1
Общие положения
Цель документа, правовое основание (ст. 22.1 ФЗ-152), порядок назначения, подчинённость.
Обязательный документ
152-ФЗ20265 мин
Инструкция ответственного за организацию обработки персональных данных
Готовая инструкция ответственного за организацию обработки ПДн на 2026 год по ст. 22.1 ФЗ-152: обязанности, полномочия, ответственность, связь с приказом о назначении. Скачайте образец или создайте в конструкторе.
* Образец носит информационный характер. Рекомендуем адаптировать под вашу организацию.
Почему этот документ важен
Статья 22.1 ФЗ-152 обязывает каждого оператора назначить ответственного за организацию обработки ПДн. Инструкция определяет его обязанности, полномочия и зону ответственности. Без неё назначение — формальность: сотрудник не знает, что делать. При проверке Роскомнадзор запрашивает приказ о назначении И инструкцию. Отсутствие — нарушение ст. 18.1 ФЗ-152, штраф по ч. 6 ст. 13.11 КоАП: до 150 000 руб. [Рассчитайте сумму штрафа](/shtrafy/calculator/).
Кто такой ответственный за организацию обработки ПДн
Ответственный за организацию обработки персональных данных — это должностное лицо, которое обеспечивает соблюдение оператором требований 152-ФЗ. Назначается приказом руководителя организации в соответствии со ст. 22.1 ФЗ-152.
Это не IT-специалист и не юрист по умолчанию. Закон не предъявляет требований к конкретной должности — ответственным может быть:
- Руководитель организации — в малом бизнесе часто назначает себя;
- Заместитель руководителя — отвечает за весь блок compliance;
- Руководитель юридического отдела — правовые аспекты обработки;
- Руководитель IT/ИБ — технические аспекты защиты;
- Специально выделенный сотрудник — Data Protection Officer (DPO) по аналогии с GDPR.
Главное требование — непосредственное подчинение руководителю организации (ч. 2 ст. 22.1 ФЗ-152). Ответственный получает указания только от первого лица.
Обязанности ответственного по ст. 22.1 ФЗ-152
Закон устанавливает исчерпывающий перечень обязанностей ответственного за организацию обработки ПДн:
1. Внутренний контроль за соблюдением законодательства о ПДн оператором и его работниками.
2. Доведение до сведения работников положений законодательства о ПДн, локальных актов по вопросам обработки ПДн, требований к защите ПДн.
3. Организация приёма и обработки обращений субъектов ПДн и их представителей по вопросам обработки ПДн.
4. Контроль исполнения — обеспечение выполнения оператором обязанностей, предусмотренных ФЗ-152, в том числе при взаимодействии с Роскомнадзором.
На практике обязанности значительно шире — инструкция детализирует каждый пункт, добавляя конкретные действия: проведение аудитов, актуализацию документов, контроль обработчиков, реагирование на инциденты.
Структура инструкции ответственного
Типовая инструкция включает следующие разделы:
2
Обязанности
- Организация обработки ПДн в соответствии с 152-ФЗ
- Разработка и актуализация локальных актов по ПДн
- Проведение внутренних проверок (не реже 1 раза в год)
- Обучение сотрудников, допущенных к обработке ПДн
- Рассмотрение обращений субъектов ПДн в срок до 10 рабочих дней
- Взаимодействие с Роскомнадзором при проверках
- Контроль за соблюдением условий поручений на обработку ПДн
- Уведомление Роскомнадзора об инцидентах (72 часа!)
3
Права и полномочия
- Доступ к любым ИСПДн организации
- Запрос информации у подразделений
- Приостановка обработки при обнаружении нарушений
- Инициирование дисциплинарных взысканий
4
Ответственность
Дисциплинарная, административная, гражданская за ненадлежащее исполнение.
Создайте инструкцию в конструкторе
Укажите ФИО ответственного, подразделение и специфику вашей организации — конструктор сформирует инструкцию с полным перечнем обязанностей по ст. 22.1 ФЗ-152.
Создать инструкциюОтветственный за ПДн, DPO и ИБ-специалист — сравнение
| Критерий | Ответственный за ПДн (152-ФЗ) | DPO (GDPR) | Специалист по ИБ |
|---|---|---|---|
| Правовая основа | ст. 22.1 ФЗ-152 | ст. 37 GDPR | Приказ ФСТЭК № 21 |
| Обязательность | Да, для всех операторов | Да, для ряда организаций | Не обязателен |
| Подчинённость | Руководителю организации | Высшему руководству | Руководителю IT/ИБ |
| Фокус | Организация обработки ПДн | Compliance с GDPR | Техническая защита информации |
| Требования к квалификации | Не установлены законом | Профессиональные знания права и практик | Профильное образование / сертификаты |
| Может совмещать | Да, с основной должностью | Да, при отсутствии конфликта | Да |
Связь инструкции с другими документами
Инструкция ответственного — часть системы документации по защите ПДн:
-
Приказ о назначении ответственного — юридическое основание. Без приказа инструкция не имеет силы. Приказ издаётся первым, инструкция утверждается одновременно или следом.
-
Положение об обработке ПДн — описывает процессы, которые контролирует ответственный. Инструкция определяет, КАК контролировать.
-
Политика обработки ПДн — публичный документ. Ответственный обеспечивает её актуальность и публикацию на сайте.
-
Регламент реагирования на инциденты — ответственный координирует расследование и уведомление Роскомнадзора в 72-часовой срок.
Все документы связаны — создайте их в конструкторе Кибероснова, данные автоматически подтягиваются между документами.
Чек-лист: что должна содержать инструкция
- Ссылка на приказ о назначении ответственного
- Указание на подчинённость руководителю организации (ч. 2 ст. 22.1)
- Перечень обязанностей по ч. 4 ст. 22.1 ФЗ-152
- Организация внутренних проверок (периодичность, порядок)
- Порядок обучения сотрудников, допущенных к ПДн
- Порядок рассмотрения обращений субъектов (срок — 10 рабочих дней)
- Порядок взаимодействия с Роскомнадзором при проверках
- Порядок уведомления об инцидентах (72 часа на уведомление РКН)
- Права на доступ к ИСПДн и запрос информации
- Право приостановить обработку при нарушениях
- Ответственность за ненадлежащее исполнение обязанностей
- Подпись ответственного об ознакомлении с инструкцией
Типичные ошибки при составлении инструкции
**Ошибка 1:** Копирование текста ст. 22.1 без конкретики. Закон задаёт рамку, инструкция должна содержать конкретные действия: сроки проверок, порядок обучения, форматы отчётов.
**Ошибка 2:** Назначение ответственного без реальных полномочий. Если сотрудник не имеет доступа к ИСПДн и не может запрашивать информацию у подразделений — инструкция фиктивна.
**Ошибка 3:** Отсутствие привязки к приказу. Инструкция без приказа о назначении — документ без юридической силы. Приказ и инструкция — парные документы.
**Ошибка 4:** Забыт порядок реагирования на инциденты. С 2023 года ответственный обязан обеспечить уведомление Роскомнадзора об утечках в 72-часовой срок.
Полный пакет документов по назначению ответственного
Приказ + инструкция + обязательство о неразглашении — три документа, которые нужны при назначении ответственного за ПДн. Создайте все три за 15 минут.
Создать пакет документовЧасто задаваемые вопросы
Да. Статья 22.1 ФЗ-152 обязывает каждого оператора персональных данных назначить ответственного за организацию обработки ПДн. Исключений по размеру организации или объёму данных закон не предусматривает. Даже ИП с одним сотрудником, обрабатывающий ПДн клиентов, обязан назначить ответственного. В малых организациях ответственным обычно назначается сам руководитель — это допустимо и широко распространено.
Нужен полный пакет документов по 152-ФЗ?
Подготовим комплект под ключ с адаптацией под ваш бизнес. Можно собрать самостоятельно.
Связанные материалы
Приказ о назначении ответственного за ПДнОбразец приказа о назначении ответственного за обработку персональных данных.Политика обработки ПДнОбразец политики обработки персональных данных для ООО, ИП и сайта.Положение об обработке ПДнОбразец положения об обработке персональных данных для организации 2026 года.Обязательство о неразглашении ПДнОбразец обязательства о неразглашении персональных данных для работников 2026.Инструкция по обработке ПДнИнструкция по обработке персональных данных для сотрудников — образец 2026, содержание, внедрение.Приказ об обработке ПДнОбразец приказа об обработке персональных данных 2026. Виды приказов, шаблоны.