152-ФЗ: пакет документов по персональным данным

Каждый предприниматель, у которого есть хотя бы один сотрудник, клиентская база или форма обратной связи на сайте, уже является оператором персональных данных. Это не абстрактный правовой статус — это конкретные обязанности, за невыполнение которых Роскомнадзор штрафует реальными суммами. С 2024 года санкции за нарушение Федерального закона № 152-ФЗ «О персональных данных» выросли в разы, а проверки стали системными. Малый бизнес и ИП попадают под удар чаще всего — именно потому, что считают эту тему «не про них».

Проблема не в незнании закона. Проблема в том, что большинство предпринимателей не понимают, какие именно документы нужно подготовить, как их правильно оформить и где хранить. Один пропущенный пункт — и штраф. Одна устаревшая форма согласия — и предписание Роскомнадзора. Один недовольный сотрудник, подавший жалобу — и внеплановая проверка с полным аудитом документооборота.

В этой статье — полный разбор пакета документов по ПДн, который обязан иметь каждый работодатель. Без воды и абстракций: конкретный перечень, структура, сроки, штрафы и практические рекомендации по внедрению.

Кто обязан соблюдать 152-ФЗ и почему это касается каждого работодателя

Распространённое заблуждение: «152-ФЗ — это про IT-компании и банки, а я просто нанял двух продавцов». В реальности оператором персональных данных признаётся любое лицо, которое организует и осуществляет обработку персональных данных, а также определяет цели этой обработки и состав данных. Это прямо указано в ст. 3 Федерального закона № 152-ФЗ.

Что считается персональными данными в контексте трудовых отношений:

• ФИО, дата и место рождения сотрудника
• Паспортные данные, ИНН, СНИЛС
• Адрес регистрации и фактического проживания
• Сведения об образовании и квалификации
• Данные о состоянии здоровья (медосмотры, больничные листы)
• Информация о семейном положении и составе семьи
• Банковские реквизиты для перечисления заработной платы
• Фотографии сотрудников

📎 Ст. 86 ТК РФ: устанавливает общие требования к обработке персональных данных работника и гарантии их защиты. Работодатель обязан получать персональные данные непосредственно у работника, а при необходимости получения их у третьей стороны — уведомить работника заблаговременно и получить его письменное согласие.

Даже если в штате один человек, вы уже обрабатываете его ПДн — при оформлении трудового договора, при подаче отчётности в ФНС и СФР, при ведении личного дела. Следовательно, полный пакет документов по персональным данным обязан быть у каждого ИП и каждой организации, где есть наёмные работники.

Это же относится к обработке данных клиентов: если вы собираете номера телефонов для доставки, ведёте CRM с контактами или принимаете заявки через сайт — всё это обработка ПДн.

⚠️ Важно: незнание закона не освобождает от ответственности. Роскомнадзор вправе проводить проверки без предварительного уведомления при поступлении жалобы от субъекта персональных данных — вашего сотрудника, клиента или контрагента.

Полный перечень документов по ПДн для работодателя

Пакет документов по 152-ФЗ — это не один приказ и не одна политика. Это комплексная система локальных нормативных актов, организационных и технических мер. Ниже — перечень, без которого работодатель не выдержит ни одну проверку.

Обязательные документы

1. Политика в отношении обработки персональных данных — публичный документ, который должен быть размещён в общем доступе (на сайте, на информационном стенде). Описывает цели, правовые основания, категории субъектов и данных, сроки хранения, порядок уничтожения.

2. Положение об обработке и защите персональных данных — внутренний локальный нормативный акт. Детализирует процедуры обработки ПДн внутри организации: кто имеет доступ, как передаются данные, какие меры защиты применяются.

3. Приказ о назначении ответственного за организацию обработки персональных данных — обязательный документ согласно ст. 22.1 закона 152-ФЗ. В малом бизнесе ответственным обычно назначается руководитель или главный бухгалтер.

4. Согласие работника на обработку персональных данных — письменная форма, подписываемая каждым сотрудником при приёме на работу. Должна соответствовать требованиям ст. 9 закона 152-ФЗ и содержать все обязательные реквизиты.

5. Согласие на обработку специальных категорий ПДн — отдельный документ, если работодатель обрабатывает данные о здоровье (медосмотры, больничные), расовой принадлежности, политических взглядах, религиозных убеждениях.

6. Уведомление Роскомнадзора о намерении осуществлять обработку персональных данных — подаётся до начала обработки через портал Роскомнадзора. Есть исключения (ст. 22 закона 152-ФЗ), но для большинства работодателей уведомление обязательно.

7. Перечень лиц, допущенных к обработке персональных данных — документ, определяющий, какие сотрудники и к каким категориям данных имеют доступ.

8. Обязательство о неразглашении — подписывается каждым сотрудником, имеющим доступ к ПДн других работников или клиентов.

9. Журнал учёта обращений субъектов персональных данных — фиксирует запросы от сотрудников и третьих лиц на предоставление информации об обработке их данных.

10. Акты об уничтожении персональных данных — составляются при прекращении целей обработки (увольнение сотрудника, завершение договорных отношений с клиентом).

Дополнительные документы (в зависимости от специфики)

• Модель угроз безопасности персональных данных — для организаций, обрабатывающих ПДн в информационных системах
• Положение о видеонаблюдении — если на территории работодателя установлены камеры
• Согласие на передачу ПДн третьим лицам — при передаче данных бухгалтерской компании, банку, страховой организации
• Порядок реагирования на инциденты — план действий при утечке данных (с 2023 года оператор обязан уведомить Роскомнадзор об утечке в течение 24 часов)

📋 Пример: ИП с тремя сотрудниками в розничном магазине обязан иметь минимум 8-10 документов по защите ПДн. При проверке Роскомнадзора инспектор запрашивает политику обработки, согласия работников, приказ о назначении ответственного и подтверждение уведомления. Отсутствие любого из них — основание для составления протокола.

Штрафы за нарушение 152-ФЗ: актуальные суммы на 2024-2025 год

С декабря 2023 года и особенно после принятия поправок в КоАП РФ в 2024 году размеры штрафов за нарушения в сфере обработки персональных данных значительно увеличились. Это больше не «формальные» санкции, а реальный финансовый удар для малого бизнеса.

Основные составы правонарушений (ст. 13.11 КоАП РФ)

Нарушение	Штраф для ИП	Штраф для юрлиц
Обработка ПДн без письменного согласия субъекта	20 000 – 40 000 ₽	30 000 – 150 000 ₽
Невыполнение обязанности по опубликованию политики	10 000 – 20 000 ₽	30 000 – 60 000 ₽
Непредоставление субъекту информации об обработке его ПДн	10 000 – 15 000 ₽	40 000 – 80 000 ₽
Невыполнение требования об уничтожении ПДн	10 000 – 20 000 ₽	50 000 – 90 000 ₽
Неуведомление Роскомнадзора об утечке	50 000 – 100 000 ₽	100 000 – 300 000 ₽

⚠️ Важно: с 2024 года введены оборотные штрафы за повторные утечки персональных данных. Для юридических лиц сумма может составить от 1 до 3% годовой выручки, но не менее 20 000 000 ₽ и не более 500 000 000 ₽. Для малого бизнеса это может означать фактическое прекращение деятельности.

При этом штрафы суммируются. Если Роскомнадзор обнаружит одновременно отсутствие согласия, отсутствие политики и отсутствие уведомления — это три отдельных протокола и три отдельных штрафа.

Помимо административной ответственности существуют и другие последствия:

• Предписание об устранении нарушений с конкретным сроком — неисполнение влечёт дополнительный штраф
• Блокировка обработки ПДн — Роскомнадзор вправе потребовать прекращения обработки, что фактически парализует кадровый документооборот
• Судебные иски от субъектов ПДн — сотрудники и клиенты вправе требовать компенсацию морального вреда
• Уголовная ответственность по ст. 137 УК РФ — за незаконное собирание или распространение сведений о частной жизни (до 4 лет лишения свободы)

Как правильно оформить согласие на обработку персональных данных

Согласие на обработку ПДн — центральный документ всего пакета. Именно его отсутствие или неправильное оформление становится самым частым основанием для штрафов. Закон предъявляет к этому документу жёсткие формальные требования.

Обязательные реквизиты согласия (ст. 9 закона 152-ФЗ)

Согласие должно содержать:

1. ФИО, адрес субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе
2. Наименование или ФИО оператора, получающего согласие, его адрес
3. Цель обработки персональных данных — конкретная, а не абстрактная (не «для любых целей», а «для оформления и исполнения трудового договора, начисления заработной платы, подачи отчётности в государственные органы»)
4. Перечень персональных данных, на обработку которых даётся согласие — исчерпывающий список
5. Перечень действий с персональными данными — сбор, систематизация, хранение, уточнение, использование, передача, обезличивание, блокирование, уничтожение
6. Способ обработки — автоматизированная, неавтоматизированная, смешанная
7. Срок действия согласия и порядок его отзыва
8. Подпись субъекта персональных данных

📋 Пример: распространённая ошибка — использование формулировки «Даю согласие на обработку моих персональных данных» без указания конкретного перечня данных и целей обработки. Роскомнадзор признаёт такое согласие ненадлежащим. Результат — штраф как за обработку без согласия.

Отдельные согласия для разных целей

Нельзя использовать одно универсальное согласие на все случаи. Закон требует разделения по целям обработки:

• Согласие в рамках трудовых отношений — на обработку данных для оформления трудового договора, ведения кадрового учёта, начисления зарплаты
• Согласие на передачу третьим лицам — банку для перечисления зарплаты, страховой компании для ДМС, контрагенту для оформления пропуска
• Согласие на обработку биометрических данных — фотография для пропуска или личного дела (ст. 11 закона 152-ФЗ)
• Согласие на обработку специальных категорий — данные о здоровье при прохождении медосмотров

📎 Ст. 88 ТК РФ: работодатель не вправе сообщать персональные данные работника третьей стороне без письменного согласия работника, за исключением случаев, когда это необходимо для предупреждения угрозы жизни и здоровью работника, а также в случаях, установленных федеральным законом.

При этом для передачи данных в ФНС, СФР и иные государственные органы в рамках исполнения законодательных требований отдельное согласие работника не требуется — правовым основанием является сам закон.

Политика обработки ПДн: структура, содержание и типичные ошибки

Политика в отношении обработки персональных данных — документ, который должен быть в неограниченном доступе. Если у компании есть сайт, политика публикуется на нём. Если сайта нет — размещается на информационном стенде в офисе или торговой точке.

Что должна содержать политика

Требования к содержанию установлены ст. 18.1 закона 152-ФЗ и разъяснениями Роскомнадзора:

1. Общие положения — кто является оператором, правовые основания обработки
2. Цели обработки — исчерпывающий перечень целей с указанием категорий субъектов для каждой цели
3. Правовые основания обработки — ссылки на нормативные акты (Трудовой кодекс, Налоговый кодекс, закон 152-ФЗ, договорные отношения)
4. Категории субъектов и перечни данных — например: «Работники — ФИО, дата рождения, паспортные данные...»; «Клиенты — ФИО, номер телефона, адрес электронной почты...»
5. Порядок и условия обработки — автоматизированная и неавтоматизированная обработка, меры защиты
6. Сроки обработки и хранения — конкретные сроки для каждой категории данных
7. Порядок уничтожения — процедура и сроки уничтожения данных после достижения целей обработки
8. Трансграничная передача — если данные передаются за пределы РФ (например, при использовании зарубежных облачных сервисов)
9. Права субъектов — порядок обращения, сроки ответа (30 дней)
10. Контактные данные ответственного за организацию обработки ПДн

Типичные ошибки в политике

• Копирование шаблона без адаптации — политика содержит нерелевантные разделы или, наоборот, не отражает реальные процессы обработки данных в компании
• Отсутствие конкретных сроков хранения — формулировка «в течение необходимого срока» не соответствует требованиям закона
• Устаревшие ссылки на законодательство — шаблоны из интернета часто содержат ссылки на утратившие силу нормативные акты
• Несоответствие реальной практике — политика описывает одно, а компания делает другое

⚠️ Важно: скачанный из интернета шаблон политики — это не решение, а источник риска. Документ, не соответствующий фактической деятельности компании, при проверке будет расценён как формальное соблюдение требований, что не освобождает от ответственности. Более того, несоответствие между политикой и реальными процессами может стать отягчающим обстоятельством. Сервисы вроде Bejure формируют документы под конкретный вид деятельности — политика, согласия и приказы адаптируются к реальным бизнес-процессам, а не копируются из устаревших шаблонов.

Взаимосвязь 152-ФЗ и кадрового документооборота: что должен знать работодатель

Требования закона о персональных данных пронизывают весь кадровый документооборот. Каждый кадровый документ — от трудового договора до табеля учёта рабочего времени — содержит персональные данные и подчиняется двойному регулированию: нормам Трудового кодекса и нормам закона 152-ФЗ.

Личное дело сотрудника

Ведение личных дел не является обязательным для коммерческих организаций (в отличие от государственной службы), но если работодатель их ведёт — они должны храниться в условиях, обеспечивающих защиту от несанкционированного доступа.

📎 Ст. 87 ТК РФ: порядок хранения и использования персональных данных работников устанавливается работодателем с соблюдением требований Трудового кодекса и иных федеральных законов.

Практические требования к хранению:

• Личные дела хранятся в запирающихся шкафах или сейфах
• Доступ имеют только лица, включённые в перечень допущенных к обработке ПДн
• При увольнении сотрудника личное дело передаётся в архив и хранится в течение сроков, установленных Перечнем типовых архивных документов (75 лет для дел, законченных до 2003 года; 50 лет — для дел, законченных после 2003 года)

Трудовой договор и персональные данные

Трудовой договор сам по себе является документом, содержащим ПДн. Работодатель обязан обеспечить:

• Хранение экземпляров трудовых договоров в условиях, исключающих доступ посторонних
• Невозможность ознакомления одного сотрудника с трудовым договором другого без правовых оснований
• Учёт передачи копий трудовых договоров и связанных документов

Передача данных третьим лицам в рамках кадровых процессов

Ряд кадровых операций неизбежно связан с передачей ПДн работников:

• Бухгалтерской компании — для расчёта заработной платы и подачи отчётности
• Банку — для зарплатного проекта
• Страховой организации — для полиса ДМС или обязательного страхования
• Образовательным организациям — при направлении на повышение квалификации

Каждый случай передачи требует:

1. Наличия письменного согласия работника на передачу конкретным получателям
2. Заключения соглашения об обработке ПДн (поручение на обработку) с третьим лицом-получателем
3. Включения информации о передаче в политику обработки ПДн

📋 Пример: ИП пользуется услугами бухгалтера на аутсорсе. Бухгалтер получает ФИО, паспортные данные, ИНН и СНИЛС всех сотрудников для расчёта зарплаты. Без оформленного поручения на обработку и согласия работников — это незаконная передача ПДн третьему лицу. Штраф от 30 000 до 150 000 ₽ для юрлица.

Именно в этой точке кадровый документооборот и защита персональных данных пересекаются наиболее критично. Работодателю необходимо выстроить единую систему, где каждый кадровый документ учитывает требования 152-ФЗ. Платформа Bejure решает эту задачу комплексно: весь документооборот — от трудовых договоров до согласий на обработку ПДн — замкнут внутри защищённой системы, документы подписываются электронной подписью и хранятся в одном месте. При проверке Роскомнадзора или трудовой инспекции нужный документ можно предъявить за 30 секунд.

Пошаговая инструкция: внедрение пакета документов по ПДн с нуля

Если документов по защите персональных данных у вас до сих пор нет — не паникуйте, но действуйте незамедлительно. Ниже — алгоритм, адаптированный для малого бизнеса и ИП.

Шаг 1. Аудит обработки ПДн

Определите:

• Какие данные вы собираете и обрабатываете (сотрудников, клиентов, контрагентов)
• Для каких целей обрабатывается каждая категория данных
• Кто имеет доступ к данным внутри компании
• Кому передаются данные (бухгалтер, банк, курьерская служба, CRM-система)
• Где хранятся данные (бумажные папки, компьютер, облачный сервис)

Шаг 2. Подготовка комплекта документов

На основании аудита формируйте:

1. Политику обработки ПДн — с учётом реальных процессов
2. Положение об обработке и защите ПДн — внутренний регламент
3. Приказ о назначении ответственного
4. Формы согласий — отдельные для каждой цели
5. Перечень лиц, допущенных к обработке
6. Обязательства о неразглашении

Шаг 3. Подача уведомления в Роскомнадзор

Уведомление подаётся через портал pd.rkn.gov.ru в электронной форме. Срок рассмотрения — до 30 дней. После внесения в реестр операторов вы получаете регистрационный номер.

Проверьте, не подпадаете ли вы под исключения из обязанности уведомлять (ст. 22 закона 152-ФЗ). Исключения распространяются, например, на обработку данных исключительно в рамках трудовых отношений без передачи третьим лицам. Но на практике данные почти всегда передаются — банку, ФНС, СФР через бухгалтера — поэтому большинство работодателей обязаны уведомить.

Шаг 4. Ознакомление сотрудников

• Получите подписи на согласиях от всех действующих сотрудников
• Ознакомьте сотрудников с политикой и положением под подпись
• Подпишите обязательства о неразглашении с лицами, имеющими доступ к ПДн

⚠️ Важно: ознакомление должно быть оформлено документально. Устное ознакомление не имеет юридической силы. Используйте листы ознакомления или журналы с подписями и датами.

Шаг 5. Организация хранения и защиты

• Бумажные документы — в запирающихся шкафах, в помещениях с ограниченным доступом
• Электронные данные — защита паролями, разграничение прав доступа, антивирусное ПО
• Установите сроки хранения для каждой категории данных и соблюдайте их
• Ведите журнал учёта обращений субъектов ПДн

Шаг 6. Регулярный пересмотр

Пакет документов — не разовая работа. Обновляйте документы при:

• Изменениях в законодательстве
• Изменениях в бизнес-процессах (новая CRM, смена банка, привлечение новых подрядчиков)
• Расширении штата или изменении состава обрабатываемых данных
• Инцидентах безопасности

Штатный юрист обходится от 80 000 ₽ в месяц, но при этом не гарантирует актуальности всех документов — он тоже может пропустить изменения в законодательстве. Сторонний юрист на аутсорсе получает доступ к персональным данным ваших сотрудников и клиентов, при этом сам зачастую не несёт ответственности за утечку. Автоматизированные системы документооборота снимают обе эти проблемы: фиксированная стоимость, автоматическое обновление шаблонов и защищённый контур хранения данных.

Часто задаваемые вопросы

Нужен ли пакет документов по ПДн, если у ИП всего один сотрудник?

Да. Закон 152-ФЗ не устанавливает минимального порога по количеству субъектов персональных данных. Даже при одном сотруднике работодатель обрабатывает его ПДн — при оформлении трудового договора, передаче данных в ФНС и СФР, начислении заработной платы. Следовательно, он обязан иметь политику обработки, согласие работника, приказ о назначении ответственного и остальные документы из обязательного перечня. Размер штрафов одинаков вне зависимости от количества сотрудников.

Можно ли использовать бесплатные шаблоны согласий и политик из интернета?

Формально — да, закон не запрещает использовать шаблоны. Фактически — это один из главных источников проблем при проверках. Шаблоны из интернета, как правило, не учитывают специфику конкретной деятельности, содержат устаревшие формулировки или ссылки на утратившие силу нормативные акты. Согласие, в котором не указаны конкретные цели обработки или конкретный перечень данных, признаётся Роскомнадзором ненадлежащим. Рекомендуется использовать документы, адаптированные под ваш вид деятельности и актуальное законодательство.

Что делать, если сотрудник отказывается подписывать согласие на обработку ПДн?

В рамках трудовых отношений работодатель обрабатывает часть данных на основании Трудового кодекса РФ (ст. 86), а не на основании согласия — это отдельное правовое основание. Отказ сотрудника подписать согласие не лишает работодателя права обрабатывать данные, необходимые для исполнения трудового договора и выполнения законодательных требований (отчётность в ФНС, СФР). Однако для передачи данных третьим лицам, не предусмотренной законом (например, для оформления ДМС или корпоративных скидок), согласие обязательно, и без него работодатель не вправе осуществлять такую передачу.

Как часто Роскомнадзор проверяет малый бизнес?

Плановые проверки Роскомнадзора проводятся в соответствии с ежегодным планом, опубликованным на сайте ведомства. Малый бизнес, как правило, попадает в план реже, чем крупные операторы. Однако внеплановые проверки — основной инструмент контроля. Они инициируются по жалобам субъектов ПДн (сотрудников, клиентов), по информации об утечках или по результатам мониторинга сайтов. Достаточно одной жалобы уволенного сотрудника для начала проверки.

Нужно ли уведомлять Роскомнадзор при каждом изменении в обработке ПДн?

Да. Согласно ч. 7 ст. 22 закона 152-ФЗ, оператор обязан уведомить Роскомнадзор об изменениях сведений, указанных в первоначальном уведомлении, в течение 10 рабочих дней с даты возникновения таких изменений. Это касается изменения целей обработки, категорий данных, категорий субъектов, мер защиты, факта трансграничной передачи и иных существенных параметров. Информационное письмо подаётся через тот же портал pd.rkn.gov.ru.

Заключение

Пакет документов по персональным данным — это не бюрократическая формальность, а правовой фундамент, без которого ни один работодатель не вправе обрабатывать данные сотрудников и клиентов. Закон 152-ФЗ действует для всех без исключения: от крупных корпораций до ИП с одним продавцом.

Минимальный комплект для работодателя включает политику обработки, внутреннее положение, приказ о назначении ответственного, согласия работников, перечень допущенных лиц, обязательства о неразглашении и уведомление Роскомнадзора. Каждый документ должен быть адаптирован под реальные бизнес-процессы, содержать актуальные формулировки и обновляться при изменениях в законодательстве или деятельности компании.

Штрафы за нарушения уже сейчас измеряются сотнями тысяч рублей, а с введением оборотных штрафов за утечки — миллионами. Ждать проверки — значит ждать штрафа. Действовать нужно сейчас: провести аудит, подготовить документы, подать уведомление, получить подписи сотрудников и выстроить систему хранения.

Занимайтесь бизнесом — а правовой порядок в документах пусть обеспечивает надёжная система, которая работает точно и без перебоев.