# Ответственный за обработку персональных данных: кого назначить и что он делает

> Источник: https://ftex.pro/blog/otvetstvennyj-za-obrabotku-personalnyh-dannyh/  
> Опубликовано: 06.10.2026  
> Раздел: Персональные данные  
> Описание: Кто обязан назначить ответственного за обработку ПДн по ст. 22.1 152-ФЗ, кого можно назначить, его задачи, уведомление и ИП. Документы по 152-ФЗ — 9 900 ₽.  
> Издатель: Финансово-технологический институт (ftex.pro), образовательная лицензия Л035-01270-29/05390506

**Коротко: юридическое лицо обязано назначить ответственного за организацию обработки персональных данных (ч. 1 ст. 22.1 закона № 152-ФЗ).** Он получает указания напрямую от исполнительного органа организации (директора или коллегиального органа), подотчётен ему и отвечает за внутренний контроль, доведение правил до работников и приём обращений людей. ИП назначать ответственного статья 22.1 не обязывает, но поле об ответственном есть в форме уведомления. Закон не требует от ответственного ни особого образования, ни курса, ни удостоверения.

 

Политика, согласия, приказ об ответственном и локальные акты пишет юрист под вашу организацию · правки до вашего «принимаю»

 

Приказ об ответственном и другие документы под ваш бизнес: 9 900 ₽

 

[Собрать пакет документов →](https://ftex.pro/dokumenty-po-152-fz/)

 

**Главное об ответственном**

 

- **Назначить обязано юрлицо** (ч. 1 ст. 22.1 и п. 1 ч. 1 ст. 18.1). У ИП такой обязанности в статье 22.1 нет.
- **Подчинение прямое:** указания от исполнительного органа организации, отчёт перед ним (ч. 2 ст. 22.1).
- **Три задачи по закону:** внутренний контроль, доведение правил до работников, приём обращений субъектов (ч. 4 ст. 22.1). Перечень открытый, слова «в частности».
- **Его данные идут в уведомление** вместе с телефоном, почтовым адресом и почтой (п. 7.1 ч. 3 ст. 22). Реестр общедоступен.
- **Сменился человек** — подайте изменения до 15-го числа следующего месяца (ч. 7 ст. 22).
- **Требований к образованию и обучению** ответственного в статье 22.1 нет.

 

## Кто обязан назначить ответственного

 

Статья 22.1 начинается с одной фразы: оператор, являющийся юридическим лицом, назначает лицо, ответственное за организацию обработки персональных данных. То же самое названо в числе мер оператора в пункте 1 части 1 статьи 18.1. Критерий один: форма оператора. Размер, число сотрудников и наличие сайта значения не имеют.

 

| Кто вы | Обязаны назначить | Что важно |
|---|---|---|
| ООО, АО, учреждение, НКО (юридическое лицо) | Да | ч. 1 ст. 22.1. Разбор для ООО: [уведомление для ООО](https://ftex.pro/blog/uvedomlenie-roskomnadzor-dlya-ooo/), для АО и НКО: [уведомление для АО и НКО](https://ftex.pro/blog/uvedomlenie-roskomnadzor-ao-nko/) |
| ИП | Нет по статье 22.1 | В форме уведомления поле об ответственном есть. Подробнее в разделе об ИП ниже |
| Физическое лицо, в том числе самозанятый | Нет, статья говорит только о юрлицах | Вопрос, когда самозанятый вообще становится оператором, разобран в статье о [самозанятых и персональных данных](https://ftex.pro/blog/samozanyatyj-i-personalnye-dannye/) |

 

Государственные и муниципальные органы отдельно упомянуты в части 3 статьи 18.1: перечень мер для них устанавливает Правительство. Здесь этот случай не разбираем.

 

## Кого можно назначить

 

Статья 22.1 говорит просто «лицо». Ограничений по должности, образованию, стажу или гражданству в ней нет. Единственное, что следует из текста: ответственный получает указания от исполнительного органа и подотчётен ему (ч. 2). Значит, он должен быть встроен в управление организацией так, чтобы руководитель мог ставить ему задачи и спрашивать с него.

 

| Кандидат | Что по закону | Наша рекомендация |
|---|---|---|
| Работник организации | Не запрещено. Это самый частый вариант | Подходит человек, у которого есть время и доступ к руководителю: юрист, руководитель кадров, офис-менеджер |
| Сам руководитель | Статья 22.1 такой случай не разбирает. Ответственный должен получать указания от исполнительного органа и быть ему подотчётен | Лучше назначить другого человека. Прямого разъяснения Роскомнадзора по этому случаю в проверенных источниках нет |
| Внешняя организация | В пункте 7.1 части 3 статьи 22 названы «физическое лицо или юридическое лицо». Руководство Роскомнадзора по заполнению формы описывает вариант «сторонняя организация», которой оператор поручил обработку по договору | Внутренним контролем и подотчётностью руководителю занимается человек внутри организации. Внешний юрист помогает, но не заменяет его |

 

**Трудовая сторона.** Если обязанность ответственного добавляется работнику, у которого её нет в трудовом договоре, это вопрос трудового права, а не закона о персональных данных. Статья 60 ТК запрещает требовать работу, не обусловленную договором. Дополнительную работу по статье 60.2 поручают с письменного согласия работника и за доплату (ст. 151 ТК). Относится ли роль ответственного к «дополнительной работе» или входит в его должность, закон не говорит, это решает работодатель. Мы советуем зафиксировать согласие работника и обязанности письменно.

 

## Что делает ответственный

 

Часть 4 статьи 22.1 перечисляет три обязанности, но со словами «в частности». Руководитель вправе добавить другие задачи.

 

| По закону (ч. 4 ст. 22.1) | Как это выглядит в работе (наша рекомендация) |
|---|---|
| Осуществлять внутренний контроль за соблюдением законодательства о персональных данных работниками и самим оператором, в том числе требований к защите | Раз в квартал сверять реальность с документами: кто имеет доступ, какие формы собирают данные, что стоит на сайте, совпадает ли это с уведомлением |
| Доводить до сведения работников положения законодательства, локальных актов и требований к защите | Вести лист ознакомления, проводить инструктаж новичкам, напоминать при изменениях. Подробнее в статье об [обучении по персональным данным](https://ftex.pro/blog/obuchenie-po-personalnym-dannym/) |
| Организовывать приём и обработку обращений и запросов субъектов данных и (или) контролировать их | Назначить адрес и срок ответа, вести журнал обращений, следить, чтобы запрос человека не потерялся в общей почте |

 

Ответственному нужны данные, чтобы работать. Поэтому часть 3 статьи 22.1 обязывает оператора предоставлять ему сведения, которые указываются в уведомлении (ч. 3 ст. 22): цели, меры защиты, место хранения базы и другое. Сам ответственный не должен узнавать об этом из реестра Роскомнадзора.

 

## Какая ответственность у самого ответственного

 

Статья 22.1 не устанавливает личной ответственности ответственного. В тексте статьи 13.11 КоАП нет отдельного состава «не назначил ответственного за обработку». Если нарушения в работе с персональными данными найдут, административная ответственность распределяется по общим правилам статьи 13.11 и примечаний к ней: организация, а в некоторых частях должностное лицо; у ИП по частям 3–6 свои суммы, а по частям 1.1 и 8–18 он отвечает как юрлицо. Кто именно им считается, разобрано в материале о [штрафах за персональные данные](https://ftex.pro/blog/shtrafy-za-personalnye-dannye/).

 

Если работник сам нарушил правила и разгласил данные, работодатель оценивает это по трудовому праву. Что говорят Трудовой кодекс (ст. 192, 243) и КоАП, написано в статье об [ответственности работника за разглашение персональных данных](https://ftex.pro/blog/otvetstvennost-rabotnika-za-razglashenie-pdn/).

 

Практический вывод такой: отсутствие ответственного не наказывается отдельной нормой, но оно видно. Сведения о нём входят в уведомление (п. 7.1 ч. 3 ст. 22), а на запрос Роскомнадзора оператор обязан подтвердить принятие мер из части 1 статьи 18.1 (ч. 4 ст. 18.1).

 

## Ответственный в уведомлении Роскомнадзору

 

В уведомлении указывают фамилию, имя, отчество физического лица или наименование юридического лица, ответственных за организацию обработки, а также номера телефонов, почтовые адреса и адреса электронной почты (п. 7.1 ч. 3 ст. 22). Сведения реестра, кроме данных о средствах защиты, общедоступны (ч. 4 ст. 22). Роскомнадзор предупреждает об этом и в руководстве по заполнению формы.

 

Поэтому лучше указывать рабочие контакты: общий телефон организации и ящик вроде privacy@ вашего домена, а не личный мобильный сотрудника.

 

**Смена ответственного.** Это изменение сведений из части 3 статьи 22. Оператор обязан уведомить Роскомнадзор не позднее 15-го числа месяца, следующего за месяцем изменения (ч. 7 ст. 22). Пример: ответственного сменили 12 марта, изменения нужно подать до 15 апреля. Если сменились только телефон или почта, срок тот же. Как подаются изменения, описано в статье об [изменении уведомления](https://ftex.pro/blog/izmenenie-uvedomleniya-v-roskomnadzor/), общий порядок: [как уведомить Роскомнадзор об обработке персональных данных](https://ftex.pro/blog/uvedomlenie-ob-obrabotke-personalnyh-dannyh/).

 

## Как оформить назначение

 

Форму назначения закон не устанавливает: статья 22.1 требует «назначить». Обычная практика (это не норма закона): приказ руководителя. Он нужен как доказательство, ведь оператор обязан по запросу Роскомнадзора подтвердить принятие мер (ч. 4 ст. 18.1).

 

Что должно быть в приказе, как выглядит образец с вымышленными данными и как оформить ознакомление под подпись, разобрано в статье о [приказе о назначении ответственного](https://ftex.pro/blog/prikaz-o-naznachenii-otvetstvennogo-za-pdn/).

 

## Ответственный, политика и локальные акты

 

Назначение ответственного входит в одну группу мер статьи 18.1 с документами оператора. Юрлицо обязано издать политику в отношении обработки и локальные акты (п. 2 ч. 1 ст. 18.1), опубликовать политику (ч. 2) и ознакомить работников (п. 6 ч. 1). Ответственный обычно держит всё это в порядке.

 

В законе нет требования указывать ответственного в тексте политики. Но если вы всё же называете его в политике или на сайте, данные должны совпадать с уведомлением. Это наша рекомендация: расхождения между сайтом и реестром видны с первого взгляда. Как готовить сайт, описано в статье о [персональных данных на сайте](https://ftex.pro/blog/personalnye-dannye-na-sajte/).

 

Заполним сведения об ответственном и по каждой цели, проверим меры защиты · подача бесплатна, вы платите только за работу

 

Подаём уведомление вместе с вами, с вашим ответственным: 4 900 ₽

 

[Заказать подачу →](https://ftex.pro/uvedomlenie-v-roskomnadzor/)

 

## Если вы ИП

 

Статья 22.1 и пункт 1 части 1 статьи 18.1 говорят только об операторе-юрлице. Обязанности назначить ответственного у ИП нет. Остальные обязанности оператора остаются: уведомление, политика, согласия там, где они нужны.

 

| Вопрос | Ответ |
|---|---|
| Нужен ли приказ о назначении? | По статье 22.1 нет. Приказ нужен, если вы сами решили поручить роль работнику |
| Что писать в уведомлении? | Поле об ответственном в электронной форме обязательное (п. 7.1 ч. 3 ст. 22). Запрета указать самого предпринимателя в статьях 22 и 22.1 нет. Прямого разъяснения Роскомнадзора для ИП без сотрудников в проверенных источниках мы не нашли |
| Нужно ли учиться? | Закон не требует. Если хотите разобраться, есть [курс «Защита персональных данных»](https://ftex.pro/kursy/zashchita-personalnyh-dannyh/) |

 

Отдельный разбор для предпринимателей: [уведомление Роскомнадзору для ИП](https://ftex.pro/blog/uvedomlenie-roskomnadzor-dlya-ip/).

 

## Не путайте с ответственным за безопасность

 

Это другая роль из другого документа. Постановление Правительства № 1119 требует для 3-го уровня защищённости персональных данных в информационных системах, чтобы было назначено должностное лицо (работник), ответственное за обеспечение безопасности персональных данных в информационной системе (п. 14). Требования 2-го и 1-го уровней включают требования предыдущего (пп. 15 и 16 вводят дополнительные требования «помимо» требований предыдущего пункта).

 

Ответственный за организацию обработки по статье 22.1 следит за законностью: основания, согласия, обращения, ознакомление. Ответственный по постановлению № 1119 отвечает за безопасность данных в информационной системе. Может ли это быть один человек, ни статья 22.1, ни пункт 14 не говорят. Решает оператор. Какой у вашей системы уровень защищённости, определяется по самому постановлению, и это не вопрос данной статьи.

 

## Нужно ли ответственному учиться

 

Закон не обязывает ответственного проходить курс. Статья 22.1 не устанавливает ни форму, ни срок его подготовки. Пункт 6 части 1 статьи 18.1 называет мерой оператора ознакомление и (или) обучение работников, которые непосредственно обрабатывают данные. Закон не требует удостоверения и не задаёт периодичность.

 

Что подойдёт ответственному, если он раньше с персональными данными не работал, зависит от задач: хватит внутреннего инструктажа или лучше пройти программу. Один из способов, курс повышения квалификации ФТИ «Защита персональных данных»: 72 часа дистанционно, удостоверение с записью в ФИС ФРДО. На программу принимают с образованием не ниже среднего профессионального (ч. 3 ст. 76 закона № 273-ФЗ). Курс не выдаёт готовых документов и не подаёт уведомление за вас. Все варианты и сравнение: [обучение по персональным данным: что требует закон](https://ftex.pro/blog/obuchenie-po-personalnym-dannym/).

 

## Частые ошибки

 

- **Назначили для галочки,** а в уведомлении указали другого человека или оставили пустое поле.
- **Сотрудник уволился,** а приказ и реестр не обновили. Срок на изменения считается от месяца, в котором это случилось: до 15-го числа следующего месяца (часть 7 статьи 22).
- **Ответственный не знает, что обещано в политике.** Обращения людей приходят на почту, которую никто не читает.
- **Приказ есть, а ознакомления нет.** Человек узнаёт о роли при проверке.
- **Роль руководителя и ответственного слиты** в одном лице, и никто не контролирует контролёра.
- **Путают с ответственным за безопасность** по постановлению № 1119.
- **ИП думает, что ничего делать не нужно.** Статья 22.1 его не касается, а остальные обязанности оператора есть.

 

## Как мы помогаем

 

ФТИ — учебный центр. Услуги по персональным данным ведёт юрист, работаем по всей России дистанционно. Что относится к теме ответственного:

 

| Что нужно | Что делаем | Цена |
|---|---|---|
| [Документы по 152-ФЗ](https://ftex.pro/dokumenty-po-152-fz/) | Разбираем ваш бизнес, пишем политику, согласия и локальные акты, включая приказ об ответственном. Правки включены, пока вы не напишете «принимаю». Подскажем, как ознакомить сотрудников под подпись | 9 900 ₽ |
| [Уведомление в Роскомнадзор под ключ](https://ftex.pro/uvedomlenie-v-roskomnadzor/) | Заполняем по каждой цели, описываем меры защиты, вносим сведения об ответственном, подаём вместе с вами. Вход на портал делает руководитель, пароли и ключи нам не передаются | 4 900 ₽ |
| [Сопровождение по персональным данным](https://ftex.pro/soprovozhdenie-po-pdn/) | Подаём сведения об изменениях в реестр в срок, обновляем документы, отвечаем на вопросы. Обучение сотрудников в подписку не входит | 1 990 ₽/мес или 19 900 ₽/год |

 

Уведомление, документы и документы для сайта вместе дают пакет «Старт» за 14 900 ₽ вместо 18 700 ₽, он описан на странице [услуг ФТИ](https://ftex.pro/uslugi/). Курс «Защита персональных данных» не заменяет ни документы, ни подачу уведомления: он учит, а не пишет за вас.

 

Повышение квалификации, удостоверение с записью в ФИС ФРДО · на программу принимают с образованием не ниже среднего профессионального

 

Курс «Защита персональных данных»: 72 часа дистанционно

 

[Смотреть программу →](https://ftex.pro/kursy/zashchita-personalnyh-dannyh/)

 

## Нормативные документы

 

На эти документы опирается статья. Ссылки ведут на официальные тексты в справочных правовых системах.

 

- [Федеральный закон № 152-ФЗ, статья 22.1 — лица, ответственные за организацию обработки персональных данных в организациях](https://www.consultant.ru/document/cons_doc_LAW_61801/ac39e94238689d353ef880365b6b400140aa1d2d/)
- [Федеральный закон № 152-ФЗ, статья 22 — уведомление, пункт 7.1 части 3 и части 4 и 7](https://www.consultant.ru/document/cons_doc_LAW_61801/d996966e22e1320c9de1ab82d9f6be12c3d9d765/)
- [Федеральный закон № 152-ФЗ, статья 18.1 — меры оператора, пункты 1, 2, 6 части 1 и часть 4](https://www.consultant.ru/document/cons_doc_LAW_61801/eeeebe22bf738fd65bb66b95cc278911ae2525ee/)
- [КоАП РФ, статья 13.11 — нарушение законодательства в области персональных данных](https://www.consultant.ru/document/cons_doc_LAW_34661/1f421640c6775ff67079ebde06a7d2f6d17b96db/)
- [Постановление Правительства РФ от 01.11.2012 № 1119 — требования к защите персональных данных, пункты 14–16](https://base.garant.ru/70252506/)
- [Трудовой кодекс РФ, статья 60 — запрещение требовать работу, не обусловленную трудовым договором](https://www.consultant.ru/document/cons_doc_LAW_34683/4b11138f88cca50c663bdfde1ae210c80ffd8ad2/)
- [Трудовой кодекс РФ, статья 60.2 — совмещение профессий, дополнительная работа с письменного согласия работника](https://www.consultant.ru/document/cons_doc_LAW_34683/b295f8b33f12effd67f0d33a5d81060ca0671882/)
- [Федеральный закон № 273-ФЗ «Об образовании», статья 76 — дополнительное профессиональное образование, часть 3 о допуске к программам](https://www.consultant.ru/document/cons_doc_LAW_140174/18ecc06c654c0f2e1ffdf7fa3f8c1ef137f01615/)
- [Роскомнадзор — руководство по заполнению электронной формы уведомления, раздел об ответственном за организацию обработки (PDF)](https://pd.rkn.gov.ru/docs/Informacija_o_zapolnenii_jelektronnykh_uvedomlenij_po_PD.pdf)

## Частые вопросы

### Обязательно ли назначать ответственного за обработку персональных данных?

Юридическому лицу да: оператор, являющийся юридическим лицом, назначает лицо, ответственное за организацию обработки (ч. 1 ст. 22.1 закона № 152-ФЗ). ИП и физическим лицам статья 22.1 такой обязанности не устанавливает.

### Должен ли ИП назначать ответственного за персональные данные?

По статье 22.1 нет, она говорит только о юридических лицах. Но в форме уведомления Роскомнадзору поле об ответственном есть. Запрета указать самого предпринимателя в статьях 22 и 22.1 нет, прямого разъяснения Роскомнадзора для ИП без сотрудников мы не нашли.

### Кто может быть ответственным за обработку персональных данных?

Статья 22.1 требований к должности и образованию не устанавливает. На практике это работник организации с доступом к руководителю: юрист, кадровик, офис-менеджер. Он получает указания от исполнительного органа и подотчётен ему (ч. 2 ст. 22.1).

### Может ли директор быть ответственным за персональные данные?

Статья 22.1 этот случай прямо не разбирает. Ответственный получает указания от исполнительного органа и подотчётен ему, поэтому по нашему прочтению лучше назначить другого человека. Разъяснения Роскомнадзора по такой ситуации в проверенных источниках нет.

### Какие обязанности у ответственного за обработку персональных данных?

По части 4 статьи 22.1 в частности три: внутренний контроль за соблюдением законодательства, доведение его положений и локальных актов до работников, организация приёма и обработки обращений субъектов данных. Руководитель может добавить другие задачи.

### Как оформить назначение ответственного?

Форму закон не устанавливает. Обычно издаётся приказ руководителя, работник знакомится с ним под подпись. Образец с вымышленными данными разобран в статье о приказе о назначении ответственного. Если нужны документы под вашу организацию, пакет «Документы по 152-ФЗ» стоит 9 900 ₽, приказ об ответственном входит в локальные акты.

### Нужно ли указывать ответственного в уведомлении Роскомнадзору?

Да. В уведомлении указываются сведения об ответственном и его контакты (п. 7.1 ч. 3 ст. 22). Реестр операторов общедоступен, кроме сведений о средствах защиты (ч. 4 ст. 22), поэтому лучше указывать рабочие телефон и почту.

### Что делать, если ответственный уволился?

Назначить нового и подать в Роскомнадзор изменение сведений не позднее 15-го числа месяца, следующего за месяцем изменений (ч. 7 ст. 22). Если ответственный сменился 12 марта, срок до 15 апреля.

### Должен ли ответственный пройти обучение или получить удостоверение?

Закон этого не требует. Пункт 6 части 1 статьи 18.1 называет мерой оператора ознакомление и (или) обучение работников, которые обрабатывают данные. Если выберете курс, у ФТИ есть повышение квалификации «Защита персональных данных»: 72 часа дистанционно, удостоверение с записью в ФИС ФРДО. Принимают с образованием не ниже среднего профессионального.

### Ответственный за обработку и ответственный за безопасность — это одно и то же?

Нет, это разные роли. Первого требует статья 22.1 закона № 152-ФЗ. Второго постановление Правительства № 1119 называет среди требований для 3-го уровня защищённости (п. 14). Может ли это быть один человек, ни тот, ни другой документ прямо не говорят.