Персональные данные

Обязанности оператора персональных данных: перечень и чек-лист

Редактор ФТИ 8 октября 2026 13 мин чтения

Коротко

Какие обязанности закон № 152-ФЗ возлагает на оператора: основание обработки, согласие, уведомление, политика, защита, сроки ответов. Таблица «обязанность, статья, документ», кого не касается уведомление и чек-лист самопроверки на 18 пунктов.

Коротко: обязанности оператора персональных данных разбросаны по статьям 5–22.1 закона № 152-ФЗ, но сводятся к восьми делам. Иметь основание для обработки (ст. 6), получить согласие там, где оно нужно (ст. 9), уведомить Роскомнадзор до начала (ст. 22), опубликовать политику (ч. 2 ст. 18.1), защитить данные (ст. 19), ответить на запрос человека в срок (ст. 14 и 20), устранить нарушение и сообщить об утечке (ст. 21), назначить ответственного, если вы юридическое лицо (ст. 22.1). Ниже таблица «обязанность — статья — документ», сроки и чек-лист для самопроверки.

Разбор, политика, согласия, локальные акты, правки до вашего «принимаю» · пишет юрист, а не генератор

Документы по 152-ФЗ под ваш бизнес — 9 900 ₽

Собрать пакет под мой бизнес →

Главное об обязанностях оператора

Размер бизнеса не важен. В ст. 1 закон исключает личные и семейные нужды, архивы и госсекретные сведения, малого бизнеса среди исключений нет.
Состав мер оператор определяет сам (ч. 1 ст. 18.1). «Шестидесяти документов» в законе нет.
Три обязанности есть у любого оператора: уведомление (ч. 1 ст. 22, кроме случаев ч. 2 ст. 22), публикация политики (ч. 2 ст. 18.1), защита данных (ст. 19).
Ответственный и локальные акты прямо названы для юридического лица (п. 1 и 2 ч. 1 ст. 18.1, ст. 22.1).
Большинство сроков считают рабочими днями: 10 на ответ человеку, 7 на исправление, 3 и 10 при неправомерной обработке. Утечка: 24 и 72 часа.
Уведомление не нужно только в трёх случаях из ч. 2 ст. 22. Ниже они разобраны.

Кто оператор и когда появляются обязанности

Оператор — это государственный или муниципальный орган, юридическое или физическое лицо, которое организует или осуществляет обработку персональных данных и определяет цели и состав данных (п. 2 ст. 3). Магазин, школа, ИП с сайтом и управляющая компания подходят под это определение, как только начинают собирать данные людей. Подробнее о том, кто оператор на практике, — в статье об операторе персональных данных.

Что такое сами персональные данные и как закон делит их на категории, объясняет главный материал кластера: что такое персональные данные. Здесь только обязанности.

Обязанности оператора по статьям закона

Редакция закона проверена 07.10.2026 по consultant.ru: ред. от 26.07.2026. На сайте справочной системы есть пометка о подготовленных редакциях с изменениями, не вступившими в силу (например, для п. 7 ч. 2 ст. 10 с 01.03.2027); в таблице они не учтены. Столбец «Документ» — наша практика, а не требование закона, если не сказано иное.

Обязанность	Статья	Документ или действие	Разбор у нас
Обрабатывать данные законно, по заявленным целям, без избыточности, хранить не дольше нужного	ст. 5, ч. 1–7	Перечни данных по целям (для юрлица — п. 2 ч. 1 ст. 18.1)	перечень персональных данных
Иметь одно из оснований обработки	ст. 6, ч. 1	Договор, закон, согласие и другие основания	обработка персональных данных
Не раскрывать данные третьим лицам и не распространять без согласия, если иное не сказано в законе	ст. 7	Обязательство работника, доступ по ролям (практика)	конфиденциальность
Получить согласие, где оно нужно, отдельно от других документов; доказать получение	ст. 9, ч. 1 и 3	Согласие в форме, позволяющей подтвердить факт получения	согласие на обработку
Особый порядок для специальных категорий и биометрии	ст. 10, 11	Согласие в письменной форме, кроме случаев из закона	биометрические данные
Отдельное согласие на распространение	ст. 10.1	Согласие по требованиям приказа РКН № 18	распространение данных
Уведомить РКН о трансграничной передаче до её начала	ч. 3 ст. 12	Отдельное уведомление	трансграничная передача
Реклама по прямым контактам только с предварительного согласия; прекратить по требованию	ст. 15	Согласие на рассылку, журнал согласий (практика)	рассылка и реклама
Ответить на запрос человека: 10 рабочих дней, продление до 5	ст. 14, ч. 1 ст. 20	Правила рассмотрения запросов, журнал (практика)	запросы субъектов
При сборе: разъяснить последствия отказа (если предоставление данных обязательно по федеральному закону), сообщить сведения, если данные получены не от человека	ст. 18, ч. 2 и 3	Уведомление субъекта об обработке	уведомление субъекта
Хранить базы граждан РФ в России	ч. 5 ст. 18	Сведения о месте базы в уведомлении (п. 10.1 ч. 3 ст. 22)	данные на сайте
Принять меры по ст. 18.1: ответственный, документы, контроль, оценка вреда, обучение	ст. 18.1, ч. 1	Положение, приказ, акты (для юрлица)	комплект документов
Опубликовать политику и сведения о защите	ч. 2 ст. 18.1	Политика на сайте и на страницах сбора данных	политика обработки
Защитить данные: правовые, организационные и технические меры	ст. 19	Модель угроз, уровень защищённости, правила доступа	защита данных
Устранять нарушения, блокировать, уничтожать, сообщать об утечке	ст. 21	Акт уничтожения, регламент инцидентов (практика)	утечка: 24 и 72 часа
Уведомить РКН до начала обработки, обновлять сведения	ст. 22	Уведомление по форме РКН	уведомление в РКН
Назначить ответственного за организацию обработки	ст. 22.1, юрлицо	Приказ о назначении	ответственный

Права человека, которым соответствуют эти обязанности, закон собирает в ст. 14–17: доступ к данным, возражение против решений, принятых только автоматически, обжалование в Роскомнадзор или суд. Решение, порождающее юридические последствия, можно принять только на основании автоматизированной обработки с письменного согласия или в случаях из федерального закона (ст. 16).

Сроки: что и за сколько дней сделать

Ситуация	Срок	Норма
Запрос человека о его данных	10 рабочих дней, продление не более чем на 5	ч. 3 ст. 14; ч. 1 ст. 20
Отказ в предоставлении сведений (мотивированный, письменно)	10 рабочих дней, продление не более чем на 5	ч. 2 ст. 20
Исправить данные после подтверждающих сведений	7 рабочих дней	ч. 3 ст. 20; ч. 2 ст. 21
Прекратить неправомерную обработку / уничтожить, если правомерность обеспечить нельзя	3 рабочих дня / 10 рабочих дней с выявления	ч. 3 ст. 21
Цель достигнута	не более 30 дней	ч. 4 ст. 21
Отзыв согласия	не более 30 дней	ч. 5 ст. 21
Требование человека прекратить обработку	10 рабочих дней, продление не более чем на 5	ч. 5.1 ст. 21
Запрос Роскомнадзора	10 рабочих дней, продление не более чем на 5	ч. 4 ст. 20
Инцидент с нарушением прав людей	24 часа и 72 часа с момента выявления	ч. 3.1 ст. 21
Изменились сведения в уведомлении	до 15-го числа следующего месяца	ч. 7 ст. 22
Прекратили обработку	10 рабочих дней	ч. 7 ст. 22

Если уничтожить данные в срок нельзя, оператор блокирует их и обеспечивает уничтожение не позднее чем через шесть месяцев, если федеральный закон не устанавливает иной срок (ч. 6 ст. 21). Подтверждение уничтожения делают по требованиям Роскомнадзора (ч. 7 ст. 21): акт уничтожения. Порядок остановки обработки — в статье о прекращении обработки.

Что обязательно юридическому лицу, а что ИП

Назначить ответственного (п. 1 ч. 1 ст. 18.1; ст. 22.1) и издать политику с локальными актами (п. 2 ч. 1 ст. 18.1) закон прямо требует от оператора, который является юридическим лицом. ИП в этих нормах не назван: там прямо сказано «оператор, являющийся юридическим лицом». Публиковать политику (ч. 2 ст. 18.1), уведомлять Роскомнадзор (ст. 22), защищать данные (ст. 19) и отвечать на запросы обязан любой оператор, ИП в том числе. Ознакомление работников с законом и (или) их обучение (п. 6 ч. 1 ст. 18.1) закон называет мерой, «в частности» входящей в перечень, а состав мер оператор определяет сам.

Кого не касается уведомление

Обязанность уведомить Роскомнадзор о намерении обрабатывать данные лежит на операторе до начала обработки (ч. 1 ст. 22). Исключения закреплены в ч. 2 ст. 22, и их осталось три: пункты 7, 8 и 9. Пункты 1–6 утратили силу с 1 сентября 2022 года (ФЗ № 266), поэтому «у нас только сотрудники» или «только по договору» больше не повод не подавать.

Пункт ч. 2 ст. 22	Кто может не уведомлять	Пояснение (наше прочтение)
п. 7	Данные включены в государственные информационные системы персональных данных, созданные в целях защиты безопасности государства и общественного порядка	Касается специфических государственных систем, бизнесу почти не встречается
п. 8	Оператор осуществляет деятельность по обработке исключительно без использования средств автоматизации	Только бумажные картотеки. Если данные есть в 1С, Excel, CRM или на сайте с формой, обработка автоматизированная (п. 4 ст. 3: «с помощью средств вычислительной техники»)
п. 9	Данные обрабатываются в случаях, предусмотренных законодательством о транспортной безопасности, для безопасного функционирования транспортного комплекса	Узкий случай для субъектов транспортной инфраструктуры

Отдельная история — люди, к которым закон не применяется вообще: физлицо, обрабатывающее данные исключительно для личных и семейных нужд, если не нарушаются права других (п. 1 ч. 2 ст. 1). Это не исключение из уведомления, а выход за пределы сферы действия закона. Как подать уведомление и что в нём указать — в статье об уведомлении об обработке персональных данных. Подача бесплатна (ч. 5 ст. 22), сведения вносят в реестр в течение 30 дней (ч. 4 ст. 22).

Чек-лист самопроверки оператора

Пройдите пункты и отметьте, где ответ «не знаю». В скобках норма. Пометка «практика» значит, что закон документ не требует, а мы его рекомендуем.

Цели названы. Для каждой цели понятно, какие данные нужны и чьи (ч. 2 и 5 ст. 5).
Основание выбрано. У каждой цели есть основание из ч. 1 ст. 6.
Согласие там, где оно нужно, оформлено отдельно и его получение можно показать (ч. 1 и 3 ст. 9).
Письменное согласие там, где его требует закон (ч. 4 ст. 9; специальные категории — ч. 2 ст. 10; биометрия — ст. 11).
Данные не избыточны, хранятся не дольше, чем нужно (ч. 5 и 7 ст. 5); сроки по целям юрлицо определяет в локальных актах (п. 2 ч. 1 ст. 18.1).
Уведомление подано до начала обработки (ч. 1 ст. 22), изменения поданы до 15-го числа (ч. 7 ст. 22).
Уведомление совпадает с сайтом и политикой. Практика, но у Роскомнадзора для этого есть индикатор риска по приказу Минцифры № 720: три и более расхождения.
Политика опубликована, для сбора через интернет — на страницах сайта со сбором данных (ч. 2 ст. 18.1).
Юридическое лицо назначило ответственного и издало локальные акты (п. 1 и 2 ч. 1 ст. 18.1; ст. 22.1).
Работники, которые обрабатывают данные, ознакомлены с правилами или обучены (п. 6 ч. 1 ст. 18.1). Форму закон не задаёт.
Меры защиты определены и применяются (ст. 19; для информационных систем — угрозы, уровень защищённости, правила доступа).
Есть внутренний контроль и оценка вреда (п. 4 и 5 ч. 1 ст. 18.1).
Порядок ответа на запросы людей укладывается в 10 рабочих дней (ст. 14 и 20). Журнал обращений — практика.
Известно, как прекратить обработку и уничтожить данные в сроки ст. 21 и подтвердить уничтожение (ч. 7 ст. 21). Акт — практика.
Есть план на утечку: кто и за 24 часа сообщает Роскомнадзору (ч. 3.1 ст. 21). Регламент — практика.
Базы граждан РФ лежат в России (ч. 5 ст. 18), а для передачи за рубеж подано отдельное уведомление (ч. 3 ст. 12).
Поручения обработчикам оформлены договором с обязательными условиями (ч. 3 ст. 6).
Документы можно показать по запросу Роскомнадзора (ч. 4 ст. 18.1).

Три и больше ответов «не знаю» значат, что стоит вернуться к документам: как собрать комплект документов и как подготовить сайт к проверке.

Что бывает, если обязанность не выполнена

Ответственность по ст. 13.11 КоАП зависит от того, какую обязанность нарушили, а суммы в статье даны границами диапазонов, а не фиксированными числами. Для коммерческих организаций: не опубликована политика — от 30 до 60 тыс. ₽ (ч. 3), не предоставлена информация человеку — от 40 до 80 тыс. ₽ (ч. 4), не выполнено или несвоевременно выполнено уведомление — от 100 до 300 тыс. ₽ (ч. 10). У НКО, государственных и муниципальных органов по ч. 10 отвечает должностное лицо, 30–50 тыс. ₽ (примечания 2–3 к ст. 13.11). Для ИП в ч. 3 и 4 свои суммы, в ч. 10 он отвечает как юридическое лицо (примечание 1 к ст. 13.11). Срок давности — один год (ст. 4.5 КоАП). Полная таблица по частям — в материале о штрафах за персональные данные.

Как мы помогаем

ФТИ — учебный центр, а услуги по персональным данным ведёт юрист по образованию. Что можно заказать, исходя из страниц услуг:

Уведомление в Роскомнадзор под ключ — 4 900 ₽. Заполним по каждой цели и подадим; вход на портал делает ваш руководитель. Подача в Роскомнадзор бесплатна, вы платите за работу.
Документы по 152-ФЗ — 9 900 ₽. Разбор вашего бизнеса, политика, согласия, локальные акты по вашей ситуации. Точный состав называем после разбора, до оплаты. Правки включены до вашего «принимаю».
Пакет «Старт» — 14 900 ₽ вместо 18 700 ₽: уведомление, документы и документы для сайта. Подробности на странице услуг ФТИ.
Сопровождение по персональным данным — 1 990 ₽ в месяц или 19 900 ₽ в год: изменения в реестре, обновление документов, консультации в мессенджере, проверка сайта раз в полгода.

Звонок 20–30 минут: что за бизнес, какие данные, какие системы · скажем честно, в том числе когда услуга не нужна

Не знаете, что из чек-листа у вас закрыто?

Подобрать услугу →

Если ответственным будете вы сами, есть курс «Защита персональных данных»: повышение квалификации, 72 часа, дистанционно, удостоверение с записью в ФИС ФРДО. На программу принимают с образованием не ниже среднего профессионального (ч. 3 ст. 76 закона № 273-ФЗ). Закон говорит об «ознакомлении и (или) обучении» работников (п. 6 ч. 1 ст. 18.1) и не требует именно курса. Курс не выдаёт готовых документов и не подаёт уведомление. Об этом подробнее — в статье об обучении по персональным данным.

Нормативные документы

На эти документы опирается статья. Ссылки ведут на официальные тексты в справочных правовых системах.

Частые вопросы

Какие основные обязанности у оператора персональных данных?

Иметь основание обработки (ст. 6), получить согласие там, где оно нужно (ст. 9), уведомить Роскомнадзор до начала (ст. 22), опубликовать политику (ч. 2 ст. 18.1), защитить данные (ст. 19), отвечать на запросы людей в срок (ст. 14 и 20), устранять нарушения и сообщать об утечке (ст. 21). Юридическое лицо ещё назначает ответственного (ст. 22.1).

Кого не касается обязанность уведомить Роскомнадзор?

Закон оставляет три исключения в ч. 2 ст. 22: государственные информационные системы для защиты безопасности государства и общественного порядка (п. 7), деятельность исключительно без средств автоматизации (п. 8) и случаи по законодательству о транспортной безопасности (п. 9). Исключения для сотрудников и договоров утратили силу с 1 сентября 2022 года.

Нужно ли подавать уведомление, если у меня только сотрудники?

Да, если данные хранятся с помощью компьютера, например в 1С или Excel. Прежнее исключение для данных работников отменено с 1 сентября 2022 года. Не нужно только тем, кто ведёт исключительно бумажный учёт (п. 8 ч. 2 ст. 22).

Должен ли ИП назначать ответственного за обработку персональных данных?

Прямо закон требует назначить ответственного от оператора, который является юридическим лицом (п. 1 ч. 1 ст. 18.1, ст. 22.1). Остальные обязанности, в том числе уведомление, политика на сайте и защита данных, касаются и ИП.

Сколько документов обязательно иметь оператору?

Число в законе не названо. Оператор сам определяет состав мер, необходимых и достаточных для выполнения обязанностей (ч. 1 ст. 18.1). Для юридического лица названы политика и локальные акты, для сайта обязательно опубликованная политика.

За сколько дней нужно ответить на запрос человека о его данных?

За 10 рабочих дней с момента обращения или получения запроса. Срок можно продлить не более чем на 5 рабочих дней, направив мотивированное уведомление (ч. 3 ст. 14, ч. 1 ст. 20).

Что делать, если произошла утечка данных?

Уведомить Роскомнадзор в течение 24 часов с момента выявления инцидента, повлёкшего нарушение прав людей, а в течение 72 часов сообщить о результатах внутреннего расследования (ч. 3.1 ст. 21). Подробнее в статье про сроки 24 и 72 часа.

Какой штраф за отсутствие политики на сайте?

Статья 13.11 КоАП, часть 3: организации от 30 до 60 тыс. ₽, ИП от 10 до 20 тыс. ₽, должностные лица от 6 до 12 тыс. ₽. Это границы диапазонов, конкретную сумму определяет орган, рассматривающий дело.

Сколько стоит собрать документы оператора под ключ?

Пакет документов по 152-ФЗ в ФТИ — 9 900 ₽, правки включены до вашего «принимаю», точный состав называем после разбора до оплаты. Уведомление в Роскомнадзор — 4 900 ₽, пакет «Старт» с уведомлением, документами и документами для сайта — 14 900 ₽ вместо 18 700 ₽.