Какие документы по 152-ФЗ должны быть у оператора: полный перечень + образцы
Оператор персональных данных — это любая компания или ИП, которые собирают данные клиентов, сотрудников или посетителей сайта. Закон требует не один документ, а целый пакет: часть размещают публично на сайте, часть держат внутри как локальные акты, а об обработке ещё и уведомляют Роскомнадзор. Точный состав зависит от того, есть ли у вас сайт с формами и наёмные работники, но базовый минимум одинаков почти для всех. Ниже — полный перечень документов по 152-ФЗ с пояснениями, интерактивный чек-лист и ссылки на готовые образцы.
Содержание
Обязательный минимум для всех
Если вы хоть как-то обрабатываете персональные данные (а сайт с формой обратной связи или один сотрудник — это уже обработка), минимальный набор такой:
- Политика обработки персональных данных — публичный документ на сайте (ст. 18.1 152-ФЗ);
- Приказ о назначении ответственного за организацию обработки персональных данных;
- Положение (приказ) о порядке обработки и защиты персональных данных — внутренний локальный акт;
- Согласия субъектов там, где обработка на них опирается (формы на сайте, рекламные рассылки);
- Уведомление в Роскомнадзор об обработке персональных данных.
Дальше набор расширяется под вашу ситуацию — работники, сайт с формами, трансграничная передача, спецкатегории. Разберём по группам.
Чек-лист документов оператора
Отметьте, что у вас уже есть. Ссылки ведут на разборы с готовыми образцами.
Выполнено: 0/9
- ✓Политика обработки ПДн на сайте — образец
- ✓Согласие на обработку ПДн в формах — образец
- ✓Согласие на рекламную рассылку (если шлёте рекламу) — образец
- ✓Положение об обработке ПДн работников (если есть сотрудники) — образец
- ✓Согласие работника на обработку ПДн — образец
- ✓Обязательство о неразглашении (для допущенных к данным) — образец
- ✓Приказ о назначении ответственного за обработку ПДн + инструкция ответственного
- ✓Уведомление в Роскомнадзор об обработке — как подать
- ✓Уведомление о трансграничной передаче (если данные уходят за рубеж) — как подать
Проверьте, каких документов не хватает
Сканер ScanBase проверит сайт: есть ли политика обработки ПДн, согласие в формах, реквизиты оператора и запись в реестре РКН — и покажет пробелы в документах по 152-ФЗ. Бесплатно, меньше минуты.
Публичные документы на сайте
Эти документы должны быть доступны любому посетителю без регистрации — их проверяют первыми, потому что они видны снаружи.
Политика обработки персональных данныхГлавный публичный документ (ст. 18.1 152-ФЗ): кто оператор, какие данные и зачем обрабатываются, права субъектов, контакты. Размещается на сайте, ссылка — в подвале и рядом с формами. Образец политики.
Согласие на обработку в формахОтдельная галочка и текст согласия у каждой формы, которая собирает данные (заявка, обратная связь, подписка). Образец согласия.
Политика использования cookie и баннерЕсли на сайте есть счётчики и cookie — нужен баннер согласия и политика cookie. Образец политики cookie.
Внутренние документы (ЛНА)
Эти документы не публикуют — их держат у себя и предъявляют по запросу проверяющего. Это «кухня» обработки: кто, как и на каком основании работает с данными.
Положение об обработке ПДн работниковПорядок работы с данными сотрудников; с ним знакомят под подпись. Что включить + образец.
ПриказыПриказ о назначении ответственного за организацию обработки персональных данных и приказ об утверждении Положения.
Обязательство о неразглашенииПодписывают сотрудники, допущенные к обработке чужих данных. Кто подписывает + образец.
Перечень допущенных лиц и мест храненияСписок сотрудников с доступом к данным и перечень информационных систем / мест, где данные хранятся.
Что подаётся в Роскомнадзор
Часть «документов» — это не бумаги у вас в папке, а уведомления в надзорный орган:
- Уведомление об обработке персональных данных — подаётся до начала обработки; после него оператора вносят в реестр операторов. Как заполнить и подать.
- Уведомление о трансграничной передаче — отдельное, если данные передаются в другие страны (например, зарубежные сервисы аналитики или хостинг). Как подать.
- Уведомление об утечке — не заранее, а по факту инцидента: в сжатые сроки. Что делать при утечке.
каждый шестой
Когда мы сканируем сайты, у каждого шестого вообще нет политики обработки персональных данных, а корректного согласия в формах нет у большинства. То есть базовый документ, который проверяют первым, часто просто отсутствует — хотя сделать его дело получаса.
ScanBase, по базе просканированных сайтов, 2026Что зависит от ситуации
Поверх базового минимума набор меняется под вас:
- Есть наёмные работники → кадровый пакет: Положение об обработке ПДн работников, согласия работников на цели вне обязательных, обязательство о неразглашении для допущенных. Подробно — в хабе о персональных данных работников.
- Сайт с формами и аналитикой → политика, согласия в формах, cookie-баннер, политика cookie.
- Рекламные рассылки → отдельное согласие на рекламную рассылку.
- Данные уходят за рубеж → уведомление о трансграничной передаче.
- Спецкатегории или биометрия (здоровье, отпечатки, распознавание лица) → письменное согласие и более строгий режим.
Технический слой (при ИСПДн)
Документы выше — это «бумажный» слой. Но как только данные обрабатываются автоматизированно (а компьютер, CRM, сайт, 1С — это уже автоматизация), у вас возникает информационная система персональных данных (ИСПДн), и к ней закон требует ещё и технический слой защиты (ст. 19 152-ФЗ):
- Модель угроз безопасности персональных данных — какие угрозы актуальны для вашей системы;
- Определение уровня защищённости ИСПДн — по постановлению Правительства № 1119 от 01.11.2012;
- Меры защиты по приказу ФСТЭК № 21 и оценка их эффективности.
Частые ошибки
«Повесили политику на сайт — и всё закрыто»
Политика — только один документ из пакета. Без согласий в формах, внутренних актов, приказа о назначении ответственного и уведомления в РКН набор неполный, и проверка это увидит.
«Скачали пакет документов из интернета и подшили»
Шаблон — это основа, а не готовое решение. Документы должны описывать реальные цели, состав данных и процессы именно вашей организации, иначе они противоречат тому, что делает сайт и компания на самом деле.
«У нас нет сайта, значит документы не нужны»
Данные сотрудников и клиентов — это уже обработка, даже без сайта. Нужны внутренние акты, приказ, согласия и уведомление в Роскомнадзор.
По теме
Частые вопросы
Политика обработки ПДн на сайте (ст. 18.1), приказ о назначении ответственного, положение о порядке обработки, согласия субъектов там, где обработка на них опирается, и уведомление в Роскомнадзор. Остальное добавляется под ситуацию.
Нет. Политика — публичный документ, но она не заменяет согласия в формах, внутренние локальные акты, приказы и уведомление в РКН. Это разные документы с разным назначением.
Да. Как только есть сотрудники или клиенты, чьи данные вы храните, вы оператор: нужны внутренние акты, приказ о назначении ответственного, согласия и уведомление в Роскомнадзор — независимо от наличия сайта.
Как основу — да, по ссылкам в чек-листе есть образцы. Но каждый документ нужно адаптировать под реальные цели, состав данных и процессы вашей организации, иначе он не совпадёт с тем, что вы делаете на самом деле.
Публичную политику обработки ПДн на сайте и наличие уведомления (запись в реестре операторов). Это видно снаружи без запроса. Затем — внутренние акты, согласия и соответствие того, что заявлено, тому, что делает сайт.