Персональные данные

Обучение по персональным данным: что требует закон

Редактор ФТИ 6 октября 2026 9 мин чтения

Коротко

Обязательно ли обучать сотрудников по персональным данным, нужно ли удостоверение и какую программу выбрать. Что говорит пункт 6 части 1 статьи 18.1 закона № 152-ФЗ, чем инструктаж отличается от курса и когда подойдёт курс ФТИ.

Коротко: закон не требует курса, особой программы или удостоверения по персональным данным. Пункт 6 части 1 статьи 18.1 закона № 152-ФЗ называет мерой оператора «ознакомление и (или) обучение» работников, которые непосредственно обрабатывают данные. Форму и срок закон не устанавливает: оператор выбирает сам и должен уметь подтвердить, что это сделано. Подойдут и подпись под документами, и инструктаж, и курс.

Повышение квалификации, удостоверение с записью в ФИС ФРДО · на программу принимают с образованием не ниже среднего профессионального · готовых документов курс не выдаёт

Курс «Защита персональных данных»: 72 часа дистанционно, 3 800 ₽

Смотреть программу →

Главное об обучении по персональным данным

Закон говорит «ознакомление и (или) обучение» (п. 6 ч. 1 ст. 18.1). Это либо одно, либо другое, либо оба сразу.
Кого: работников оператора, которые непосредственно обрабатывают данные.
Чего закон не задаёт: форму, срок, периодичность, того, кто обучает, и документ об обучении.
Удостоверение не требуется. Ни ответственному, ни остальным.
Подтверждать нужно. По запросу Роскомнадзора оператор обязан подтвердить принятие мер (ч. 4 ст. 18.1).
Курс ФТИ один из способов, а не требование закона.

Что именно сказано в законе

В статье 18.1 есть список мер, которые оператор принимает, чтобы выполнять закон. Шестой пункт: ознакомление работников оператора, непосредственно осуществляющих обработку, с положениями законодательства о персональных данных, требованиями к защите, документами о политике оператора и локальными актами по обработке, и (или) обучение этих работников. Состав мер оператор определяет самостоятельно (ч. 1 ст. 18.1).

Вопрос	Что в законе
Обязана ли организация что-то делать для работников	Закон называет это мерой оператора: ознакомление и (или) обучение тех, кто непосредственно обрабатывает данные (п. 6 ч. 1 ст. 18.1). Состав мер оператор определяет сам (ч. 1)
Нужен ли именно курс	Нет. Слова «ознакомление и (или) обучение» оставляют выбор оператору
Есть ли срок или периодичность	Не установлены
Нужно ли удостоверение или сертификат	Не требуется
Кто проводит	Не указано. Ответственный доводит положения закона и актов до работников (п. 2 ч. 4 ст. 22.1), по нашему прочтению это тоже форма ознакомления
Нужно ли подтверждать	По запросу Роскомнадзора оператор представляет документы и локальные акты и (или) иным образом подтверждает принятие мер (ч. 4 ст. 18.1)

Слова «инструктаж» в статье 18.1 нет. Это принятое на практике название короткого занятия. Оно подходит как способ ознакомления, но закон его не требует.

Кого ознакомить или обучить

Закон говорит о работниках, которые непосредственно обрабатывают персональные данные: собирают, вносят в базу, хранят, передают, уничтожают. Не только о тех, у кого в должности написано «кадровик». Бухгалтерия, менеджеры по продажам, администраторы и ИТ попадают сюда, если работают с данными людей.

Отдельное правило есть для обработки без компьютеров. Работники, которые обрабатывают данные без средств автоматизации, и лица, делающие это по договору, должны быть проинформированы о самом факте такой обработки, категориях данных и правилах (п. 6 Положения, утверждённого постановлением Правительства № 687).

Если организация обрабатывает данные работников, добавляется Трудовой кодекс: работники знакомятся под роспись с документами работодателя о порядке обработки их персональных данных и со своими правами в этой области (п. 8 ст. 86 ТК). И последнее: статья 7 закона обязывает операторов и иных лиц, получивших доступ к данным, не раскрывать их третьим лицам без согласия человека, если иное не предусмотрено законом. Сотрудник должен знать об этом правиле заранее.

Три способа: ознакомление, инструктаж, обучение

Способ	Что это	Подходит, когда	Как подтвердить
Ознакомление под подпись	Работник читает политику, положение об обработке, инструкции и расписывается	Данных немного, процессы простые	Лист ознакомления с датой
Инструктаж (практика)	Короткое занятие ответственного или юриста: правила, примеры, вопросы	Новые сотрудники, изменения в документах	Журнал или лист с темой, датой и подписями
Обучение	Программа с планом и итоговой проверкой: внутренняя, внешняя, курс повышения квалификации	Для ответственного, кадровиков, тех, кто работает с большими базами или особыми категориями	Программа, ведомость, документ об обучении, если он выдаётся

Наша рекомендация: обычному работнику хватает ознакомления плюс короткого инструктажа, а ответственному и кадровой службе полезно пройти полноценное обучение. Закон так не делит, это мы так советуем.

Для бухгалтерии, HR и продаж: на что обратить внимание

Универсальной программы нет, но у каждой роли свои типичные точки риска. Столбец «Практика» это наши рекомендации, норма указана отдельно.

Роль	Норма	Практика
Бухгалтерия	Передача данных работника третьим лицам: ст. 88 ТК. Конфиденциальность: ст. 7 закона № 152-ФЗ	Не пересылать списки и расчётные листы через личные мессенджеры и почту, хранить в одной системе
Кадры (HR)	Общие требования к данным работника: ст. 86 ТК, передача: ст. 88 ТК. Сведения о здоровье относятся к специальным категориям (ч. 1 ст. 10 закона № 152-ФЗ)	Не собирать лишнего, знать, где закон требует согласие, вести лист ознакомления
Продажи и маркетинг	Продвижение через прямые контакты допускается только при предварительном согласии, обработку нужно немедленно прекратить по требованию человека (ст. 15 закона № 152-ФЗ)	Не выгружать базу клиентов в личные файлы, знать, как обработать отзыв согласия
ИТ и администраторы	Правовые, организационные и технические меры защиты: ст. 19 закона № 152-ФЗ	Знать, кто и какие доступы имеет, куда уходят копии и резервные базы
Администраторы, менеджеры, приём клиентов	Организация приёма и обработки обращений субъектов данных относится к задачам ответственного (п. 3 ч. 4 ст. 22.1), но обращение может прийти любому сотруднику	Знать, кому передать запрос человека, и не отвечать на него «по ситуации»
Ответственный	Ч. 4 ст. 22.1: контроль, доведение правил до работников, приём обращений	Полноценное обучение и план ознакомления остальных. См. ответственный за обработку персональных данных

Примерная программа инструктажа

Закон программу не утверждает. Ниже каркас, который мы предлагаем как рекомендацию: он повторяет то, с чем пункт 6 части 1 статьи 18.1 требует ознакомить работников. Формат на один-два часа для обычных сотрудников.

Что такое персональные данные и кто такой оператор (ст. 3 закона № 152-ФЗ).
Какие данные обрабатывает ваша организация и для чего. Политика оператора: что в ней написано.
Основания обработки: когда нужно согласие, а когда обработка идёт на другом основании.
Права людей и обращения: кому передать запрос, в какой срок.
Правила защиты: доступы, носители, мессенджеры, печатные документы.
Что делать при ошибке или утечке: кому сказать в первую очередь. Сроки уведомления Роскомнадзора подробно разобраны в статье об утечке персональных данных.
Ответственность: организации и работника. Общая картина: штрафы за персональные данные и ответственность работника за разглашение.
Расписаться в листе ознакомления.

Как подтвердить, что обучение было

Закон не называет документ, который это подтверждает. Что имеет смысл хранить, наша рекомендация:

Приказ об обучении или план ознакомления, если вы их издаёте.
Программу или материалы, по которым проводилось занятие.
Лист или журнал с датой, темой, фамилиями и подписями.
Документ об обучении, если человек проходил внешнюю программу.

Периодичность закон не устанавливает. Разумно проводить занятие при приёме на работу и после значимых изменений: новый закон, новая система, смена политики. Как Роскомнадзор проверяет операторов, описано в статье о проверке по персональным данным.

Нужно ли удостоверение

Нет. Ни статья 22.1 (про ответственного), ни пункт 6 части 1 статьи 18.1 не требуют удостоверения или диплома. Если спрашивают, нужно ли «удостоверение ответственного за персональные данные», ответ такой: по закону нет. Документ об обучении удобен как подтверждение, что человек проходил программу, но закон его не требует.

Курс ФТИ «Защита персональных данных»

Если вы выбрали обучение, один из вариантов у нас. Что написано на странице курса:

Параметр	Что на странице курса
Тип	Повышение квалификации, 72 часа, программа «Организация обработки и защита персональных данных»
Формат	Полностью дистанционно, итоговая аттестация онлайн, пересдача бесплатно
Документ	Удостоверение о повышении квалификации, сведения вносятся в ФИС ФРДО
Кто может пройти	Лица со средним профессиональным или высшим образованием любого профиля. Это условие закона об образовании для программ ДПО (ч. 3 ст. 76 закона № 273-ФЗ)
Кому подходит	Ответственным за обработку, юристам, кадровикам, системным администраторам, руководителям и ИП. Технические знания не нужны
Тарифы на странице курса	Повышение квалификации с удостоверением 3 800 ₽ (вместо 5 800 ₽). Тариф без документа 1 499 ₽: доступ к программе и тесту для самопроверки, удостоверение не выдаётся. Для организаций цена за специалиста от 1 499 ₽ и зависит от размера группы, считают в коммерческом предложении

Что курс не делает, честно: готовых документов организации не выдаёт, уведомление в Роскомнадзор за вас не подаёт, не заменяет диплом о переподготовке там, где его требуют другие нормы. Он объясняет, что должно быть у оператора и что в этом должно стоять. Документы вы составляете сами или заказываете отдельно.

Если у работника нет среднего профессионального или высшего образования, на программу ДПО его не примут: допускаются лица с таким образованием и получающие его (ч. 3 ст. 76 закона № 273-ФЗ). Такому сотруднику подойдут внутренний инструктаж и ознакомление.

Как мы помогаем

Что нужно	Что делаем	Цена
Курс «Защита персональных данных»	72 часа дистанционно, удостоверение с записью в ФИС ФРДО. Для организаций договор, оплата по счёту, цена за специалиста по группе	3 800 ₽, без документа 1 499 ₽
Документы по 152-ФЗ	Политика, согласия, локальные акты под ваш бизнес, правки до вашего «принимаю». Подскажем, как ознакомить сотрудников под подпись	9 900 ₽
Уведомление в Роскомнадзор под ключ	Заполняем по каждой цели, подаём вместе с вами, вход делает руководитель	4 900 ₽

Обучение сотрудников в сопровождение по персональным данным не входит, это отдельная услуга. Услуги ФТИ по теме собраны на странице услуги ФТИ. Подробнее о том, кого назначить и что делает ответственный, написано в основной статье: ответственный за обработку персональных данных. Как оформить назначение: приказ о назначении ответственного. Что делать с уведомлением, объясняет статья об уведомлении об обработке персональных данных.

Политика, согласия и локальные акты пишет юрист под вашу организацию · подскажем, как ознакомить сотрудников под подпись

Документы по 152-ФЗ под ваш бизнес: 9 900 ₽

Собрать пакет документов →

Нормативные документы

На эти документы опирается статья. Ссылки ведут на официальные тексты в справочных правовых системах.

Частые вопросы

Обязательно ли обучение по персональным данным?

Закон называет мерой оператора «ознакомление и (или) обучение» работников, которые непосредственно обрабатывают данные (п. 6 ч. 1 ст. 18.1 закона № 152-ФЗ). Это либо ознакомление, либо обучение, либо оба. Обязательного курса и обязательного удостоверения нет.

Нужно ли ответственному за персональные данные удостоверение?

Нет. Статья 22.1 не устанавливает ни форму, ни срок его обучения, а пункт 6 части 1 статьи 18.1 удостоверения не требует. Документ об обучении можно получить, если хочется подтверждение, но закон его не требует.

Как часто нужно обучать сотрудников по персональным данным?

Периодичность закон не устанавливает. Наша рекомендация: при приёме на работу и после значимых изменений, например нового закона, системы или политики.

Что такое инструктаж по персональным данным?

Это принятое на практике название короткого занятия, на котором работникам объясняют правила. Слова «инструктаж» в статье 18.1 нет, но по сути такое занятие это ознакомление, которое закон допускает.

Кого нужно обучать по персональным данным?

Работников, которые непосредственно обрабатывают данные: кадры, бухгалтерию, менеджеров, администраторов, ИТ. Ответственного за организацию обработки тоже стоит обучить: закон этого не требует, это наша рекомендация. Решение о составе принимает оператор.

Какая должна быть программа обучения?

Закон программу не утверждает. Содержание задаёт пункт 6 части 1 статьи 18.1: положения законодательства, требования к защите, политика оператора и локальные акты. Каркас на один-два часа в статье выше, это рекомендация.

Как доказать, что обучение проведено?

Закон документ не называет. Оператор обязан по запросу Роскомнадзора подтвердить принятие мер (ч. 4 ст. 18.1). Удобно хранить приказ или план, программу, лист ознакомления с подписями и документы об обучении.

Сколько стоит курс по защите персональных данных в ФТИ?

По данным страницы курса «Защита персональных данных» (повышение квалификации, 72 часа, дистанционно, удостоверение с записью в ФИС ФРДО) основной тариф 3 800 ₽ вместо 5 800 ₽. Тариф без документа 1 499 ₽. Для организаций цена зависит от размера группы. Принимают с образованием не ниже среднего профессионального.

Заменяет ли курс документы по персональным данным?

Нет. Курс объясняет, какие документы нужны оператору и что в них должно быть, но не выдаёт готовых документов и не подаёт уведомление в Роскомнадзор. Документы под ваш бизнес пишет юрист по услуге «Документы по 152-ФЗ», она стоит 9 900 ₽.

Можно ли обучить сотрудников без среднего профессионального образования?

На программу повышения квалификации не примут: допускаются лица со средним профессиональным и (или) высшим образованием, а также получающие его (ч. 3 ст. 76 закона № 273-ФЗ). Для таких сотрудников подойдёт внутренний инструктаж с листом ознакомления.