Персональные данные

Инструкция ответственного за обработку персональных данных: образец

Редактор ФТИ 7 октября 2026 9 мин чтения

Коротко

Закон не требует отдельной инструкции ответственного, но называет его задачи в ч. 4 ст. 22.1. Показываем структуру инструкции, образец ключевых разделов с вымышленными данными и разницу между инструкцией, приказом и должностной инструкцией.

Коротко: закон не требует отдельной инструкции для ответственного за обработку персональных данных. Он требует назначить такого человека (ч. 1 ст. 22.1 закона № 152-ФЗ) и называет три его задачи, причём со словами «в частности» (ч. 4 ст. 22.1). Инструкция — наша рекомендация: в ней три задачи расписаны на конкретные действия, сроки и документы. Ниже структура инструкции и образец её ключевых разделов с вымышленными данными.

Приказ об ответственном, инструкции и локальные акты по вашей ситуации · состав называем после разбора, до оплаты · правки до вашего «принимаю»

Документы по 152-ФЗ под ваш бизнес — 9 900 ₽

Собрать пакет →

Главное

Назначить обязано юрлицо (ч. 1 ст. 22.1 и п. 1 ч. 1 ст. 18.1). Инструкция по закону не нужна, это практика.
Три задачи по закону: внутренний контроль, доведение правил до работников, приём обращений субъектов (ч. 4 ст. 22.1). Перечень открытый.
Подчинение прямое: указания от исполнительного органа, подотчётность ему (ч. 2 ст. 22.1).
Оператор обязан давать ответственному сведения из ч. 3 ст. 22, то есть те, что идут в уведомление (ч. 3 ст. 22.1).
Приказ отвечает на вопрос «кто», инструкция на вопрос «что и как». Это разные документы.

Нужна ли инструкция: что в законе, что практика

Статья 22.1 коротка. Она говорит, кого и кому подчинить, и называет задачи. О форме назначения и о должностной инструкции в ней нет ни слова. Но назначение ответственного входит в меры оператора (п. 1 ч. 1 ст. 18.1), а по запросу Роскомнадзора оператор обязан представить документы и подтвердить, что меры приняты (ч. 4 ст. 18.1). Инструкция помогает показать, как задачи исполняются на деле.

Вопрос	Что в законе	Наша рекомендация
Назначить ответственного	Обязан оператор-юрлицо (ч. 1 ст. 22.1)	Приказ руководителя, см. статью о приказе
Что он делает	Три задачи, перечень открытый (ч. 4 ст. 22.1)	Расписать каждую на действия, сроки, документы
Кому подчиняется	Исполнительному органу, получает от него указания (ч. 2 ст. 22.1)	Зафиксировать, кому и как часто он отчитывается
Что ему дать	Сведения из ч. 3 ст. 22 (ч. 3 ст. 22.1)	Дать доступ к документам и перечню систем
Отдельная инструкция	В проверенных нами статьях не названа	Нужна, если у вас больше одного-двух работников с доступом к данным

Из чего состоит инструкция

Структуру закон не задаёт. Ниже разделы, которые мы предлагаем. Колонка «Откуда» показывает, что взято из нормы, а что из практики.

Раздел	Что писать	Откуда
1. Общие положения	Кто назначен, кому подчиняется, на что опирается	Норма: ч. 1 и 2 ст. 22.1
2. Задачи	Три задачи из закона дословно, при желании свои	Норма: ч. 4 ст. 22.1
3. Внутренний контроль	Что и как часто проверять: цели и состав данных, доступы, формы на сайте, уничтожение по достижении цели	Задача из закона, периодичность — практика. Контроль и (или) аудит — мера по п. 4 ч. 1 ст. 18.1
4. Доведение до работников	Лист ознакомления, обучение новичков, напоминание при изменениях	Норма: п. 2 ч. 4 ст. 22.1, п. 6 ч. 1 ст. 18.1. Форма — практика
5. Обращения субъектов	Кто принимает, где регистрирует, кто подписывает ответ, внутренний срок	Задача из закона (п. 3 ч. 4 ст. 22.1); сроки ответа — ст. 14, 20, 21
6. Инциденты	Кому сообщить внутри, кто готовит уведомление Роскомнадзору	Сроки 24 и 72 часа в ч. 3.1 ст. 21; роль ответственного в инциденте закон не закрепляет — практика
7. Уведомление и изменения	Кто готовит сведения для реестра, кто следит за сроком	Норма: ч. 7 ст. 22 (до 15-го числа следующего месяца)
8. Права ответственного	Доступ к сведениям, запрос документов и объяснений	Часть норма (ч. 3 ст. 22.1), часть практика
9. Отчётность	Кому и как часто докладывает	Практика, исходя из ч. 2 ст. 22.1

Образец ключевых разделов

Образец с вымышленными данными: организация «Образец», фамилии придуманы. Это не утверждённая форма, закон такой формы не устанавливает. Подставьте свои данные в квадратных скобках.

Общество с ограниченной ответственностью «Образец»

ИНСТРУКЦИЯ
лица, ответственного за организацию обработки персональных данных
Утверждена приказом от [дата] № [номер]

1. Общие положения
1.1. Ответственный назначается [приказом руководителя]; обязанность организации-оператора назначить его установлена ч. 1 ст. 22.1 Федерального закона от 27.07.2006 № 152-ФЗ.
1.2. Ответственный получает указания непосредственно от генерального директора и подотчётен ему (ч. 2 ст. 22.1).
1.3. В работе Ответственный руководствуется законодательством о персональных данных, политикой оператора и локальными актами по вопросам обработки персональных данных.

2. Задачи
2.1. Осуществлять внутренний контроль за соблюдением оператором и его работниками законодательства о персональных данных, в том числе требований к защите.
2.2. Доводить до сведения работников положения законодательства, локальных актов по вопросам обработки и требований к защите.
2.3. Организовывать приём и обработку обращений и запросов субъектов персональных данных или их представителей и (или) контролировать их приём и обработку.

3. Порядок работы
3.1. Внутренний контроль. Не реже [раза в квартал] Ответственный проверяет: соответствие состава данных заявленным целям; перечень работников с доступом; формы сбора данных на сайте и в офисе; совпадение сведений на сайте со сведениями в уведомлении; уничтожение данных по достижении цели. Результат фиксируется в [справке] на имя директора.
3.2. Доведение до работников. Ответственный знакомит новых работников с документами по персональным данным в течение [срока] после приёма, ведёт лист ознакомления, напоминает об изменениях.
3.3. Обращения. Ответственный регистрирует обращение в [журнале] в день поступления, готовит проект ответа и передаёт директору на подпись так, чтобы ответ ушёл в пределах 10 рабочих дней (ч. 3 ст. 14, ч. 1 ст. 20). Если нужно продлить срок, готовит мотивированное уведомление.
3.4. Инциденты. О случайной или неправомерной передаче данных Ответственный сообщает директору [немедленно]. При инциденте, повлекшем нарушение прав субъектов, уведомление Роскомнадзора направляется в течение 24 часов с момента выявления, результаты внутреннего расследования — в течение 72 часов (ч. 3.1 ст. 21).
3.5. Уведомление Роскомнадзора. При изменении сведений Ответственный готовит данные для подачи не позднее 15-го числа месяца, следующего за месяцем изменения (ч. 7 ст. 22).

4. Права Ответственного
4.1. Получать от оператора сведения, указанные в ч. 3 ст. 22 закона (ч. 3 ст. 22.1).
4.2. [Запрашивать у подразделений документы и письменные объяснения по вопросам обработки данных.]
4.3. [Вносить директору предложения по изменению процессов и документов.]

5. Отчётность
5.1. Ответственный не реже [раза в полгода] докладывает директору о состоянии работы с персональными данными, обращениях и выявленных нарушениях.

Ответственный: ____________ / [А. С. Петрова] [дата]
Директор: ____________ / [И. И. Иванов] [дата]

Что подставить и на что смотреть

Пункт 2 повторяет закон почти дословно (пункт 1 — форма назначения, её закон не задаёт). Здесь ничего придумывать не нужно, а менять формулировки без причины не стоит.
Пункт 3.1. Периодичность и перечень проверок — ваш выбор. Закон их не задаёт. Берите то, что реально можете делать.
Пункт 3.3. Внутренний срок короче законного даёт запас на отпуск и болезнь. Порядок рассмотрения запросов разобран в статье о правилах рассмотрения запросов.
Пункт 3.4. Закон называет срок для оператора, а не для конкретного работника. Кто готовит текст, решаете вы. Подробности по срокам: утечка персональных данных: что делать за 24 часа.
Пункт 3.5. Об изменении сведений в реестре: как изменить уведомление.

Инструкция, приказ и должностная инструкция: в чём разница

Документ	О чём	Кто утверждает
Приказ о назначении	Кого назначили, на каком основании, кому подчиняется	Руководитель
Инструкция ответственного	Что и как он делает, какие у него права и отчётность	Руководитель, как приложение к приказу или отдельно
Должностная инструкция работника	Его основная трудовая функция	По правилам работодателя

Если роль ответственного получает работник с другой основной должностью, вопрос о том, как оформить дополнительную работу, относится к трудовому праву и в этой статье не разбирается. Что писать в приказе, показано в статье о приказе о назначении, а кто может быть ответственным, в обзоре по ответственному.

Не путайте с ответственным за безопасность в информационной системе

Это другая роль из другого документа. Постановление Правительства № 1119 для 3-го и более высоких уровней защищённости требует назначить должностное лицо (работника), ответственного за обеспечение безопасности персональных данных в информационной системе (п. 14–16). Ответственный по ст. 22.1 следит за законностью обработки: цели, обращения, ознакомление. Один ли это человек, закон не говорит, решает оператор. Уровень защищённости определяется по самому постановлению.

Как мы помогаем

В пакет «Документы по 152-ФЗ» за 9 900 ₽ входят приказ об ответственном, локальные акты и инструкции по вашей ситуации. Состав мы называем после разбора и до оплаты, правки включены, пока вы не напишете «принимаю». Подскажем, как ознакомить сотрудников под подпись. Те, кто хочет подготовить ответственного сами, могут пройти курс «Защита персональных данных»: повышение квалификации, 72 часа, дистанционно, 3 800 ₽, удостоверение с записью в ФИС ФРДО. Курс не выдаёт готовых документов, а на программу принимают с образованием не ниже среднего профессионального. Закон курса не требует: он говорит «ознакомление и (или) обучение» (п. 6 ч. 1 ст. 18.1).

Разберём ваш бизнес и скажем, какие документы нужны именно вам · пакет «Старт» (уведомление, документы, документы для сайта) — 14 900 ₽ вместо 18 700 ₽

Нужна не одна инструкция, а весь комплект?

Смотреть услуги ФТИ →

Какие документы по персональным данным вообще нужны и какие из них закон называет прямо, разобрано в обзоре комплекта документов. Как инструкция связана с политикой, показано в обзоре по политике обработки. Журнал, в который записывают обращения, описан в статье о журнале обращений.

Нормативные документы

На эти документы опирается статья. Ссылки ведут на официальные тексты в справочных правовых системах.

Частые вопросы

Обязательна ли инструкция ответственного за обработку персональных данных?

Закон такой инструкции не называет. Статья 22.1 требует назначить ответственного и перечисляет его задачи (ч. 4). Инструкция — наша рекомендация: она помогает показать по запросу Роскомнадзора, как задачи исполняются (ч. 4 ст. 18.1).

Какие обязанности у ответственного за обработку персональных данных по закону?

Три, и перечень открытый («в частности»): внутренний контроль соблюдения закона оператором и работниками, доведение до работников положений закона и локальных актов, организация приёма и обработки обращений субъектов или контроль за этим (ч. 4 ст. 22.1).

Чем инструкция отличается от приказа о назначении?

Приказ называет человека и основание назначения. Инструкция описывает, что он делает, какие у него права и кому он отчитывается. Приказ обычный способ подтвердить назначение, инструкция — способ расписать задачи.

Нужна ли инструкция, если организация маленькая?

Если ответственный один и работников с доступом к данным мало, достаточно приказа с перечнем задач из ч. 4 ст. 22.1. Отдельная инструкция нужна, когда задач и людей больше, чтобы ничего не терялось. Это наша рекомендация, закон так не делит.

Нужна ли инструкция индивидуальному предпринимателю?

Обязанности назначать ответственного у ИП по ст. 22.1 нет: статья говорит об операторе, являющемся юридическим лицом. Если предприниматель сам поручил эту роль работнику, инструкция ему тоже пригодится.

Кому подчиняется ответственный?

Он получает указания непосредственно от исполнительного органа организации и подотчётен ему (ч. 2 ст. 22.1). Поэтому в инструкции стоит указать, кому и как часто он докладывает.

Можно ли добавить в инструкцию свои задачи?

Да. В ч. 4 ст. 22.1 стоят слова «в частности», перечень открытый. Руководитель вправе добавить, с учётом трудового договора, например, подготовку сведений для уведомления Роскомнадзора.

Должен ли ответственный проходить обучение или курс?

Закон этого не требует. В ч. 1 ст. 18.1 названо «ознакомление и (или) обучение» работников, которые обрабатывают данные. Курс — один из способов подготовиться, а не обязанность.

Сколько стоит подготовить инструкцию и другие документы?

Пакет «Документы по 152-ФЗ» стоит 9 900 ₽: приказ об ответственном, локальные акты и инструкции по вашей ситуации. Точный состав называем после разбора, до оплаты, правки включены до вашего «принимаю».