Приказ о назначении ответственного за ПД: образец и заполнение
Зачем нужен приказ о назначении ответственного за персональные данные
Каждый работодатель — будь то ООО с десятком сотрудников или индивидуальный предприниматель с одним продавцом — обрабатывает персональные данные. Паспортные данные, СНИЛС, ИНН, адреса проживания, сведения о здоровье — всё это попадает в кадровые документы, бухгалтерские ведомости и трудовые договоры. Законодательство требует, чтобы кто-то в организации нёс конкретную ответственность за сохранность этой информации, и ключевым документом для фиксации такой ответственности служит приказ о назначении ответственного за обработку персональных данных.
Отсутствие этого приказа — не формальность, а прямой путь к штрафам. Роскомнадзор при проверке запрашивает именно его в числе первых документов. Трудовая инспекция тоже обращает внимание: если произошла утечка данных работника, а в организации нет назначенного лица — ответственность ложится непосредственно на руководителя, причём в усиленном размере. С учётом ужесточения законодательства в сфере защиты персональных данных в 2024–2025 годах, грамотно оформленный приказ стал не рекомендацией, а базовым элементом юридической безопасности бизнеса.
Многие предприниматели откладывают оформление этого документа, считая его бюрократическим излишеством. Между тем составить и подписать приказ — дело получаса, а последствия его отсутствия могут обойтись в сотни тысяч рублей. Разберём по шагам: что должен содержать документ, как его правильно заполнить и где скачать актуальный образец.
Правовые основания для издания приказа о назначении ответственного за ПД
Обязанность назначить ответственного за организацию обработки персональных данных закреплена в нескольких нормативных актах. Понимание правовой базы необходимо, чтобы корректно составить документ и защитить себя при проверке.
Федеральный закон № 152-ФЗ «О персональных данных»
Основной закон в этой сфере — Федеральный закон от 27.07.2006 № 152-ФЗ. Его ключевые нормы:
- Ст. 18.1 ФЗ-152 — оператор обязан принять меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных законом. Одна из таких мер — назначение ответственного лица.
- Ст. 22.1 ФЗ-152 — прямо обязывает оператора назначить лицо, ответственное за организацию обработки персональных данных. Это требование распространяется на всех операторов без исключения — и на крупные корпорации, и на ИП с одним работником.
📎 Ст. 22.1 ФЗ-152: «Оператор, являющийся юридическим лицом, назначает лицо, ответственное за организацию обработки персональных данных.»
Трудовой кодекс РФ
Глава 14 ТК РФ (ст. 86–90) регулирует защиту персональных данных работника. Особое значение имеют:
- Ст. 86 ТК РФ — устанавливает общие требования к обработке ПД работников и обязывает работодателя ознакомить сотрудников с порядком обработки их данных.
- Ст. 87 ТК РФ — определяет порядок хранения и использования персональных данных, который устанавливается работодателем самостоятельно.
- Ст. 88 ТК РФ — запрещает передачу ПД работника третьей стороне без его письменного согласия.
- Ст. 90 ТК РФ — предусматривает дисциплинарную, материальную, административную и уголовную ответственность за нарушение норм о защите данных.
КоАП РФ: размеры штрафов
С учётом изменений, вступивших в силу в 2024 году, штрафы за нарушения в сфере персональных данных существенно выросли:
| Нарушение | Штраф для ИП | Штраф для юрлица |
|---|---|---|
| Обработка ПД без согласия субъекта (ст. 13.11 ч. 2 КоАП РФ) | 20 000 – 40 000 ₽ | 30 000 – 150 000 ₽ |
| Невыполнение обязанности по защите ПД (ст. 13.11 ч. 1 КоАП РФ) | 5 000 – 10 000 ₽ | 30 000 – 50 000 ₽ |
| Непредоставление информации субъекту ПД (ст. 13.11 ч. 4 КоАП РФ) | 10 000 – 15 000 ₽ | 25 000 – 40 000 ₽ |
| Повторные нарушения | До 100 000 ₽ | До 300 000 ₽ |
⚠️ Важно: С 2025 года за утечку персональных данных введены оборотные штрафы — до 3% выручки компании, но не менее 15 000 000 ₽ для юридических лиц. Это делает вопрос надлежащего оформления документации по ПД критически важным для бизнеса любого масштаба.
Кроме того, отсутствие назначенного ответственного лица Роскомнадзор квалифицирует как непринятие мер по обеспечению безопасности ПД, что является самостоятельным основанием для привлечения к административной ответственности.
Кого можно назначить ответственным за обработку персональных данных
Законодательство не предъявляет специальных квалификационных требований к лицу, ответственному за организацию обработки ПД. Однако практика проверок и здравый смысл формируют чёткие критерии выбора.
Варианты назначения
1. Руководитель организации / ИП лично
Самый распространённый вариант для микро- и малого бизнеса. Если в компании работают до 15 человек, руководитель часто назначает ответственным самого себя. Это допустимо и логично: именно он принимает решения о найме, подписывает трудовые договоры и имеет доступ ко всем кадровым документам.
2. Кадровый специалист
Если в штате есть HR-менеджер или специалист по кадрам — это оптимальный кандидат. Он непосредственно работает с документами, содержащими ПД, и лучше других понимает объём обрабатываемой информации.
3. Бухгалтер
Бухгалтер обрабатывает значительный массив персональных данных: реквизиты, паспортные данные для отчётности, банковские данные для начисления зарплаты. Назначение бухгалтера ответственным — логичное решение для компаний без отдельного кадровика.
4. Юрист или специалист по безопасности
В более крупных организациях функцию ответственного за ПД возлагают на штатного юриста или специалиста по информационной безопасности. Этот вариант обеспечивает максимальную компетентность, но для малого бизнеса избыточен.
Требования к ответственному лицу
Хотя закон не устанавливает формальных квалификационных требований, при выборе кандидатуры стоит учитывать:
- Должность — лицо должно занимать позицию, позволяющую влиять на процессы обработки данных и давать указания другим сотрудникам в этой части.
- Доступ — ответственный должен реально иметь доступ ко всем системам и документам, содержащим ПД.
- Подчинение — согласно ст. 22.1 ФЗ-152, ответственное лицо подчиняется непосредственно руководителю организации.
- Готовность — сотрудник должен быть ознакомлен с обязанностями и согласен их выполнять.
📋 Пример: ИП Сидоров управляет небольшим магазином с тремя продавцами. Кадровое делопроизводство ведёт сам. В приказе он назначает ответственным за обработку ПД себя лично. Это законно, удобно и снимает вопросы при проверке Роскомнадзора.
Разграничение: ответственный за организацию обработки и ответственный за безопасность
Нередко путают два понятия:
- Ответственный за организацию обработки ПД (ст. 22.1 ФЗ-152) — лицо, которое определяет цели и средства обработки, организует процесс, контролирует соблюдение закона.
- Ответственный за обеспечение безопасности ПД — лицо, отвечающее за технические меры защиты (шифрование, разграничение доступа, резервное копирование).
В малом бизнесе обе функции, как правило, возлагаются на одно лицо — и это фиксируется в едином приказе. Для среднего и крупного бизнеса рекомендуется издавать два отдельных приказа или разграничивать обязанности в рамках одного документа.
Как заполнить приказ о назначении ответственного за ПД: пошаговая инструкция
Составление приказа не требует юридического образования, но важно соблюсти структуру и включить все обязательные элементы. Рассмотрим процесс заполнения поэтапно.
Шаг 1. Подготовьте реквизиты
Для составления приказа вам понадобятся:
- Полное наименование организации (или ФИО ИП с указанием ОГРНИП).
- ИНН, юридический адрес.
- Номер приказа (в соответствии с внутренней нумерацией).
- Дата издания.
- ФИО и должность лица, назначаемого ответственным.
- ФИО и должность руководителя, подписывающего приказ.
Шаг 2. Оформите «шапку» документа
Стандартная шапка приказа включает:
ООО «Название организации»
ИНН 0000000000 / КПП 000000000
Адрес: г. Москва, ул. Примерная, д. 1
ПРИКАЗ
от «___» __________ 20__ г. № ___
О назначении лица, ответственного за организацию
обработки персональных данных
Для ИП шапка выглядит проще:
Индивидуальный предприниматель Иванов Иван Иванович
ОГРНИП 000000000000000
ИНН 000000000000
ПРИКАЗ
от «___» __________ 20__ г. № ___
О назначении лица, ответственного за организацию
обработки персональных данных
Шаг 3. Укажите правовое основание
В преамбуле приказа необходимо сослаться на нормативные акты:
В соответствии с требованиями ст. 18.1 и ст. 22.1 Федерального закона
от 27.07.2006 № 152-ФЗ «О персональных данных», главы 14 Трудового
кодекса Российской Федерации, в целях организации обработки и
обеспечения безопасности персональных данных
ПРИКАЗЫВАЮ:
Шаг 4. Сформулируйте распорядительную часть
Это ядро документа. Здесь перечисляются конкретные распоряжения:
1. Назначение ответственного лица:
1. Назначить ответственным за организацию обработки персональных
данных в ООО «Название» менеджера по персоналу Петрову Анну Сергеевну.
2. Определение обязанностей:
2. Возложить на Петрову А.С. следующие обязанности:
2.1. Осуществлять внутренний контроль за соблюдением законодательства
Российской Федерации о персональных данных.
2.2. Доводить до сведения работников требования законодательства и
локальных нормативных актов по вопросам обработки ПД.
2.3. Организовывать приём и обработку обращений субъектов персональных
данных и (или) их представителей.
2.4. Контролировать получение согласий субъектов на обработку ПД.
2.5. Обеспечивать принятие мер по предотвращению и устранению
последствий нарушений законодательства о персональных данных.
2.6. Осуществлять контроль за порядком хранения и уничтожения
документов, содержащих персональные данные.
3. Дополнительные распоряжения:
3. Контроль за исполнением настоящего приказа оставляю за собой.
4. Настоящий приказ вступает в силу с момента подписания.
Шаг 5. Подпишите и зарегистрируйте
Приказ подписывает руководитель организации (или ИП). Назначаемое лицо ставит подпись об ознакомлении:
Директор ООО «Название» ___________ / Иванов И.И.
С приказом ознакомлена:
Менеджер по персоналу ___________ / Петрова А.С.
«___» __________ 20__ г.
⚠️ Важно: Если ответственным назначается сам руководитель, он подписывает приказ в одном качестве (как руководитель) и ставит отметку об ознакомлении — в другом (как назначенное лицо). Это не противоречие, а стандартная практика для малого бизнеса.
Шаг 6. Ознакомьте сотрудников
Помимо ответственного лица, с приказом необходимо ознакомить всех сотрудников, имеющих доступ к персональным данным. К приказу рекомендуется приложить лист ознакомления:
| № п/п | ФИО сотрудника | Должность | Дата ознакомления | Подпись |
|---|---|---|---|---|
| 1 | Сидорова О.В. | Бухгалтер | ||
| 2 | Козлов М.И. | Продавец |
Образец приказа о назначении ответственного за обработку персональных данных
Ниже приведён полный образец приказа, который можно адаптировать под конкретную организацию.
ООО «АльфаТрейд»
ИНН 7701234567 / КПП 770101001
Адрес: 105064, г. Москва, ул. Земляной Вал, д. 10
ПРИКАЗ
от «15» января 2025 г. № 12-к
О назначении лица, ответственного за организацию
обработки персональных данных
В соответствии с требованиями статей 18.1, 22.1 Федерального
закона от 27.07.2006 № 152-ФЗ «О персональных данных», главы 14
Трудового кодекса Российской Федерации, Постановления Правительства
РФ от 21.03.2012 № 211, в целях организации обработки и обеспечения
безопасности персональных данных работников и контрагентов
ООО «АльфаТрейд»
ПРИКАЗЫВАЮ:
1. Назначить ответственным за организацию обработки персональных
данных в ООО «АльфаТрейд» менеджера по персоналу Петрову
Анну Сергеевну.
2. Возложить на Петрову А.С. следующие обязанности:
2.1. Осуществлять внутренний контроль за соблюдением
ООО «АльфаТрейд» и его работниками законодательства
Российской Федерации о персональных данных, в том числе
требований к защите персональных данных.
2.2. Доводить до сведения работников ООО «АльфаТрейд»
положения законодательства Российской Федерации
о персональных данных, локальных актов по вопросам
обработки персональных данных.
2.3. Организовывать приём и обработку обращений и запросов
субъектов персональных данных или их представителей.
2.4. Контролировать получение согласий субъектов на обработку
их персональных данных.
2.5. Обеспечивать принятие мер по предотвращению и устранению
нарушений законодательства о персональных данных.
2.6. Контролировать порядок хранения, передачи и уничтожения
документов и иных материальных носителей, содержащих
персональные данные.
3. Администратору информационных систем Козлову М.И. обеспечить
Петровой А.С. доступ к информационным системам, в которых
осуществляется обработка персональных данных.
4. Контроль за исполнением настоящего приказа оставляю за собой.
5. Настоящий приказ вступает в силу с момента подписания.
Генеральный директор
ООО «АльфаТрейд» ___________ / Смирнов Д.А.
С приказом ознакомлены:
Менеджер по персоналу ___________ / Петрова А.С.
«___» __________ 2025 г.
Администратор ИС ___________ / Козлов М.И.
«___» __________ 2025 г.
📋 Пример: Если вы — ИП и назначаете ответственным за персональные данные самого себя, замените «Генеральный директор ООО "АльфаТрейд"» на «Индивидуальный предприниматель Иванов И.И.», а в пункте 1 укажите: «Обязанности лица, ответственного за организацию обработки персональных данных, принимаю на себя».
Какие документы дополняют приказ о назначении ответственного за персональные данные
Приказ — не единственный документ, который потребуется при проверке. Он является частью комплекса документации по защите ПД. Без остальных элементов этой системы даже идеально оформленный приказ не обеспечит полной защиты от претензий контролирующих органов.
Обязательные документы
Политика обработки персональных данных — документ, определяющий цели, правовые основания, объём и порядок обработки ПД. Согласно ст. 18.1 ФЗ-152, политика должна быть опубликована в открытом доступе (размещена на сайте организации, если он есть).
Положение об обработке и защите персональных данных — локальный нормативный акт, детализирующий внутренние процедуры. Включает описание категорий обрабатываемых данных, перечень лиц, имеющих доступ, меры защиты.
Согласия субъектов на обработку ПД — от каждого работника должно быть получено письменное согласие. Форма согласия определена ст. 9 ФЗ-152 и должна содержать конкретный перечень данных и целей обработки.
Обязательства о неразглашении — каждый сотрудник, имеющий доступ к ПД, подписывает обязательство о неразглашении. Это обеспечивает юридическое основание для привлечения к дисциплинарной ответственности в случае утечки.
Журнал учёта обращений субъектов ПД — фиксирует запросы граждан, касающиеся обработки их данных, и ответы на них.
Уведомление Роскомнадзора — если организация обрабатывает ПД не только своих работников (например, данные клиентов), она обязана подать уведомление в реестр операторов персональных данных.
Рекомендуемые документы
- Перечень информационных систем, в которых обрабатываются ПД.
- Регламент уничтожения ПД по достижении цели обработки.
- Акты оценки вреда, который может быть причинён субъектам ПД.
- План мероприятий по защите ПД.
- Журнал учёта машинных носителей информации.
⚠️ Важно: Составление полного пакета документов по защите персональных данных с нуля у юриста-аутсорсера стоит от 30 000 до 80 000 ₽. При этом сторонний специалист получает доступ к данным ваших сотрудников, коммерческой информации и внутренним процедурам — и никак не несёт ответственности за их сохранность. Платформы вроде Bejure позволяют создать весь комплект кадровых документов внутри защищённой системы: данные не уходят третьим лицам, а документы соответствуют актуальному законодательству и обновляются автоматически при его изменении.
Типичные ошибки при оформлении приказа о назначении ответственного за ПД
Анализ практики проверок Роскомнадзора показывает, что большинство нарушений связаны не со сложными юридическими вопросами, а с элементарными ошибками в оформлении документов. Разберём наиболее распространённые.
Ошибка 1. Отсутствие приказа как такового
Самая критичная ситуация — когда приказ просто не издан. Даже если фактически кто-то из сотрудников занимается вопросами ПД, без формального документа это не имеет юридического значения. При проверке инспектор зафиксирует нарушение ст. 22.1 ФЗ-152.
Ошибка 2. Использование устаревших шаблонов
Шаблон приказа, скачанный из интернета в 2018 году, может ссылаться на утратившие силу нормы или не учитывать новые требования. Например, многие старые образцы не содержат обязанности ответственного лица по уведомлению Роскомнадзора об утечках — а это требование введено в 2023 году.
⚠️ Важно: Шаблон из интернета — это риск, оформленный в Word. Документы, созданные в Bejure, разработаны под конкретный вид деятельности, обновляются при изменении законодательства и защищены финансовой гарантией до 200 000 ₽. Все документы хранятся в одном месте, подписываются электронной подписью — юридическая сила как у бумажных.
Ошибка 3. Размытые формулировки обязанностей
Приказ, в котором написано «назначить ответственным за ПД», но не расписаны конкретные обязанности, при проверке расценивается как формальный. Роскомнадзор ожидает увидеть детализированный перечень обязанностей, соответствующий требованиям закона.
Ошибка 4. Отсутствие подписи назначенного лица
Если ответственный сотрудник не ознакомлен с приказом под подпись, документ считается неисполненным. Более того, при возникновении инцидента сотрудник может заявить, что не знал о возложенных на него обязанностях, и привлечь его к дисциплинарной ответственности будет затруднительно.
Ошибка 5. Назначение некомпетентного лица
Формально можно назначить ответственным любого сотрудника. Но если назначенное лицо — например, уборщик или водитель — не имеет доступа к персональным данным и не может реально контролировать их обработку, инспектор Роскомнадзора квалифицирует это как фиктивное исполнение требований закона.
Ошибка 6. Отсутствие актуализации
Ответственный сотрудник уволился, перешёл на другую должность или ушёл в длительный отпуск — а приказ не обновлён. Формально ответственным числится человек, который больше не работает в организации. При проверке это означает, что обязанность не исполнена.
Ошибка 7. Отсутствие сопутствующих документов
Приказ сам по себе — необходимый, но недостаточный документ. Без Положения об обработке ПД, согласий работников и политики обработки он не формирует полноценную систему защиты данных. Инспектор проверяет весь комплект.
Как хранить приказ и что делать при изменении обстоятельств
Порядок хранения
Приказ о назначении ответственного за персональные данные относится к приказам по основной деятельности. Согласно Перечню типовых управленческих архивных документов (Приказ Росархива от 20.12.2019 № 236), срок хранения таких документов — постоянно (для организаций, передающих документы в государственные архивы) или до ликвидации организации (для остальных).
Рекомендации по хранению:
- Оригинал приказа подшивается в папку с приказами по основной деятельности.
- Копия хранится в личном деле назначенного сотрудника.
- Электронная копия сохраняется в системе кадрового документооборота.
Когда нужно издавать новый приказ
Новый приказ (или приказ о внесении изменений) издаётся в следующих случаях:
- Увольнение ответственного лица — новый приказ должен быть издан до даты увольнения, чтобы не было «вакуума» ответственности.
- Перевод на другую должность — если новая позиция не предполагает работу с ПД, назначается другой сотрудник.
- Реорганизация компании — при слиянии, присоединении, разделении издаются новые приказы от имени правопреемника.
- Изменение законодательства — если вступают в силу новые требования, может потребоваться расширение обязанностей ответственного лица.
- Длительное отсутствие — на период отпуска, больничного или командировки ответственного рекомендуется издавать приказ о временном возложении обязанностей на другого сотрудника.
📋 Пример: Менеджер по персоналу Петрова А.С. уходит в декретный отпуск с 1 марта. Руководитель издаёт приказ от 28 февраля о временном возложении обязанностей ответственного за обработку ПД на бухгалтера Козлову Е.В. — на период отпуска Петровой А.С. Козлова подписывает ознакомление, получает доступ к соответствующим системам.
Электронный документооборот
Современные требования позволяют вести кадровый документооборот, включая приказы о назначении ответственных лиц, в электронном виде. Согласно ст. 22.1–22.3 ТК РФ, работодатель вправе принять решение о переходе на электронный кадровый документооборот. При этом документы, подписанные квалифицированной или усиленной неквалифицированной электронной подписью, имеют юридическую силу, равную бумажным.
Преимущества электронного хранения:
- Документ невозможно потерять или повредить.
- Мгновенный доступ при проверке — не нужно искать по папкам.
- Автоматический контроль сроков и уведомления об истечении.
- Прозрачная история изменений.
Часто задаваемые вопросы
Обязан ли ИП без работников издавать приказ о назначении ответственного за ПД?
Если ИП работает без наёмных сотрудников и не обрабатывает персональные данные третьих лиц (клиентов, контрагентов), формально издавать приказ не требуется. Однако если ИП ведёт клиентскую базу, собирает данные через сайт или обрабатывает любые ПД помимо собственных — он является оператором персональных данных и обязан назначить ответственного. В этом случае ИП назначает ответственным самого себя. Даже при отсутствии такой обязанности рекомендуется оформить приказ превентивно — на случай расширения деятельности или найма первого работника.
Может ли один человек быть ответственным за ПД в нескольких организациях?
Закон не запрещает одному лицу выполнять функции ответственного за организацию обработки ПД в нескольких организациях. Однако есть существенное ограничение: согласно ст. 22.1 ФЗ-152, ответственное лицо подчиняется непосредственно руководителю организации. Это означает, что сотрудник должен состоять в трудовых отношениях с каждой организацией (по основному месту работы или по совместительству). Назначить стороннего консультанта или аутсорсера ответственным по приказу нельзя — он должен быть именно работником организации.
Нужно ли переиздавать приказ каждый год?
Нет, приказ действует бессрочно до издания нового приказа, отменяющего или изменяющего его. Ежегодное переиздание не требуется. Однако рекомендуется проводить ежегодный аудит документации по ПД и при необходимости актуализировать как приказ, так и сопутствующие документы — особенно после изменений в законодательстве.
Какой штраф грозит за отсутствие приказа о назначении ответственного за персональные данные?
Отсутствие назначенного лица квалифицируется по ст. 13.11 ч. 1 КоАП РФ как невыполнение обязанностей оператора. Штраф составляет от 5 000 до 10 000 ₽ для ИП и от 30 000 до 50 000 ₽ для юридических лиц. При повторном нарушении суммы увеличиваются кратно. Кроме того, отсутствие приказа может быть квалифицировано как отягчающее обстоятельство при рассмотрении дел об утечке данных — в этом случае штрафы достигают нескольких миллионов рублей.
Можно ли включить назначение ответственного за ПД в трудовой договор вместо отдельного приказа?
Включение обязанностей по организации обработки ПД в трудовой договор или должностную инструкцию — полезная практика, но она не заменяет приказ. Ст. 22.1 ФЗ-152 прямо предусматривает именно назначение ответственного, которое оформляется организационно-распорядительным документом (приказом). Трудовой договор фиксирует трудовую функцию, а приказ — конкретное решение руководителя о возложении обязанностей. Оптимальный вариант: издать приказ и одновременно отразить соответствующие обязанности в должностной инструкции работника.
Заключение
Приказ о назначении ответственного за обработку персональных данных — базовый документ, без которого невозможно выстроить легитимную систему защиты ПД в организации. Его оформление занимает минимум времени, а последствия отсутствия — от штрафов в десятки тысяч рублей до оборотных штрафов при утечке данных.
Подведём итоги:
- Приказ обязателен для всех работодателей, обрабатывающих персональные данные (ст. 22.1 ФЗ-152).
- Назначить можно любого сотрудника, но он должен реально иметь доступ к данным и подчиняться руководителю.
- В малом бизнесе руководитель или ИП вправе назначить ответственным самого себя.
- Приказ действует бессрочно, но должен актуализироваться при смене ответственного или изменении законодательства.
- Документ является частью комплекта — без Положения об обработке ПД, согласий и политики он не обеспечивает полной защиты.
Не откладывайте оформление. Скачайте образец, адаптируйте его под свою организацию, подпишите и зарегистрируйте. Если вы хотите, чтобы все кадровые документы — включая приказы, положения и согласия — были всегда актуальны, соответствовали закону и хранились в защищённой среде с юридически значимой электронной подписью, используйте специализированные платформы для кадрового документооборота. Это не вопрос удобства — это вопрос безопасности вашего бизнеса.
