

  Как физически уничтожать документы и носители, кто входит в комиссию.

Если данные обрабатывает кто-то за вас - подрядчик, облако, колл-центр, - это нужно оформить письменно.

• Договор-поручение на обработку ПД ч. 3 ст. 6 152-ФЗ

  Обязателен при передаче обработки подрядчику. Ответственность перед субъектом всё равно остаётся на вас.

• Соглашение о трансграничной передаче ПД ст. 12 152-ФЗ

  Для зарубежных сервисов и площадок - вместе с уведомлением в РКН.

• Типовые условия договора об обработке ПД ч. 3 ст. 6 152-ФЗ

  Готовый блок, который вставляется в любой ваш договор с контрагентом.

Готовые бланки, которые вы выдаёте человеку - вместо переписки в свободной форме.

• Форма запроса информации о ПД ст. 14 152-ФЗ

  Человек просит показать, какие данные вы о нём храните.

• Форма запроса на уточнение ПД ч. 1 ст. 20 152-ФЗ

  Исправление неточных или устаревших данных.

• Форма запроса на блокирование ПД ст. 21 152-ФЗ

  Приостановка обработки на время спора или проверки.

• Форма запроса на уничтожение ПД ч. 3 ст. 21 152-ФЗ

  Требование удалить данные, когда основание обработки отпало.

• Отзыв согласия на обработку ПД ч. 2 ст. 9 152-ФЗ

  Ключевая форма: после отзыва вы обязаны прекратить обработку в 30 дней.

Шесть журналов, которые превращают разрозненные действия в доказуемую систему. Проверяющий смотрит именно на них.

• Журнал учёта носителей информации с ПД ПП РФ № 1119

  Флешки, диски, бумажные дела - всё, на чём есть данные.

• Журнал учёта обращений субъектов ПД ст. 20 152-ФЗ

  Доказывает, что вы отвечали людям и укладывались в сроки.

• Журнал учёта инцидентов безопасности ПД ч. 3.1 ст. 21 152-ФЗ

  Даже «мелкие» инциденты нужно фиксировать - это подтверждает работающий контроль.

• Журнал уничтожения ПД Приказ РКН № 179

  Связка с актами уничтожения: что, когда и на каком основании удалено.

• Журнал проверок и аудитов ПД п. 4 ч. 1 ст. 18.1 152-ФЗ

  Внутренний контроль обязателен - журнал показывает, что он реально проводится.

• Акт уничтожения ПД (типовая форма) ч. 4 ст. 21 152-ФЗ

  Универсальный бланк для комиссии по уничтожению.

Организационная часть: кто за что отвечает и чем это подтверждено.

• Приказ об утверждении перечня ИСПДн ПП РФ № 1119

  Придаёт перечню юридическую силу внутри организации.

• Приказ об утверждении Модели угроз Приказ ФСТЭК № 21

  Модель угроз без утверждения приказом - черновик.

• Приказ о допуске работников к обработке ПД ч. 1 ст. 18.1 152-ФЗ

  Поимённый список тех, кому доступ разрешён. Все остальные доступа иметь не должны.

• Должностная инструкция ответственного за ПД ст. 22.1 152-ФЗ

  Конкретизирует обязанности назначенного сотрудника.

Две пошаговые методички, чтобы комплект не остался лежать в папке.

• Инструкция по применению комплекта практика

  Что подписать сегодня, что опубликовать на сайте, что положить в кадры - по шагам и в правильном порядке.

• Инструкция по подаче уведомления в РКН ст. 22 152-ФЗ

  Скриншотный порядок подачи через портал: какие поля заполнять и какие ошибки приводят к возврату.