Персональные данные

Документы по персональным данным: что обязательно, а что по ситуации

Редактор ФТИ 7 октября 2026 11 мин чтения

Коротко

Закон не задаёт набор из числа обязательных документов по персональным данным. Разбираем, что названо прямо, что относится к практике, минимальный пакет малого бизнеса, шаблоны против индивидуальной разработки и пересмотр.

Коротко: закона с обязательным набором из заданного числа документов по персональным данным нет. По части 1 статьи 18.1 закона № 152-ФЗ оператор сам определяет состав и перечень мер, если иное не предусмотрено федеральными законами. Прямо закон называет немногое: политику, локальные акты по вопросам обработки и ответственного (для юридического лица), согласия там, где они служат основанием, и документ об уничтожении данных. Журналы, положения, перечни и регламенты это практика, и мы так и помечаем: наша рекомендация.

Разбор вашей обработки, политика, согласия, локальные акты · правки до вашего «принимаю» · столько документов, сколько нужно именно вам

Документы по 152-ФЗ под ваш бизнес — 9 900 ₽

Собрать пакет →

Главное

Состав мер определяет оператор (ч. 1 ст. 18.1). Числа «обязательных документов» в законе нет.
Прямо названы: политика, локальные акты по вопросам обработки, ответственный, согласия по ст. 9, подтверждение уничтожения.
Локальные акты и ответственный названы для оператора-юридического лица (п. 1, 2 ч. 1 ст. 18.1, ст. 22.1). Политику публикует любой оператор (ч. 2 ст. 18.1).
Журналы, перечни, инструкции, комиссии это практика. Они нужны, чтобы по запросу Роскомнадзора подтвердить принятые меры (ч. 4 ст. 18.1).
Документы описывают вашу реальную обработку и не спорят с сайтом и уведомлением.

Что закон называет прямо

Ниже документы и меры, которые названы в тексте закона или в акте, на который он отсылает. Форму и название документа закон, как правило, не задаёт: важно содержание.

Документ или мера	Что говорит закон	Подробно
Политика в отношении обработки ПДн	Издание политики названо для оператора-юрлица (п. 2 ч. 1 ст. 18.1). Опубликовать или иным образом обеспечить доступ обязан любой оператор, при сборе через интернет — на страницах сайта (ч. 2 ст. 18.1)	хаб о политике обработки
Локальные акты по вопросам обработки	Для юрлица (п. 2 ч. 1 ст. 18.1): для каждой цели определить категории и перечень данных, категории субъектов, способы, сроки обработки и хранения, порядок уничтожения; отдельно акты о процедурах выявления и предотвращения нарушений. Название не задано	положение об обработке
Ответственный за организацию обработки	Назначает оператор-юрлицо (ч. 1 ст. 22.1). Приказ это практика, формы закон не задаёт	приказ о назначении ответственного
Согласие субъекта	Нужно, когда оно служит основанием (п. 1 ч. 1 ст. 6). Оформляется отдельно от иных документов (ч. 1 ст. 9). Доказывать получение должен оператор (ч. 3 ст. 9)	хаб о согласии
Подтверждение уничтожения	Ч. 7 ст. 21 и приказ Роскомнадзора № 179: акт, а при автоматизированной обработке ещё и выгрузка из журнала событий; хранятся 3 года	акт уничтожения
Уведомление в Роскомнадзор	До начала обработки подаёт любой оператор, у которого нет исключения из ч. 2 ст. 22. Не локальный акт, но обязательный документ	хаб об уведомлении
Ознакомление работников	Ознакомить работников с законодательством, политикой и локальными актами и (или) обучить их (п. 6 ч. 1 ст. 18.1). По работникам: ознакомление под роспись с документами о порядке обработки (п. 8 ст. 86 ТК)	как утвердить документы
Определение угроз и уровня защищённости в ИСПДн	Ч. 2 ст. 19 и постановление № 1119: 4 уровня защищённости, требования зависят от уровня	положение о защите
Обработка без средств автоматизации	Постановление № 687: обособление данных, типовые формы, раздельное хранение носителей, места хранения и перечень лиц с доступом	учёт носителей

Название документа свободное: закон говорит «документы, определяющие политику» и «локальные акты по вопросам обработки», а не «положение» и «приказ». Содержание такие акты не вправе ограничивать права субъектов или возлагать на оператора обязанности, которых нет в законодательстве (п. 2 ч. 1 ст. 18.1).

Что относится к практике

Эти документы закон по названию не требует. Мы рекомендуем их по одной причине: по запросу Роскомнадзора оператор обязан представить документы и локальные акты и (или) иным образом подтвердить принятие мер (ч. 4 ст. 18.1). Журнал или акт это самый простой «иной способ». Нужен документ или нет, зависит от вашей обработки, а не от списка.

Документ	Зачем (наша рекомендация)	Опора в законе	Статья
Перечень персональных данных	Зафиксировать для каждой цели, какие данные и о ком вы обрабатываете	Ч. 5 ст. 5; п. 2 ч. 1 ст. 18.1	перечень ПДн
Перечень ИСПДн	Понять, к каким системам применять уровни защищённости	П. 10 ст. 3; постановление № 1119	перечень ИСПДн
Журнал обращений субъектов	Показать сроки и содержание ответов. Закон журнал не требует	Ст. 14, 20, 21	журнал обращений
Журнал учёта носителей	Закон называет учёт машинных носителей среди мер, форму не задаёт	П. 5 ч. 2 ст. 19	журнал учёта носителей
Инструкция ответственного	Закрепить задачи, которые закон называет в общем виде	Ч. 4 ст. 22.1	инструкция ответственного
Обязательство о неразглашении	Закрепить конфиденциальность для допущенных работников	Ст. 7; п. 8 ст. 86, ст. 88 ТК	обязательство о неразглашении
Правила рассмотрения запросов и образец ответа	Не пропустить срок: 10 рабочих дней, продление до 5	Ст. 14, ч. 1–2 ст. 20	правила рассмотрения запросов, ответ на запрос
Уведомление субъекта	Когда данные получены не от человека	Ч. 3–4 ст. 18	уведомление субъекта
Комиссия по уничтожению	Закон комиссию не требует. Практика для акта	Ч. 7 ст. 21; приказ № 179	комиссия по уничтожению
Регламент реагирования на инциденты	Уложиться в 24 и 72 часа	Ч. 3.1 ст. 21	регламент по инцидентам
Документы кадровой службы	Согласия, ознакомление, перечень работников с доступом	Ст. 65, 86–89 ТК	документы для кадров
Документы бухгалтерии	Данные работников и контрагентов, основания, хранение	П. 2, 5 ч. 1 ст. 6; ст. 29 ФЗ-402	персональные данные в бухгалтерии

Минимальный пакет малого бизнеса

Универсального минимума нет, он зависит от того, что и как вы обрабатываете. Мы опираемся на то, что закон называет прямо: ст. 18.1, ст. 22.1, согласия и публикация политики. Три типичные ситуации.

Ситуация	Что обычно нужно	Что не нужно по закону
ИП, сайт с формой заявки, без работников	Уведомление (сайт с формой, по нашему прочтению, это автоматизированная обработка, ст. 22). Политика на сайте (ч. 2 ст. 18.1). Согласие в форме, если оно основание (ст. 9). Наша рекомендация: короткий перечень целей и данных	Ответственный: ст. 22.1 называет оператора-юрлицо. Локальные акты по п. 2 ч. 1 ст. 18.1 названы для юрлица
ООО с работниками и сайтом	Всё из строки выше, плюс приказ об ответственном, положение об обработке с перечнем данных, согласия работников там, где они нужны, ознакомление под роспись (п. 8 ст. 86 ТК). Наша рекомендация: правила рассмотрения запросов	Десятки «обязательных» журналов. Каждый нужен, если без него вы не можете показать выполнение меры
Организация с информационной системой (CRM, 1С, платформа)	Всё выше, плюс определение угроз и уровня защищённости (ч. 2 и 3 ст. 19, постановление № 1119), перечень лиц с доступом, учёт машинных носителей. Наша рекомендация: положение о защите и перечень ИСПДн	Меры сверх вашего уровня защищённости: требования постановления № 1119 зависят от уровня (п. 13–16), а не от размера бизнеса

По нашему прочтению, ИП при этом не освобождается от остальных мер: часть 1 статьи 18.1 обязывает любого оператора принимать необходимые и достаточные меры. Поэтому и ИП мы советуем хотя бы одну страницу с целями, данными и сроками. Порядок утверждения и ознакомления разобран в статье о приказе об утверждении документов.

Готовые шаблоны против индивидуальной разработки

Закон не запрещает использовать готовую форму. Важно одно: документ должен описывать вашу реальную обработку (п. 2 ч. 1 ст. 18.1) и не расходиться с сайтом и уведомлением. Приказ Минцифры № 720 считает индикатором риска три и более расхождения между уведомлением и сведениями на сайте. Вот честное сравнение.

	Готовая форма или генератор	Индивидуальная разработка
Когда подходит	Одна простая обработка: сайт с формой заявки, нет сотрудников, нет зарубежных сервисов, нет детей и здоровья	Несколько целей, сотрудники, CRM или платформа, зарубежные сервисы, данные детей или здоровья
Скорость и цена	Минуты, дёшево или бесплатно	Дни, дороже
Главный риск	Описана чужая обработка: другие цели, сервисы, сроки	Зависит от исполнителя: проверяйте, что документ написан под ваши данные
Что сделать самому	Вписать цели, данные, сервисы, срок хранения; сверить с сайтом и уведомлением	Рассказать, как вы работаете с данными, и прочитать результат
Как обновлять	Самостоятельно при каждом изменении	Тоже при каждом изменении: кто-то должен о нём узнать

Если вы уже скачали форму, её не обязательно выбрасывать: достаточно сверить с реальностью. Мы так и делаем на разборе: берём ваши документы, сайт и системы и показываем, что расходится. Для сайтов у нас есть отдельная проверка, описанная в статье о подготовке сайта к проверке Роскомнадзора.

Ежегодный пересмотр документов

Срока пересмотра документов в законе нет. Есть общие нормы: оператор обязан принимать необходимые и достаточные меры (ч. 1 ст. 18.1), осуществлять внутренний контроль и (или) аудит (п. 4 ч. 1 ст. 18.1) и держать уведомление в актуальном виде: при изменении сведений уведомить Роскомнадзор не позднее 15-го числа месяца, следующего за месяцем изменений (ч. 7 ст. 22). Для информационных систем есть срок: контроль выполнения требований к защите проводится не реже 1 раза в 3 года (п. 17 требований постановления № 1119).

Наша рекомендация: раз в год открывать комплект и сверять его с жизнью, а между сверками пересматривать документы по триггерам.

Новая система или сервис: CRM, рассылки, аналитика, облако, особенно зарубежные.
Новая цель обработки или новые категории данных и людей.
Смена ответственного, адреса, наименования, обработчика.
Изменение закона: в 2022 году появились ч. 3.1 ст. 22 и ч. 3 ст. 12, в 2025 году отдельное оформление согласия (ч. 1 ст. 9) и новая редакция ч. 5 ст. 18.
Инцидент или обращение, которые показали пробел в порядке.

Как менять политику и что делать с уведомлением, расписано в статье об обновлении политики обработки.

Как ввести комплект в действие

Документы работают, когда они утверждены и о них знают люди. Закон не устанавливает порядок утверждения локальных актов, поэтому действуйте по обычной практике: приказ руководителя об утверждении и вводе в действие, лист ознакомления с подписями, архив редакций. Для работников есть прямая норма: ознакомление под роспись с документами о порядке обработки данных (п. 8 ст. 86 ТК). Новых работников знакомят при приёме. Политику публикуют на сайте, а внутренние акты не публикуют. Если положение, перечень и журнал противоречат друг другу, при запросе документов это заметно сразу, поэтому после каждой правки сверяйте их между собой.

Как мы помогаем

ФТИ — учебный центр, персональные данные мы ведём для себя каждый день. Услуги ведёт юрист Максим Ромазанов, работаем дистанционно по всей России.

Документы по 152-ФЗ — 9 900 ₽. Разбор вашей обработки, политика и согласия, локальные акты под вашу ситуацию (в описании пакета: положение об обработке, приказ об ответственном, перечни, инструкции, журналы). Правки включены, пока вы не напишете «принимаю». Точный состав называем после разбора, до оплаты.
Пакет «Старт» — 14 900 ₽ вместо 18 700 ₽: уведомление в Роскомнадзор, документы по 152-ФЗ и документы для сайта. Все услуги ФТИ собраны на одной странице.
Сопровождение — 1 990 ₽ в месяц или 19 900 ₽ в год: обновление политики, согласий и актов при изменении закона, сайта или систем, изменения в реестре, проверка сайта раз в полгода. О новых сервисах и сотрудниках нужно сообщать нам.

Чего в услуге нет: оферты, пользовательского соглашения и договоров как отдельных документов. На сайте мы проверим стык таких текстов с политикой и согласием. Если ответственным назначаете сотрудника, ему подойдёт курс «Защита персональных данных»: повышение квалификации, 72 часа, дистанционно, удостоверение с записью в ФИС ФРДО. Закон требует ознакомления и (или) обучения (п. 6 ч. 1 ст. 18.1), а не обязательно этого курса. Курс не выдаёт готовых документов и не подаёт уведомление. Про ответственного подробнее в статье об ответственном за обработку.

Звонок 20–30 минут, состав и цену называем до оплаты · консультация бесплатная

Не знаете, сколько документов нужно именно вам?

Узнать, что нужно мне →

Нормативные документы

На эти документы опирается статья. Ссылки ведут на официальные тексты в справочных правовых системах.

Частые вопросы

Сколько документов по персональным данным обязательно иметь?

Числа в законе нет. Оператор сам определяет состав мер (ч. 1 ст. 18.1 закона № 152-ФЗ). Прямо названы политика, локальные акты по вопросам обработки и ответственный (для юрлица), согласия там, где они основание, и документ об уничтожении данных. Остальное зависит от вашей обработки.

Какие документы обязательны для ООО?

Политика, опубликованная на сайте при сборе через интернет (ч. 2 ст. 18.1), локальные акты по вопросам обработки (п. 2 ч. 1 ст. 18.1), назначенный ответственный (ст. 22.1), согласия там, где они нужны (ст. 9), уведомление в Роскомнадзор (ст. 22) и ознакомление работников (п. 6 ч. 1 ст. 18.1, п. 8 ст. 86 ТК).

Какие документы нужны ИП?

Уведомление, если обработка автоматизирована, политика на сайте при сборе через интернет и согласия там, где они основание. Ответственного ст. 22.1 требует от оператора-юрлица, локальные акты п. 2 ч. 1 ст. 18.1 тоже названы для юрлица. По нашему прочтению, короткий перечень целей и данных ИП всё равно полезен.

Обязателен ли приказ о назначении ответственного?

Назначить ответственного обязан оператор-юрлицо (ч. 1 ст. 22.1). Форму закон не задаёт, приказ это практика, которая позволяет подтвердить назначение. Для ИП закон ответственного не требует.

Обязаны ли мы вести журналы по персональным данным?

Журнал обращений, журнал носителей и другие журналы закон по названию не требует. Исключение по сути: учёт машинных носителей назван в п. 5 ч. 2 ст. 19, форма не задана. Журналы это наша рекомендация: так проще подтвердить меры по запросу Роскомнадзора (ч. 4 ст. 18.1).

Можно ли взять готовые шаблоны документов из интернета?

Закон не запрещает. Проверьте, что документ описывает вашу реальную обработку (п. 2 ч. 1 ст. 18.1) и не расходится с сайтом и уведомлением. Для простой обработки форма может подойти, для нескольких целей, сотрудников и систем нужна доработка под вас.

Как часто нужно пересматривать документы?

Срока пересмотра в законе нет. Наша рекомендация: раз в год сверять комплект с реальностью и сразу при изменениях: новая система, цель, ответственный, обработчик, изменение закона. Контроль выполнения требований к защите в информационных системах проводится не реже 1 раза в 3 года (п. 17 постановления № 1119).

Нужно ли ознакомить сотрудников с документами?

Закон называет ознакомление работников, непосредственно осуществляющих обработку, с политикой, локальными актами и законодательством и (или) их обучение (п. 6 ч. 1 ст. 18.1). По работникам ТК требует ознакомления под роспись с документами о порядке обработки (п. 8 ст. 86).

Что входит в пакет документов по 152-ФЗ у ФТИ и сколько он стоит?

Пакет стоит 9 900 ₽: разбор вашей обработки, политика и согласия, локальные акты под вашу ситуацию (положение об обработке, приказ об ответственном, перечни, инструкции, журналы) и правки до вашего «принимаю». Точный состав называем после разбора, до оплаты. С уведомлением и документами для сайта пакет «Старт» стоит 14 900 ₽ вместо 18 700 ₽.

Когда документы по персональным данным нужно обновить?

При изменении обработки или закона. Если изменились сведения из ч. 3 ст. 22, Роскомнадзору нужно сообщить об этом не позднее 15-го числа месяца, следующего за месяцем изменений (ч. 7 ст. 22). Обновление при изменениях закона, сайта и систем входит в сопровождение за 1 990 ₽ в месяц.