Документы по 152-ФЗ для малого бизнеса: минимальный пакет
Если набрать в поиске «документы по персональным данным», вы найдёте пакеты по 30–40 позиций за 50–150 тыс. рублей. Для банка или клиники такой объём оправдан. Для салона на пять кресел, проката на двадцать машин или небольшого автосалона большая часть этих бумаг будет лежать в папке и не будет соответствовать реальной работе — а при проверке именно расхождение документов и практики становится проблемой.
Ниже — минимальный пакет, который покрывает требования 152-ФЗ и подзаконных актов для типичного малого бизнеса, с пояснением, откуда берётся каждый документ и что в нём должно быть. Мы собирали такой пакет для собственной компании и наших облачных сервисов, поэтому описываем то, что реально пригодилось.
Откуда берутся обязательные документы
Основной перечень мер задаёт часть 1 статьи 18.1 152-ФЗ. Оператор — юридическое лицо обязан назначить ответственного за организацию обработки, издать документы о политике обработки и локальные акты, применять меры защиты, проводить внутренний контроль, оценивать вред, который может быть причинён субъектам, и знакомить работников с требованиями. Плюс отдельные документы требуют статьи 9 (согласия), 22 (уведомление), 19 (безопасность) и приказы Роскомнадзора, ФСТЭК и Правительства.
| Документ | Основание | Для ООО | Для ИП без работников |
|---|---|---|---|
| Приказ о назначении ответственного | ч. 1 ст. 22.1, п. 1 ч. 1 ст. 18.1 | Обязателен | Не требуется |
| Политика обработки ПДн (публикуется) | ч. 1–2 ст. 18.1 | Обязательна | Обязательна |
| Положение (регламент) об обработке и защите ПДн | п. 2 ч. 1 ст. 18.1 | Обязательно | По желанию |
| Перечень целей, данных и сроков хранения | п. 2 ч. 1 ст. 18.1, ч. 3.1 ст. 22 | Обязателен | Достаточно в политике |
| Тексты согласий (клиенты, соискатели, рассылки) | ст. 9 | Обязательны, если основание — согласие | Так же |
| Уведомление в Роскомнадзор | ст. 22 | Обязательно | Обязательно при автоматизированной обработке |
| Акт оценки вреда | п. 5 ч. 1 ст. 18.1, приказ РКН № 178 | Обязателен | Рекомендуется |
| Акт определения уровня защищённости | ПП РФ № 1119 | Обязателен | Рекомендуется |
| Перечень лиц с доступом и обязательства о неразглашении | ст. 7, ст. 19 | Обязательны | При появлении работников |
| Порядок и акты уничтожения | приказ РКН № 179 | Обязательны | Обязательны при уничтожении |
| Журнал обращений субъектов | ст. 14, 20 | Рекомендуется | Рекомендуется |
| Порядок реагирования на инциденты | ч. 3.1 ст. 21 | Рекомендуется | Рекомендуется |
1. Приказ о назначении ответственного
Короткий документ на одну страницу: кого назначили, какие обязанности (внутренний контроль, ознакомление работников, приём обращений субъектов — по части 4 статьи 22.1), с какой даты. В небольшой компании ответственным обычно становится директор или его заместитель. Важно, чтобы этот человек реально знал, где лежат базы и кто к ним имеет доступ: его контакты попадают в уведомление и в политику.
2. Политика обработки персональных данных
Публичный документ, который размещается на сайте и доступен со всех страниц, где собираются данные. В нём перечисляются цели обработки, категории данных и субъектов, правовые основания, сроки и способы хранения, порядок уничтожения, права субъектов и способы их реализации, сведения о мерах защиты. Политика должна совпадать с уведомлением в реестре операторов: Роскомнадзор сравнивает эти документы.
Собрать политику под свою компанию можно в генераторе политики конфиденциальности. Главное — не копировать чужую: в ней будут чужие цели и чужие сервисы.
3. Положение об обработке и защите ПДн
Внутренний документ для сотрудников. Описывает, кто и в каких системах работает с данными, как выдаются и отзываются доступы, где хранятся бумажные документы, как часто делаются резервные копии, что делать при запросе клиента или при утечке. Для малого бизнеса хорошее положение занимает 5–10 страниц. Если оно на 60 страниц, скорее всего, это шаблон, который никто не читал.
4. Перечень целей, данных и сроков
Таблица, которая лежит в основе всех остальных документов. Для каждой цели: какие данные, чьи, на каком основании, где хранятся, сколько и как уничтожаются. Её удобно вести в Excel и обновлять при каждом изменении — запуске онлайн-записи, подключении рассылок, найме сотрудников. Из неё же заполняется уведомление: порядок подробно описан в статье уведомление в Роскомнадзор об обработке ПДн.
| Цель | Данные | Основание | Где хранятся | Срок |
|---|---|---|---|---|
| Запись и оказание услуг | ФИО, телефон, история визитов | Договор | CRM | 3 года после последнего визита |
| Заявки с сайта | Имя, телефон, e-mail | Согласие | CRM | До отзыва согласия или 1 год |
| Кадровый учёт | Паспорт, СНИЛС, ИНН, сведения о доходах | ТК РФ, НК РФ | Бухгалтерская программа | По срокам архивного хранения |
| Рассылки | Имя, телефон, e-mail | Согласие | Сервис рассылок | До отзыва согласия |
Сроки в таблице — пример; для кадровых документов они определяются законодательством об архивном деле, для клиентских — вашими целями и сроками исковой давности.
5. Тексты согласий
С 1 сентября 2025 года согласие оформляется отдельно от других документов (ч. 1 ст. 9 152-ФЗ). Нужны отдельные тексты для каждой ситуации: заявка с сайта, запись, рассылки, соискатели, а при необходимости — письменное согласие на обработку специальных категорий (например, анкета здоровья в салоне) и согласие на распространение (фото «до и после» в соцсетях). Как оформить это в формах — в статье согласие на обработку ПДн отдельным документом.
6. Акт оценки вреда
Пункт 5 части 1 статьи 18.1 требует оценивать вред, который может быть причинён субъектам при нарушении закона. Требования к оценке утверждены приказом Роскомнадзора от 27.10.2022 № 178: вред оценивается как высокий, средний или низкий в зависимости от того, какие данные и в каких целях обрабатываются. Например, обработка специальных категорий или биометрии ведёт к высокой степени. Акт может быть бумажным или электронным.
7. Акт определения уровня защищённости
Постановление Правительства РФ от 01.11.2012 № 1119 устанавливает четыре уровня защищённости информационных систем персональных данных. Уровень зависит от типа актуальных угроз, категорий данных и количества субъектов. У большинства малых компаний, которые обрабатывают обычные данные клиентов в типовой CRM, получается четвёртый или третий уровень. Под него подбираются меры из приказа ФСТЭК России от 18.02.2013 № 21. Разбор того, как это связано с выбором хостинга, — в статье уровни защищённости ПДн и хостинг.
8. Перечень лиц с доступом и обязательства
Список должностей, которым нужен доступ к данным, и подписанные сотрудниками обязательства о неразглашении. Это ещё и защита бизнеса: при уходе менеджера с базой клиентов именно эти документы станут доказательством, что он знал о конфиденциальности. Подробнее — в статье менеджер ушёл с клиентской базой.
9. Порядок и акты уничтожения
Приказ Роскомнадзора от 28.10.2022 № 179 определяет, как подтверждать уничтожение данных. Если обработка автоматизированная, уничтожение подтверждается актом и выгрузкой из журнала регистрации событий в информационной системе. Акт и выгрузка хранятся три года. Практический вывод: ваша CRM должна уметь вести журнал действий, иначе подтвердить удаление данных клиента нечем.
10. Журнал обращений и порядок реагирования на инциденты
Журнал запросов субъектов прямо законом не назван, но без него сложно доказать, что вы ответили клиенту в течение 10 рабочих дней. Порядок реагирования на инциденты нужен, чтобы уложиться в сроки уведомления Роскомнадзора об утечке: 24 часа на первичное уведомление и 72 часа на результаты внутреннего расследования (ч. 3.1 ст. 21). План на первые сутки — в статье утечка ПДн: уведомление Роскомнадзора за 24 и 72 часа.
Что можно не делать малому бизнесу
- Модель угроз на 80 страниц для типовой облачной CRM. Достаточно обоснованного определения актуальных угроз в акте уровня защищённости.
- Отдельные журналы на каждый тип носителя, если у вас нет бумажного архива с персональными данными.
- Сертифицированные средства защиты там, где они не требуются для вашего уровня защищённости.
- «Согласие на обработку» для клиентов, данные которых вы обрабатываете для исполнения договора. Основание уже есть — пункт 5 части 1 статьи 6.
Порядок работы на одну неделю
- День 1. Инвентаризация: какие данные, где хранятся, кто имеет доступ. Заполните таблицу целей.
- День 2. Приказ об ответственном, перечень лиц с доступом, обязательства сотрудников.
- День 3. Политика и тексты согласий, размещение на сайте, отдельные галочки в формах.
- День 4. Акт оценки вреда и акт уровня защищённости, положение об обработке.
- День 5. Уведомление в Роскомнадзор, проверка CRM: роли, журнал действий, запрет массовой выгрузки, второй фактор.
Пройтись по всем пунктам поможет чек-лист по 152-ФЗ, а оценить, во что обойдутся пробелы, — калькулятор штрафов по 152-ФЗ.
Техническая часть: что проверят в системе
Документы описывают меры, но проверяют их работу. Минимум для CRM или сервиса записи: персональные учётные записи без общих логинов, роли с разными правами, журнал действий, подтверждение перед экспортом базы, резервное копирование и серверы в России. Если ваша система этого не умеет, никакой пакет бумаг не поможет. В наших облачных системах для автосалонов, проката и салонов эти механизмы встроены; если у вас своя CRM, мы проверим её в рамках аудита безопасности.
Вопросы и ответы
Какие документы по персональным данным обязательны для ООО?
Минимум: приказ о назначении ответственного, политика обработки ПДн на сайте, положение об обработке и защите, перечень целей и данных, тексты согласий, акт оценки вреда, акт определения уровня защищённости, перечень лиц с доступом, порядок уничтожения и уведомление в Роскомнадзор.
Нужны ли ИП все эти документы?
Нет. ИП без работников обязан опубликовать политику, получать согласия, если они нужны, подать уведомление и защищать данные. Приказ об ответственном и локальные акты по статье 18.1 адресованы юридическим лицам.
Где взять образцы документов по 152-ФЗ?
Политику можно собрать в генераторе под свои цели. Остальное лучше писать по своей таблице целей и данных, а не копировать чужие шаблоны: расхождение документов и практики — главная претензия при проверке.
Как часто нужно обновлять документы?
При каждом изменении: новые цели, новые сервисы, переезд на другой хостинг, новые категории данных. Об изменениях сведений в уведомлении Роскомнадзор нужно сообщить до 15-го числа следующего месяца.
Сколько хранить акт об уничтожении персональных данных?
По требованиям приказа Роскомнадзора № 179 акт об уничтожении и выгрузка из журнала событий хранятся три года с момента уничтожения.
Обязателен ли журнал учёта персональных данных?
Единого обязательного журнала с таким названием нет. Но журнал обращений субъектов и журнал событий в информационной системе нужны на практике: первый доказывает соблюдение сроков ответа, второй — факт уничтожения данных.