Документы по персональным данным в 2026 году: обязательный минимум для ИП и компаний

В 2026 году основа для оформления документов по обработке персональных данных остается неизменной — это закон от 27.07.2006 №152-ФЗ. Однако он применяется не изолированно, а в связке с рядом других нормативно-правовых актов:

1. Постановление Правительства от 01.11.2012 № 1119. Определяет уровни защищенности данных и предъявляет конкретные требования к защите в зависимости от типа информационной системы.

2. Приказ Роскомнадзора от 28.10.2022 № 180. Утверждает актуальные формы уведомлений для Роскомнадзора (о начале обработки, об изменении сведений, о прекращении).

3. Приказ Роскомнадзора от 24.02.2021 № 18. Содержит обязательные требования к содержанию согласия на обработку персональных данных, разрешенных субъектом для распространения.

4. Глава 14 Трудового кодекса. Регулирует специальный порядок обработки персональных данных сотрудников.

5. Рекомендации Роскомнадзора от 31.07.2017. Официальные разъяснения по составлению ключевого внутреннего документа — Политики оператора.

Корректное понимание и использование базовых терминов — основа для составления любых документов оператором персональных данных. Ошибка в трактовке понятия часто ведет к нарушению требований закона. Ориентируйтесь на определения из ст. 3 закона № 152-ФЗ:

1. Персональные данные (ПДн). Любая информация, прямо или косвенно относящаяся к физическому лицу (субъекту). Это не только ФИО или паспорт, но и, например, e-mail, cookie, история заказов — если по ним можно идентифицировать человека.

2. Оператор. Это организация или ИП, которые самостоятельно или совместно с другими определяют цели и состав обработки ПДн и совершают с ними действия. Именно оператор несет ответственность перед субъектами и надзорными органами.

3. Обработка персональных данных. Широкое понятие, включающее любое действие с ПДн: от сбора и записи до хранения, использования, передачи и уничтожения.

4. Распространение ПДн. Это раскрытие данных неограниченному кругу лиц (например, публикация в соцсети).

5. Предоставление ПДн. Передача данных конкретному лицу или кругу лиц (например, контрагенту по договору).

6. Трансграничная передача. Отправка ПДн за пределы РФ на территорию иностранного государства.

7. Обезличивание. Действия, после которых невозможно без дополнительной информации определить принадлежность данных конкретному субъекту. 

8. Информационная система персональных данных (ИСПДн). Совокупность баз данных и всех обеспечивающих их обработку технологий и технических средств (от сервера до CRM-системы).

9. Персональные данные, разрешенные субъектом для распространения, — это данные, на раскрытие которых неограниченному кругу лиц субъект дал отдельное, прямое согласие.

Это ваш основной документ по обработке персональных данных. Политика составляется в соответствии с рекомендациями Роскомнадзора от 31.07.2017. Ее нельзя просто скопировать у конкурента. Вы должны разработать документ с нуля, учитывая специфику своего бизнеса: какие цели обработки, какие данные, в каком объеме и какими способами и т.д.

Что указывается в Политике:

1. Общие положения. Определения (что вы понимаете под ПДн, обработкой), правовые основания, принципы обработки.

2. Цели сбора ПДн. Четкий список: например, исполнение договора с клиентом, трудоустройство, отправка рассылок (для каждой цели — свое основание).

3. Правовые основания обработки. Конкретные нормы закона, договор или согласие субъекта, на которые вы опираетесь для каждой цели (ст. 6 ФЗ № 152-ФЗ).

4. Состав обрабатываемых ПДн и категории субъектов. Подробное описание: какие данные вы берете у клиентов (ФИО, телефон), у соискателей (резюме), у сотрудников (паспорт, ИНН). Объем данных должен строго соответствовать заявленным целям и категориям ПДн.

5. Порядок и условия обработки. Как данные собираются, хранятся (сроки, носители), защищаются, кому и на каком основании передаются.

6. Права субъекта ПДн и порядок их реализации. Как человек может отозвать согласие, уточнить или удалить свои данные — ваш регламент действий на эти случаи.

7. Меры по защите данных. Общее описание принятых вами организационных и технических мер (с отсылкой к внутренним регламентам).

Составить Политику и опубликовать ее на сайте нужно до начала обработки ПДн. Поскольку единого шаблона нет, а ошибки влекут риски проверок и штрафов, для разработки лучше привлечь профильных юристов. 

Согласие субъекта — это один из ключевых документов при обработке персональных данных. У вас должны быть шаблоны нескольких видов согласий:

Подготовка документов для работы с персональными данными 2026 для организаций

Консультация

Это документы по персональным данным, которые устанавливают конкретные процедуры и распределяют ответственность внутри вашей компании. Они не публикуются для клиентов, но сотрудники обязательно должны их исполнять.

Основные положения, которые следует разработать:

1. Положение об обработке и защите персональных данных. Это внутренний регламент, детализирующий Политику. В нем прописываются технические и организационные меры защиты, порядок доступа сотрудников к данным, процедуры реагирования на инциденты.

2. Положение об ответственности работников. Закрепляет обязанность сотрудников соблюдать конфиденциальность и правила работы с персональными данными. Документ служит основанием для привлечения к дисциплинарной ответственности в случае нарушений.

3. Положение о порядке уничтожения персональных данных. Устанавливает четкий регламент: в какие сроки, каким методом и на каком основании данные должны быть удалены или обезличены. 

4. Положение о комиссии по защите ПДн. Документ определяет состав, полномочия и порядок работы комиссии, ответственной за внедрение и контроль мер защиты.

Для работы с ПДн нужна внутренняя дисциплина в компании. Ее основу формируют приказы руководителя — обязательные к исполнению распорядительные документы по обработке персональных данных в 2026 году. Их наличие доказывает, что вы не просто декларируете соблюдение закона, а выстроили конкретные организационные процедуры.

Ключевые приказы, которые должны быть у оператора:

1. Об ответственных лицах. Это базовый приказ. Он назначает сотрудника, отвечающего за организацию обработки ПДн, и, отдельно, — за обеспечение их безопасности в информационных системах.

2. Об утверждении перечней. Сюда входят два важнейших документа:

• перечень лиц, допущенных к обработке ПДн (конкретные должности);

• перечень информационных систем, в которых эти данные обрабатываются.

3. О мерах безопасности. Это группа приказов, регламентирующих практическую защиту:

• об утверждении мест хранения материальных носителей (шкафы, архивы);

• о создании комиссии по уничтожению ПДн;

• о проведении оценки потенциального вреда субъектам ПДн в случае нарушения;

• об утверждении форм документов по персональным данным. Этим приказом руководитель официально вводит в действие все шаблоны: согласий, уведомлений, журналов учета и иных внутренних форм.

В спорной ситуации именно журналы станут вашим главным доказательством соблюдения процедур, как перед контролирующими органами, так и в диалоге с субъектами.

Основные журналы, которые рекомендуется вести:

1. Журнал учета обращений субъектов ПДн. Фиксирует все запросы от граждан на доступ, уточнение, блокировку или уничтожение их данных. Доказывает, что вы своевременно и законно реагировали на требования.

2. Журнал инструктажа и ознакомления работников. Подтверждает, что каждый сотрудник, имеющий доступ к данным, был проинструктирован о правилах их обработки и защиты, а также ознакомлен с Политикой оператора и положениями под подпись.

3. Журнал учета машинных носителей. Регистрирует движение флеш-накопителей, жестких дисков и иных носителей, содержащих ПДн, что необходимо для контроля их целостности и предотвращения утечек.

4. Журнал учета мероприятий по контролю. Фиксирует проведение внутренних проверок (аудитов) системы защиты ПДн, что свидетельствует о постоянном мониторинге ее эффективности.

Эти журналы должны быть правильно оформлены (прошнурованы, пронумерованы, подписаны ответственным лицом) и храниться в закрытом помещении с ограниченным доступом.

Этот документ по персональным данным направляется в Роскомнадзор для включения вашей компании в реестр операторов. Его должны подавать большинство организаций и ИП, а копию оставлять у себя на хранении.

Правило простое: если вы обрабатываете данные с использованием средств автоматизации (любая CRM-система, электронная почта, сайт с формой заявки, бухгалтерская программа), вы должны уведомить регулятора. Если же обрабатываете ПДн исключительно на бумажных носителях без их последующего внесения в электронные базы, регистрироваться в реестре не нужно, но такие случаи в 2026 году крайне редки.

Основной и самый удобный способ подачи уведомления — через официальный сайт Роскомнадзора:

1. Вы заполняете электронную форму, указывая полные сведения об операторе, целях, категориях обрабатываемых данных, правовых основаниях и принимаемых мерах безопасности.

2. Документ подписывается усиленной квалифицированной электронной подписью руководителя (через плагин КриптоПро или портал Госуслуг).

Альтернативный способ — направить заполненную и подписанную на бумаге форму в территориальный орган Роскомнадзора заказным письмом или передать лично.

Если какие-либо сведения изменяются (например, добавилась новая цель обработки или информационная система), вы обязаны подать уведомление об изменении сведений до 15 числа месяца, следующего за месяцем, когда произошли корректировки. 

Ваши документы по персональным данным — это живая система. Они должны точно отражать текущую работу с ПДн. Любое изменение в бизнес-процессах, связанных с ПДн, требует своевременного обновления документации.

Например, документы обновлять нужно, если вы:

1. Начали делать то, чего не делали раньше: запустили e-mail рассылку, стали звонить для опросов, внедрили программу лояльности.

2. Стали собирать новые данные: для заказа теперь нужен не только телефон, но и адрес для доставки или дата рождения для скидки.

3. Поменяли «инструменты»: переехали в новую CRM-систему, начали использовать облачный архив или подключили онлайн-чат.

4. Дали доступ новым людям: данные клиентов теперь нужны не только менеджерам по продажам, но и отделу аналитики.

Подготовка документов для работы с персональными данными 2026 для организаций

Консультация

Отсутствие правильно оформленных документов по персональным данным в организации — это прямая причина нарушений, которые ведут к существенным штрафам. Однако Роскомнадзор чаще всего штрафует не за отсутствие самого документа, а за последствия, которые возникли из-за того, что порядок не был установлен и соблюден. Штрафы есть только за работу с ПДн и неразмещение Политики обработки.

Рассмотрим штрафы для юрлиц и ИП более детально:

Грамотно разработанные документы по персональным данным — это не трата денег, а реальная защита вашего бизнеса. Отдав эту работу юристам, вы платите не за кучу бумажек, а за готовую, «заточенную» именно под вашу компанию систему. Эта система не будет пылиться на полке — она будет ежедневно работать на то, чтобы у регуляторов и клиентов не было к вам вопросов, а у вас — повода для штрафов.

Важно! Мы разработали сервис «Мобиз» для бесплатной проверки контрагентов!

• Выгружайте отчеты.

• Добавляйте списки контрагентов.

• Проявляйте должную осмотрительность.

• Эти и другие возможности Мобиз доступны бесплатно!

Попробовать бесплатно

Реклама: АО «КОНСАЛТИНГ ОНЛАЙН», ИНН: 2310203967, erid: 2W5zFJxWU89