# Документы по персональным данным: что обязательно, а что по ситуации

> Источник: https://ftex.pro/blog/dokumenty-po-personalnym-dannym/  
> Опубликовано: 07.10.2026  
> Раздел: Персональные данные  
> Описание: Какие документы по персональным данным обязательны, а какие нет: политика, локальные акты, ответственный, согласия. Пакет для малого бизнеса и пересмотр.  
> Издатель: Финансово-технологический институт (ftex.pro), образовательная лицензия Л035-01270-29/05390506

**Коротко: закона с обязательным набором из заданного числа документов по персональным данным нет.** По части 1 статьи 18.1 закона № 152-ФЗ оператор сам определяет состав и перечень мер, если иное не предусмотрено федеральными законами. Прямо закон называет немногое: политику, локальные акты по вопросам обработки и ответственного (для юридического лица), согласия там, где они служат основанием, и документ об уничтожении данных. Журналы, положения, перечни и регламенты это практика, и мы так и помечаем: наша рекомендация.

 

Разбор вашей обработки, политика, согласия, локальные акты · правки до вашего «принимаю» · столько документов, сколько нужно именно вам

 

Документы по 152-ФЗ под ваш бизнес — 9 900 ₽

 

[Собрать пакет →](https://ftex.pro/dokumenty-po-152-fz/)

 

**Главное**

 

- **Состав мер определяет оператор** (ч. 1 ст. 18.1). Числа «обязательных документов» в законе нет.
- **Прямо названы:** политика, локальные акты по вопросам обработки, ответственный, согласия по ст. 9, подтверждение уничтожения.
- **Локальные акты и ответственный** названы для оператора-юридического лица (п. 1, 2 ч. 1 ст. 18.1, ст. 22.1). Политику публикует любой оператор (ч. 2 ст. 18.1).
- **Журналы, перечни, инструкции, комиссии** это практика. Они нужны, чтобы по запросу Роскомнадзора подтвердить принятые меры (ч. 4 ст. 18.1).
- **Документы описывают вашу реальную обработку** и не спорят с сайтом и уведомлением.

 

## Что закон называет прямо

 

Ниже документы и меры, которые названы в тексте закона или в акте, на который он отсылает. Форму и название документа закон, как правило, не задаёт: важно содержание.

 

| Документ или мера | Что говорит закон | Подробно |
|---|---|---|
| Политика в отношении обработки ПДн | Издание политики названо для оператора-юрлица (п. 2 ч. 1 ст. 18.1). Опубликовать или иным образом обеспечить доступ обязан любой оператор, при сборе через интернет — на страницах сайта (ч. 2 ст. 18.1) | [хаб о политике обработки](https://ftex.pro/blog/politika-obrabotki-personalnyh-dannyh/) |
| Локальные акты по вопросам обработки | Для юрлица (п. 2 ч. 1 ст. 18.1): для каждой цели определить категории и перечень данных, категории субъектов, способы, сроки обработки и хранения, порядок уничтожения; отдельно акты о процедурах выявления и предотвращения нарушений. Название не задано | [положение об обработке](https://ftex.pro/blog/polozhenie-ob-obrabotke-personalnyh-dannyh/) |
| Ответственный за организацию обработки | Назначает оператор-юрлицо (ч. 1 ст. 22.1). Приказ это практика, формы закон не задаёт | [приказ о назначении ответственного](https://ftex.pro/blog/prikaz-o-naznachenii-otvetstvennogo-za-pdn/) |
| Согласие субъекта | Нужно, когда оно служит основанием (п. 1 ч. 1 ст. 6). Оформляется отдельно от иных документов (ч. 1 ст. 9). Доказывать получение должен оператор (ч. 3 ст. 9) | [хаб о согласии](https://ftex.pro/blog/soglasie-na-obrabotku-personalnyh-dannyh/) |
| Подтверждение уничтожения | Ч. 7 ст. 21 и приказ Роскомнадзора № 179: акт, а при автоматизированной обработке ещё и выгрузка из журнала событий; хранятся 3 года | [акт уничтожения](https://ftex.pro/blog/akt-unichtozheniya-personalnyh-dannyh/) |
| Уведомление в Роскомнадзор | До начала обработки подаёт любой оператор, у которого нет исключения из ч. 2 ст. 22. Не локальный акт, но обязательный документ | [хаб об уведомлении](https://ftex.pro/blog/uvedomlenie-ob-obrabotke-personalnyh-dannyh/) |
| Ознакомление работников | Ознакомить работников с законодательством, политикой и локальными актами и (или) обучить их (п. 6 ч. 1 ст. 18.1). По работникам: ознакомление под роспись с документами о порядке обработки (п. 8 ст. 86 ТК) | [как утвердить документы](https://ftex.pro/blog/kak-utverdit-dokumenty-po-pdn/) |
| Определение угроз и уровня защищённости в ИСПДн | Ч. 2 ст. 19 и постановление № 1119: 4 уровня защищённости, требования зависят от уровня | [положение о защите](https://ftex.pro/blog/polozhenie-o-zashchite-personalnyh-dannyh/) |
| Обработка без средств автоматизации | Постановление № 687: обособление данных, типовые формы, раздельное хранение носителей, места хранения и перечень лиц с доступом | [учёт носителей](https://ftex.pro/blog/zhurnal-ucheta-nositelej-pdn/) |

 

Название документа свободное: закон говорит «документы, определяющие политику» и «локальные акты по вопросам обработки», а не «положение» и «приказ». Содержание такие акты не вправе ограничивать права субъектов или возлагать на оператора обязанности, которых нет в законодательстве (п. 2 ч. 1 ст. 18.1).

 

## Что относится к практике

 

Эти документы закон по названию не требует. Мы рекомендуем их по одной причине: по запросу Роскомнадзора оператор обязан представить документы и локальные акты и (или) иным образом подтвердить принятие мер (ч. 4 ст. 18.1). Журнал или акт это самый простой «иной способ». Нужен документ или нет, зависит от вашей обработки, а не от списка.

 

| Документ | Зачем (наша рекомендация) | Опора в законе | Статья |
|---|---|---|---|
| Перечень персональных данных | Зафиксировать для каждой цели, какие данные и о ком вы обрабатываете | Ч. 5 ст. 5; п. 2 ч. 1 ст. 18.1 | [перечень ПДн](https://ftex.pro/blog/perechen-personalnyh-dannyh/) |
| Перечень ИСПДн | Понять, к каким системам применять уровни защищённости | П. 10 ст. 3; постановление № 1119 | [перечень ИСПДн](https://ftex.pro/blog/perechen-ispdn/) |
| Журнал обращений субъектов | Показать сроки и содержание ответов. Закон журнал не требует | Ст. 14, 20, 21 | [журнал обращений](https://ftex.pro/blog/zhurnal-ucheta-obrashchenij-subektov-pdn/) |
| Журнал учёта носителей | Закон называет учёт машинных носителей среди мер, форму не задаёт | П. 5 ч. 2 ст. 19 | [журнал учёта носителей](https://ftex.pro/blog/zhurnal-ucheta-nositelej-pdn/) |
| Инструкция ответственного | Закрепить задачи, которые закон называет в общем виде | Ч. 4 ст. 22.1 | [инструкция ответственного](https://ftex.pro/blog/instrukciya-otvetstvennogo-za-obrabotku-pdn/) |
| Обязательство о неразглашении | Закрепить конфиденциальность для допущенных работников | Ст. 7; п. 8 ст. 86, ст. 88 ТК | [обязательство о неразглашении](https://ftex.pro/blog/obyazatelstvo-o-nerazglashenii-pdn/) |
| Правила рассмотрения запросов и образец ответа | Не пропустить срок: 10 рабочих дней, продление до 5 | Ст. 14, ч. 1–2 ст. 20 | [правила рассмотрения запросов](https://ftex.pro/blog/pravila-rassmotreniya-zaprosov-subektov-pdn/), [ответ на запрос](https://ftex.pro/blog/otvet-na-zapros-subekta-pdn/) |
| Уведомление субъекта | Когда данные получены не от человека | Ч. 3–4 ст. 18 | [уведомление субъекта](https://ftex.pro/blog/uvedomlenie-subekta-ob-obrabotke-pdn/) |
| Комиссия по уничтожению | Закон комиссию не требует. Практика для акта | Ч. 7 ст. 21; приказ № 179 | [комиссия по уничтожению](https://ftex.pro/blog/komissiya-po-unichtozheniyu-pdn/) |
| Регламент реагирования на инциденты | Уложиться в 24 и 72 часа | Ч. 3.1 ст. 21 | [регламент по инцидентам](https://ftex.pro/blog/reglament-reagirovaniya-na-incidenty-pdn/) |
| Документы кадровой службы | Согласия, ознакомление, перечень работников с доступом | Ст. 65, 86–89 ТК | [документы для кадров](https://ftex.pro/blog/dokumenty-po-pdn-dlya-kadrov/) |
| Документы бухгалтерии | Данные работников и контрагентов, основания, хранение | П. 2, 5 ч. 1 ст. 6; ст. 29 ФЗ-402 | [персональные данные в бухгалтерии](https://ftex.pro/blog/pdn-v-buhgalterii/) |

 

## Минимальный пакет малого бизнеса

 

Универсального минимума нет, он зависит от того, что и как вы обрабатываете. Мы опираемся на то, что закон называет прямо: ст. 18.1, ст. 22.1, согласия и публикация политики. Три типичные ситуации.

 

| Ситуация | Что обычно нужно | Что не нужно по закону |
|---|---|---|
| ИП, сайт с формой заявки, без работников | Уведомление (сайт с формой, по нашему прочтению, это автоматизированная обработка, ст. 22). Политика на сайте (ч. 2 ст. 18.1). Согласие в форме, если оно основание (ст. 9). Наша рекомендация: короткий перечень целей и данных | Ответственный: ст. 22.1 называет оператора-юрлицо. Локальные акты по п. 2 ч. 1 ст. 18.1 названы для юрлица |
| ООО с работниками и сайтом | Всё из строки выше, плюс приказ об ответственном, положение об обработке с перечнем данных, согласия работников там, где они нужны, ознакомление под роспись (п. 8 ст. 86 ТК). Наша рекомендация: правила рассмотрения запросов | Десятки «обязательных» журналов. Каждый нужен, если без него вы не можете показать выполнение меры |
| Организация с информационной системой (CRM, 1С, платформа) | Всё выше, плюс определение угроз и уровня защищённости (ч. 2 и 3 ст. 19, постановление № 1119), перечень лиц с доступом, учёт машинных носителей. Наша рекомендация: положение о защите и перечень ИСПДн | Меры сверх вашего уровня защищённости: требования постановления № 1119 зависят от уровня (п. 13–16), а не от размера бизнеса |

 

По нашему прочтению, ИП при этом не освобождается от остальных мер: часть 1 статьи 18.1 обязывает любого оператора принимать необходимые и достаточные меры. Поэтому и ИП мы советуем хотя бы одну страницу с целями, данными и сроками. Порядок утверждения и ознакомления разобран в статье [о приказе об утверждении документов](https://ftex.pro/blog/kak-utverdit-dokumenty-po-pdn/).

 

## Готовые шаблоны против индивидуальной разработки

 

Закон не запрещает использовать готовую форму. Важно одно: документ должен описывать вашу реальную обработку (п. 2 ч. 1 ст. 18.1) и не расходиться с сайтом и уведомлением. Приказ Минцифры № 720 считает индикатором риска три и более расхождения между уведомлением и сведениями на сайте. Вот честное сравнение.

 

|  | Готовая форма или генератор | Индивидуальная разработка |
|---|---|---|
| Когда подходит | Одна простая обработка: сайт с формой заявки, нет сотрудников, нет зарубежных сервисов, нет детей и здоровья | Несколько целей, сотрудники, CRM или платформа, зарубежные сервисы, данные детей или здоровья |
| Скорость и цена | Минуты, дёшево или бесплатно | Дни, дороже |
| Главный риск | Описана чужая обработка: другие цели, сервисы, сроки | Зависит от исполнителя: проверяйте, что документ написан под ваши данные |
| Что сделать самому | Вписать цели, данные, сервисы, срок хранения; сверить с сайтом и уведомлением | Рассказать, как вы работаете с данными, и прочитать результат |
| Как обновлять | Самостоятельно при каждом изменении | Тоже при каждом изменении: кто-то должен о нём узнать |

 

Если вы уже скачали форму, её не обязательно выбрасывать: достаточно сверить с реальностью. Мы так и делаем на разборе: берём ваши документы, сайт и системы и показываем, что расходится. Для сайтов у нас есть отдельная проверка, описанная в статье [о подготовке сайта к проверке Роскомнадзора](https://ftex.pro/blog/podgotovka-sajta-k-proverke-roskomnadzora/).

 

## Ежегодный пересмотр документов

 

Срока пересмотра документов в законе нет. Есть общие нормы: оператор обязан принимать необходимые и достаточные меры (ч. 1 ст. 18.1), осуществлять внутренний контроль и (или) аудит (п. 4 ч. 1 ст. 18.1) и держать уведомление в актуальном виде: при изменении сведений уведомить Роскомнадзор не позднее 15-го числа месяца, следующего за месяцем изменений (ч. 7 ст. 22). Для информационных систем есть срок: контроль выполнения требований к защите проводится не реже 1 раза в 3 года (п. 17 требований постановления № 1119).

 

Наша рекомендация: раз в год открывать комплект и сверять его с жизнью, а между сверками пересматривать документы по триггерам.

 

- **Новая система или сервис:** CRM, рассылки, аналитика, облако, особенно зарубежные.
- **Новая цель обработки** или новые категории данных и людей.
- **Смена ответственного,** адреса, наименования, обработчика.
- **Изменение закона:** в 2022 году появились ч. 3.1 ст. 22 и ч. 3 ст. 12, в 2025 году отдельное оформление согласия (ч. 1 ст. 9) и новая редакция ч. 5 ст. 18.
- **Инцидент или обращение,** которые показали пробел в порядке.

 

Как менять политику и что делать с уведомлением, расписано в статье [об обновлении политики обработки](https://ftex.pro/blog/kak-obnovit-politiku-obrabotki-pdn/).

 

## Как ввести комплект в действие

 

Документы работают, когда они утверждены и о них знают люди. Закон не устанавливает порядок утверждения локальных актов, поэтому действуйте по обычной практике: приказ руководителя об утверждении и вводе в действие, лист ознакомления с подписями, архив редакций. Для работников есть прямая норма: ознакомление под роспись с документами о порядке обработки данных (п. 8 ст. 86 ТК). Новых работников знакомят при приёме. Политику публикуют на сайте, а внутренние акты не публикуют. Если положение, перечень и журнал противоречат друг другу, при запросе документов это заметно сразу, поэтому после каждой правки сверяйте их между собой.

 

## Как мы помогаем

 

ФТИ — учебный центр, персональные данные мы ведём для себя каждый день. Услуги ведёт юрист Максим Ромазанов, работаем дистанционно по всей России.

 

- **[Документы по 152-ФЗ — 9 900 ₽.](https://ftex.pro/dokumenty-po-152-fz/)** Разбор вашей обработки, политика и согласия, локальные акты под вашу ситуацию (в описании пакета: положение об обработке, приказ об ответственном, перечни, инструкции, журналы). Правки включены, пока вы не напишете «принимаю». Точный состав называем после разбора, до оплаты.
- **Пакет «Старт» — 14 900 ₽ вместо 18 700 ₽:** [уведомление в Роскомнадзор](https://ftex.pro/uvedomlenie-v-roskomnadzor/), документы по 152-ФЗ и документы для сайта. Все [услуги ФТИ](https://ftex.pro/uslugi/) собраны на одной странице.
- **[Сопровождение — 1 990 ₽ в месяц](https://ftex.pro/soprovozhdenie-po-pdn/) или 19 900 ₽ в год:** обновление политики, согласий и актов при изменении закона, сайта или систем, изменения в реестре, проверка сайта раз в полгода. О новых сервисах и сотрудниках нужно сообщать нам.

 

Чего в услуге нет: оферты, пользовательского соглашения и договоров как отдельных документов. На сайте мы проверим стык таких текстов с политикой и согласием. Если ответственным назначаете сотрудника, ему подойдёт курс [«Защита персональных данных»](https://ftex.pro/kursy/zashchita-personalnyh-dannyh/): повышение квалификации, 72 часа, дистанционно, удостоверение с записью в ФИС ФРДО. Закон требует ознакомления и (или) обучения (п. 6 ч. 1 ст. 18.1), а не обязательно этого курса. Курс не выдаёт готовых документов и не подаёт уведомление. Про ответственного подробнее в статье [об ответственном за обработку](https://ftex.pro/blog/otvetstvennyj-za-obrabotku-personalnyh-dannyh/).

 

Звонок 20–30 минут, состав и цену называем до оплаты · консультация бесплатная

 

Не знаете, сколько документов нужно именно вам?

 

[Узнать, что нужно мне →](https://ftex.pro/dokumenty-po-152-fz/)

 

## Нормативные документы

 

На эти документы опирается статья. Ссылки ведут на официальные тексты в справочных правовых системах.

 

- [Федеральный закон № 152-ФЗ, статья 18.1 — меры оператора, политика, локальные акты, ознакомление работников](https://www.consultant.ru/document/cons_doc_LAW_61801/eeeebe22bf738fd65bb66b95cc278911ae2525ee/)
- [Федеральный закон № 152-ФЗ, статья 22.1 — лица, ответственные за организацию обработки](https://www.consultant.ru/document/cons_doc_LAW_61801/ac39e94238689d353ef880365b6b400140aa1d2d/)
- [Федеральный закон № 152-ФЗ, статья 19 — меры по обеспечению безопасности персональных данных](https://www.consultant.ru/document/cons_doc_LAW_61801/ca9e5658710519f09ab2fdb8196fcb3eb024a051/)
- [Федеральный закон № 152-ФЗ, статья 21 — устранение нарушений, уничтожение, инциденты](https://www.consultant.ru/document/cons_doc_LAW_61801/d3fe43a7c415353b17faab255bc0de92bea127da/)
- [Федеральный закон № 152-ФЗ, статья 22 — уведомление об обработке персональных данных](https://www.consultant.ru/document/cons_doc_LAW_61801/d996966e22e1320c9de1ab82d9f6be12c3d9d765/)
- [Федеральный закон № 152-ФЗ, статья 9 — согласие субъекта персональных данных](https://www.consultant.ru/document/cons_doc_LAW_61801/6c94959bc017ac80140621762d2ac59f6006b08c/)
- [Трудовой кодекс РФ, статья 86 — общие требования при обработке персональных данных работника](https://www.consultant.ru/document/cons_doc_LAW_34683/01f6157ff985b3cbbb50eb88fa6e26f30202532a/)
- [Постановление Правительства РФ от 01.11.2012 № 1119 — требования к защите персональных данных в информационных системах, уровни защищённости](https://base.garant.ru/70252506/)
- [Постановление Правительства РФ от 15.09.2008 № 687 — особенности обработки персональных данных без использования средств автоматизации](https://base.garant.ru/193875/)
- [Приказ Роскомнадзора от 28.10.2022 № 179 — требования к подтверждению уничтожения персональных данных](https://base.garant.ru/405821247/)
- [Приказ Минцифры России от 17.08.2023 № 720 — индикатор риска: расхождения между уведомлением и сайтом](https://base.garant.ru/407936625/)

## Частые вопросы

### Сколько документов по персональным данным обязательно иметь?

Числа в законе нет. Оператор сам определяет состав мер (ч. 1 ст. 18.1 закона № 152-ФЗ). Прямо названы политика, локальные акты по вопросам обработки и ответственный (для юрлица), согласия там, где они основание, и документ об уничтожении данных. Остальное зависит от вашей обработки.

### Какие документы обязательны для ООО?

Политика, опубликованная на сайте при сборе через интернет (ч. 2 ст. 18.1), локальные акты по вопросам обработки (п. 2 ч. 1 ст. 18.1), назначенный ответственный (ст. 22.1), согласия там, где они нужны (ст. 9), уведомление в Роскомнадзор (ст. 22) и ознакомление работников (п. 6 ч. 1 ст. 18.1, п. 8 ст. 86 ТК).

### Какие документы нужны ИП?

Уведомление, если обработка автоматизирована, политика на сайте при сборе через интернет и согласия там, где они основание. Ответственного ст. 22.1 требует от оператора-юрлица, локальные акты п. 2 ч. 1 ст. 18.1 тоже названы для юрлица. По нашему прочтению, короткий перечень целей и данных ИП всё равно полезен.

### Обязателен ли приказ о назначении ответственного?

Назначить ответственного обязан оператор-юрлицо (ч. 1 ст. 22.1). Форму закон не задаёт, приказ это практика, которая позволяет подтвердить назначение. Для ИП закон ответственного не требует.

### Обязаны ли мы вести журналы по персональным данным?

Журнал обращений, журнал носителей и другие журналы закон по названию не требует. Исключение по сути: учёт машинных носителей назван в п. 5 ч. 2 ст. 19, форма не задана. Журналы это наша рекомендация: так проще подтвердить меры по запросу Роскомнадзора (ч. 4 ст. 18.1).

### Можно ли взять готовые шаблоны документов из интернета?

Закон не запрещает. Проверьте, что документ описывает вашу реальную обработку (п. 2 ч. 1 ст. 18.1) и не расходится с сайтом и уведомлением. Для простой обработки форма может подойти, для нескольких целей, сотрудников и систем нужна доработка под вас.

### Как часто нужно пересматривать документы?

Срока пересмотра в законе нет. Наша рекомендация: раз в год сверять комплект с реальностью и сразу при изменениях: новая система, цель, ответственный, обработчик, изменение закона. Контроль выполнения требований к защите в информационных системах проводится не реже 1 раза в 3 года (п. 17 постановления № 1119).

### Нужно ли ознакомить сотрудников с документами?

Закон называет ознакомление работников, непосредственно осуществляющих обработку, с политикой, локальными актами и законодательством и (или) их обучение (п. 6 ч. 1 ст. 18.1). По работникам ТК требует ознакомления под роспись с документами о порядке обработки (п. 8 ст. 86).

### Что входит в пакет документов по 152-ФЗ у ФТИ и сколько он стоит?

Пакет стоит 9 900 ₽: разбор вашей обработки, политика и согласия, локальные акты под вашу ситуацию (положение об обработке, приказ об ответственном, перечни, инструкции, журналы) и правки до вашего «принимаю». Точный состав называем после разбора, до оплаты. С уведомлением и документами для сайта пакет «Старт» стоит 14 900 ₽ вместо 18 700 ₽.

### Когда документы по персональным данным нужно обновить?

При изменении обработки или закона. Если изменились сведения из ч. 3 ст. 22, Роскомнадзору нужно сообщить об этом не позднее 15-го числа месяца, следующего за месяцем изменений (ч. 7 ст. 22). Обновление при изменениях закона, сайта и систем входит в сопровождение за 1 990 ₽ в месяц.