Комплект документов по 152-ФЗ для малого бизнеса в 2026 году: перечень и порядок подготовки

👤 Автор: Павел Шабанов | 📅 Актуализировано: 10 ноября 2026 года | ⏱️ Время чтения: 14 мин.

Комплект документов по 152-ФЗ нужно собирать под процессы компании: кадровый учёт, продажи, сайт, маркетинг, работу подрядчиков и используемые информационные системы. Закон требует содержательных правил и работающих мер, а не установленного количества файлов. Поэтому перед покупкой «полной папки» выясните, какие обязанности она закрывает именно у вас и что потребуется внедрить после подписания документов. [ст. 18.1 152-ФЗ]

В статье основной перечень рассмотрен для ООО и других юридических лиц. ИП также могут быть операторами персональныхных данных, но отдельные организационные требования отличаются. Например, обязанность назначить ответственного за организацию обработки прямо установлена для юридических лиц.

Какие документы нужны любой организации?

Организации-оператору нужны политика обработки ПДн, локальные правила под фактические цели, назначение ответственного и подтверждения необходимых организационных и технических мер. Обязанности закреплены прежде всего в статьях 18.1, 19 и 22.1 закона № 152-ФЗ. [ст. 18.1 152-ФЗ]

Обязательное содержание важнее названий

Единого установленного законом комплекта «ровно из 35 документов» для всех коммерческих организаций нет: состав необходимых и достаточных мер оператор определяет с учётом законодательства и своей обработки. [ст. 18.1 152-ФЗ]

Для первичной проверки разложите документы по блокам:

• Политика: какие правила компания раскрывает людям
• Локальные акты: как сотрудники обрабатывают данные
• Управление: ответственный, полномочия, внутренний контроль
• Защита: доступы, информационные системы, носители
• Реагирование: обращения, нарушения, уничтожение данных

Один вопрос можно раскрыть отдельным положением или разделом общего документа. Проверяйте полноту содержания, а не толщину папки.

Что должно подтверждать исполнение

Статья 18.1 предусматривает внутренний контроль, оценку возможного вреда, ознакомление или обучение работников; по запросу РКН оператор должен подтвердить принятые меры. [ст. 18.1 152-ФЗ]

Поэтому проект приказа и подписанный приказ — разные результаты. Как и инструкция об удалении данных и подтверждённое уничтожение.

Включите в проверку акт оценки вреда: приказ РКН № 178 прямо предусматривает оформление результатов таким актом. Уведомление Роскомнадзора также проверьте отдельно: комплект локальных актов не заменяет исполнение обязанности по статье 22. [приказ РКН № 178]

«Результаты оценки вреда оформляются актом оценки вреда».

Нормативный ориентир: пункт 3 требований, утверждённых приказом Роскомнадзора № 178; приказ подписан руководителем службы А. Ю. Липовым. Официальный текст приказа.

Документы по процессам и ролям

Начинай разработку документов с карты обработки: кто получает сведения, для какой цели, на каком основании, где хранит и кому предоставляет доступ. Локальные акты должны раскрывать категории данных, субъектов, способы, сроки и порядок уничтожения по каждой цели. [ст. 18.1 152-ФЗ]

Не путайте программу и процесс

Учебный пример. В одной CRM компания ведёт заказы, контакты закупщиков и рекламные подписки. Программа общая. Цели разные.

Для каждого сценария потребуется проверить основания, состав сведений, доступы и сроки. Формулировка «данные обрабатываются в CRM» этих вопросов не закрывает.

Не требуйте от менеджера паспорт клиента только потому, что такое поле предусмотрено шаблоном. Состав данных должен соответствовать цели, а избыточная обработка противоречит статье 5. [ст. 5 152-ФЗ]

Карта документов по ролям

Компактный ориентир: какие блоки документов проверить в первую очередь

Блок	Примеры документов и результатов	Условие
Организация обработки	Политика, локальные правила, документ о назначении ответственного	С учётом статуса оператора и требований к юридическим лицам
Работа с персоналом	Правила обработки данных работников, подтверждения ознакомления	При наличии работников
Согласия	Тексты и доказательства получения; письменные формы — в предусмотренных случаях	Когда согласие является необходимым основанием
Подрядчики	Условия поручения обработки	Когда получатель действует по поручению оператора
Контроль и защита	Документы о внутреннем контроле, оценке вреда и применимых защитных мерах	По фактической обработке
Прекращение обработки	Порядок уничтожения и подтверждения исполнения	При наступлении оснований для уничтожения

Это ориентир для обследования, а не единый установленный законом набор файлов. Несколько вопросов могут быть объединены в одном документе, если обязательное содержание раскрыто полностью.

Таблица ниже — рабочая карта, а не исчерпывающий нормативный перечень. Роли можно совмещать, если полномочия и нагрузка позволяют выполнять обязанности.

[ст. 18.1 152-ФЗ]

[ст. 86 ТК РФ]

[ст. 9 152-ФЗ]

[ч. 3 ст. 6 152-ФЗ]

[приказ ФСТЭК № 21]

[приказ РКН № 178]

[приказ РКН № 179]

Карта документов по ролям и процессам. Подготовлена по статьям 18.1, 19, 22.1 закона № 152-ФЗ, статье 86 ТК РФ и приказам РКН № 178 и № 179. Условные блоки применяются после проверки фактической обработки.

Процесс	Документы и содержание	Кто участвует	Чем подтвердить исполнение
Управление обработкой	Политика, локальные правила, назначение ответственного.	Директор, ответственный за ПДн	Утверждённые версии, распределённые полномочия
Кадровый учёт	Правила обработки данных работников, документы об ознакомлении.	HR, бухгалтерия	Подтверждённое ознакомление, проверенные доступы
Сайт и заявки	Опубликованная политика; согласия — когда обработка опирается на них.	Маркетинг, веб-разработчик	Работающие ссылки, доказательства получения согласий
Обработка по поручению	Условия поручения в договоре или приложении при соответствующей роли подрядчика.	Юрист, владелец сервиса	Подписанные условия, сведения о мерах подрядчика
Информационные системы	Документы о доступах и защите с учётом актуальных угроз и уровня защищённости.	IT, специалист по безопасности	Настройки, результаты проверки, актуальные права
Оценка вреда	Акт оценки вреда по приказу № 178.	Ответственный или комиссия	Проведённая оценка, подписанный акт
Уничтожение данных	Порядок уничтожения; акт и предусмотренные подтверждения по приказу № 179.	Владелец процесса, IT, архив	Заполненные документы по факту уничтожения

Модельный пример: что потребовалось компании из 12 сотрудников

Модельный сценарий, а не реальный кейс. ООО: 12 сотрудников, сайт с формой заявки, CRM и бухгалтерия на аутсорсинге.

Инвентаризация показала: заявка с сайта дублируется в почту и мессенджер менеджера; в CRM хранятся контакты закупщиков контрагентов; бухфирма получает данные работников по поручению.

Комплект потребовался такой: опубликованная политика и сведения о защите, правила обработки данных работников с подтверждённым ознакомлением, условия поручения с бухфирмой, документ о назначении ответственного и акт оценки вреда. В CRM ограничили доступы, а в форме заявки настроили отдельное согласие на обработку ПДн.

Техническому специалисту осталось: настроить журналы доступа и проверить резервное копирование.

Что входит в кадровый блок?

Кадровый блок должен регулировать обработку данных работников и отдельно учитывать подбор персонала, кадровый резерв, передачи и хранение документов. Работников нужно ознакомить под роспись с документами, устанавливающими порядок обработки их ПДн. [ст. 86 ТК РФ]

Работники — не одно универсальное согласие

Не начинайте с требования «пусть все подпишут согласие на всё». Закон допускает обработку, необходимую для выполнения установленных обязанностей, без подмены этого основания согласием. [ст. 6 152-ФЗ].docx)

В кадровых правилах проверь:

• Кто получает кадровые документы
• Какие сведения доступны руководителям
• Как работает бухгалтерский аутсорсинг
• Кому и на каком основании передают данные
• Как определяют сроки хранения и уничтожения

Не распространяйте одинаковые права на HR, начальника отдела и системного администратора. Доступ должен следовать задачам, а не привычке «у нас маленькая компания».

Подбор отдели от резерва

Учебный пример. Кандидату отказали, но резюме оставили «на будущие вакансии». Это уже не просто продолжение текущего подбора: для кадрового резерва нужно отдельно проверить цель, согласие и срок хранения. [ч. 3 ст. 6 152-ФЗ]

Данные уволенного работника тоже нельзя автоматически удалить целиком. Для части документов сохраняются обязанности хранения; решение принимают по видам документов и применимым требованиям.

Не вписывайте единый срок «до отзыва согласия» во весь кадровый блок. Он не объясняет, что делать с обязательным учётом.

Сайт, согласия и маркетинг

Для сайта нужны доступная политика и законные основания обработки; для маркетинга — отдельная проверка рекламных согласий и доказательств их получения. Политика не заменяет согласие, а согласие на обработку данных не означает автоматического разрешения на рекламу. [закон «О рекламе»]

Проверьте каждый сценарий

Заявка на консультацию, заказ, подписка и публикация отзыва могут требовать разного оформления. Сначала определите назначение формы. Потом текст.

На страницах сайта, через которые собираются персональные данные, обеспечьте доступ к политике обработки ПДн и сведениям о реализуемых требованиях к их защите. Проверяйте не только наличие документа в подвале сайта, но и доступность информации непосредственно из сценария заполнения формы. [ст. 18.1 152-ФЗ]

С 1 сентября 2025 года согласие на обработку ПДн оформляют отдельно от других подтверждаемых или подписываемых документов. Это не означает, что любое согласие обязательно получать на бумаге: допустимая форма зависит от конкретного случая. [ч. 3 ст. 6 152-ФЗ]

Для электронной формы предусмотрительно сохранять версию текста, время и действие пользователя. Обязанность доказать получение согласия лежит на операторе. [ст. 9 152-ФЗ]

Не прячьте рекламу в заявку

Учебный пример. Человек запросил расчёт поставки. Менеджер добавил его телефон в рекламную рассылку.

Контакт для ответа на запрос и использование номера для рекламы требуют самостоятельной проверки оснований. Для рекламы по сетям электросвязи предусмотрено предварительное согласие адресата. [закон «О рекламе»]

Отзывы, фотографии и карточки сотрудников тоже проверяйте отдельно. Если обработка строится на согласии на распространение, статья 10.1 требует оформить его отдельно от иных согласий. [ст. 10.1 152-ФЗ]

Cookie и аналитику оценивай по фактическим сведениям и технологиям. Не объявляйте один баннер универсальным решением для любого сайта.

Как назначить ответственного за ПДн?

Организация должна назначить ответственного за организацию обработки ПДн и обеспечить ему возможность контролировать процессы, информировать работников и организовывать работу с обращениями. Эти функции закреплены в статье 22.1. [ст. 22.1 152-ФЗ]

Приказ без полномочий не работает

В приказе и связанных документах обозначь:

• Кому подотчётен ответственный
• Какие сведения ему предоставляют подразделения
• Как он инициирует устранение нарушений
• Кто помогает с техническими вопросами
• Кто замещает его на время отсутствия

По закону ответственный получает указания непосредственно от исполнительного органа организации и подотчётен ему. Поэтому назначение младшего сотрудника без доступа к руководству создаёт управленческий провал. [ст. 22.1 152-ФЗ]

Отдельную штатную единицу закон прямо не требует. Но совместительство функций должно оставлять человеку время на работу, а не только место для подписи.

Раздели организацию и безопасность

Ответственный за обработку и специалист по защите информационных систем решают связанные, но разные задачи.

Первый контролирует основания, документы и обращения. Второй помогает определить угрозы, доступы и защитные меры; конкретные требования зависят от системы и уровня защищённости. [приказ ФСТЭК № 21]

Не привязывайте отсутствие приказа автоматически к любому понравившемуся штрафу из статьи 13.11. Сначала нужно установить нарушенную обязанность и применимый состав.

Подрядчики, CRM и защита данных

Комплект должен учитывать передачу данных подрядчикам и реальные условия работы систем; договорные формулировки не заменяют проверку доступов и защиты. [ст. 18.1 152-ФЗ]

Проверьте роль получателя

Бухгалтерская компания, интегратор CRM и сервис рассылок не обязательно имеют одинаковый статус. Определите, кто обрабатывает данные по вашему поручению, а кто действует для собственных целей.

Если применяется поручение обработки, в договоре закрепляют состав сведений, операции, цели, конфиденциальность и другие предусмотренные частью 3 статьи 6 условия. [ч. 3 ст. 6 152-ФЗ]

Одного соглашения о неразглашении недостаточно для покрытия всего содержания поручения. Проверьте также основание его выдачи: по общему правилу закон связывает поручение с согласием субъекта, если федеральный закон не предусматривает иное. [ч. 3 ст. 6 152-ФЗ]

Проверьте, где находятся базы данных

При использовании сайта, CRM, облачного хранилища и сервисов рассылки установите, куда фактически поступают персональные данные граждан России. При их сборе часть 5 статьи 18 закона № 152-ФЗ запрещает запись, систематизацию, накопление, хранение, уточнение и извлечение с использованием баз данных за пределами РФ, кроме установленных законом случаев. [ст. 18 152-ФЗ]

Отдельно проверьте последующую трансграничную передачу по статье 12. Наличие российской базы само по себе не делает любую дальнейшую зарубежную обработку законной. Для проверки нужны сведения о размещении баз, маршрутах передачи и условиях работы сервисов. [ст. 12 152-ФЗ]

Не продавайте бумагу вместо защиты

Для информационных систем требуется определить актуальные угрозы и соответствующие меры; постановление № 1119 устанавливает уровни защищённости, приказ ФСТЭК № 21 — состав мер. [приказ ФСТЭК № 21]

Уточните, входят ли в заказ обследование систем, документы по защите, настройка доступов и проверка результата. Это разные работы.

Для уничтожения автоматизированно обрабатываемых ПДн приказ № 179 предусматривает акт и выгрузку из журнала регистрации событий. Подтверждающие документы хранят три года. [приказ РКН № 179]

Пустой бланк акта не доказывает, что сведения действительно уничтожены.

Какие документы зависят от отрасли?

Дополнительный состав определяется не только отраслью, но и категориями данных, субъектами, технологиями и передачами. Специальные сведения, биометрия и трансграничная обработка регулируются отдельными положениями закона. [ст. 13.11 КоАП РФ]

Сравните содержание, а не вывеску

Учебный пример. Два салона собирают телефоны для записи. Один дополнительно хранит сведения о противопоказаниях и состоянии здоровья.

Во втором случае нельзя ограничиться заменой названия компании в документах первого: сведения о здоровье требуют проверки правил для специальных категорий ПДн. [ст. 10 152-ФЗ]

Работа с детьми, публикация информации о клиентах, идентификация по биометрии также требуют отдельного анализа. При этом обычная фотография не становится биометрией автоматически: значение имеет её использование для установления личности. [ст. 11 152-ФЗ]

Отделяй действующее от будущего

С 26 июля 2026 года изменён порядок определения государств, обеспечивающих адекватную защиту прав субъектов ПДн. При зарубежных передачах нужно учитывать действующую редакцию статьи 12. [закон № 265-ФЗ]

Не добавляйте документы в смету только потому, что нормативный акт свежий. Исполнитель должен объяснить его применимость к вашей обработке.

Штрафы и урок судебной практики

Стоимость ошибок зависит от нарушения: отсутствие доступа к политике, незаконная обработка, неуведомление и утечка имеют разные составы ответственности. Ниже приведены базовые санкции для коммерческих организаций без индивидуального расчёта наказания. [ст. 13.11 КоАП РФ]

За что предусмотрены санкции

• Необеспечение предусмотренного законом доступа к политике: 30 000–60 000 рублей, часть 3 статьи 13.11. [ст. 13.11 КоАП РФ]
• Обработка в непредусмотренных законом случаях либо несовместимая с целями сбора: 150 000–300 000 рублей, часть 1. [ст. 13.11 КоАП РФ]
• Отсутствие обязательного письменного согласия или нарушение требований к его содержанию: 300 000–700 000 рублей, часть 2. [ст. 13.11 КоАП РФ]
• Неисполнение или несвоевременное исполнение обязанности уведомить РКН о намерении обрабатывать ПДн: 100 000–300 000 рублей, часть 10. [ст. 13.11 КоАП РФ]
• Утечки при условиях частей 12–14: диапазоны 3–5 млн, 5–10 млн и 10–15 млн рублей в зависимости от масштаба. [ст. 13.11 КоАП РФ]

При предусмотренной частью 15 повторности действует штраф 1–3% установленной законом выручки, минимум 20 млн, максимум 500 млн рублей. Для повторных нарушений по специальным категориям или биометрии часть 18 устанавливает другой минимум — 25 млн рублей. [ст. 13.11 КоАП РФ]

Это не прайс за любую потерянную таблицу. У каждого состава свои условия.

Для ИП размеры ответственности нужно проверять отдельно: по ряду частей статьи 13.11 они отвечают как юридические лица, но это правило распространяется не на все составы. [ст. 13.11 КоАП РФ]

Чему учит дело Минтруда

21 января 2026 года Верховный суд оставил в силе наказание Минтруду по делу № 5-АД25-119-К2. Довод о доступе злоумышленника через подрядчика не освободил оператора: доказательств необходимых мер не хватило. [дело ВС № 5-АД25-119-К2]

Инцидент относился к 2023 году. Размер назначенного тогда штрафа нельзя переносить на новые составы за утечки. [дело ВС № 5-АД25-119-К2]

Практический вывод: оценивай комплект по возможности подтвердить меры, а не по заверению «все документы есть».

Сколько стоит разработка под ключ?

Цена разработки документов по 152-ФЗ должна следовать согласованному объёму обследования, подготовки и внедрения; без описания процессов итоговую стоимость нельзя оценить содержательно.

Комплексная работа по 152-ФЗ предлагается от 60 000 рублей. Итоговую стоимость фиксируем после определения состава процессов и работ. Отдельно согласовываем технические изменения и границы сопровождения.

Что должно входить в расчёт

Вместо вопроса «Сколько стоит папка?» отправьте исполнителю краткое описание:

• Юридические лица, подразделения и площадки
• Кадровые процессы и категории клиентов
• Сайты, формы, CRM и интеграции
• Подрядчики и зарубежные сервисы
• Особые данные и способы идентификации
• Уже подготовленные документы и выявленные проблемы

Попросите разбить предложение на этапы: обследование, разработка, согласование, внедрение, проверка и сопровождение. Отдельно выделить технические работы.

Число сотрудников полезно для оценки масштаба, но не объясняет сложность целиком. Небольшая команда с несколькими сервисами и рекламными воронками может иметь неоднородную обработку.

Как сравнивать предложения

Разница между шаблонами и индивидуальной разработкой — не только в реквизитах. Сравните, кто исследует процессы, выбирает основания, согласует противоречия и проверяет применение.

Уточните до договора:

• Какие документы получите и почему они нужны
• Какие вопросы исполнитель не проверяет
• Сколько согласований предусмотрено
• Кто внедряет изменения на сайте и в системах
• Что считается завершением работ
• Как оплачивается последующая актуализация

Не принимайте обещание «гарантируем отсутствие штрафов» за преимущество. Зафиксированный результат полезнее обещания контролировать решения регулятора.

Внедрение и приёмка комплекта

Принимай работу после проверки утверждённых документов и предусмотренных договором изменений в процессах, а не по факту получения архива. Закон требует принятия мер и возможности подтвердить их выполнение. [ст. 18.1 152-ФЗ]

Последовательность разработки

1. Опишите процессы. Соберите сведения от кадров, продаж, бухгалтерии, маркетинга и IT.
2. Составьте карту документов. Свяжите обязанности, процессы, исполнителей и подтверждения.
3. Проверьте основания. Определите, где работают закон и договор, а где нужны согласия.
4. Согласуйте состав работ. Зафиксируйте документы, технические задачи, сроки и исключения.
5. Разработайте тексты. Устраните расхождения между политикой, локальными актами, договорами и формами.
6. Утвердите документы. Подпишите необходимые акты и организуйте ознакомление.
7. Внедрите правила. Настройте формы, доступы, обращения и действия при инцидентах.
8. Проверьте сценарии. Пройдите тестовую заявку, отзыв согласия, увольнение и уничтожение данных.

Проверяйте на действиях

Попросите сотрудника показать, куда поступает обращение об удалении данных. Уточните, кто принимает решение и как его исполняют.

В регламенте инцидентов учти сроки: первичное уведомление РКН — в течение 24 часов, сведения о результатах расследования — в течение 72 часов с момента выявления соответствующего инцидента. [ст. 21 152-ФЗ]

Для дополнительной сверки используй нормативные материалы Роскомнадзора. Для системы защиты — постановление Правительства № 1119.

Самостоятельно разумно собрать процессы, действующие документы и проблемные места. Индивидуальную разработку полезно поручить специалисту, если есть несколько систем, подрядчики, маркетинг или спорные основания. Шаблон экономит время только после проверки применимости. Начните с карты, а не с покупки количества файлов.

Часто задаваемые вопросы

Сколько документов обязательно иметь организации?

Единого числа документов для всех организаций нет. Проверяют содержание правил и выполнение обязанностей с учётом конкретной обработки, а не количество файлов. [ст. 18.1 152-ФЗ]

Можно ли скачать комплект и заменить реквизиты?

Использовать образцы можно, считать их готовым решением без проверки — рискованно. Локальные акты должны описывать ваши цели, категории данных, сроки и порядок уничтожения. [ст. 18.1 152-ФЗ]

Достаточно ли политики на сайте?

Нет, опубликованная политика закрывает только часть обязанностей. Организации также нужны внутренние правила, ответственный, контроль и необходимые меры защиты. [ст. 22.1 152-ФЗ]

Нужно ли отдельное согласие от каждого работника?

Не для любой кадровой операции. Сначала установите основание: закон допускает обработку для выполнения предусмотренных обязанностей; дополнительные цели оценивают отдельно. [ст. 6 152-ФЗ].docx)

Нужно ли утверждать документы в Роскомнадзоре?

Общая процедура предварительного утверждения локальных актов коммерческой компании в РКН законом не предусмотрена. Оператор принимает документы сам и предоставляет их либо подтверждения мер по запросу регулятора. [ст. 18.1 152-ФЗ]

Как понять, что работа выполнена под ключ?

Проверьте результат по договору и тестовым сценариям. В критерии приёмки включите не только передачу текстов, но и согласованные действия по утверждению, ознакомлению, настройкам и проверке.

Читайте также

• Уведомление Роскомнадзора в 2026 году: какие данные подготовить и как составить карту обработки
• Согласия на обработку персональныхных данных: основания, формы и доказательства
• Персональные данные в CRM: подрядчики, доступы и сроки хранения