1
Общие положения
Цель документа, правовое основание (ст. 22.1 ФЗ-152), порядок назначения, подчинённость.
Обязательный документ152-ФЗОбновлено: 28 июня 2026 г.5 мин
Инструкция ответственного за организацию обработки персональных данных
Готовая инструкция ответственного за организацию обработки ПДн на 2026 год по ст. 22.1 ФЗ-152: обязанности, полномочия, ответственность, связь с приказом о назначении. Структура инструкции и обязанности по ст. 22.1 — ниже.
В тарифе «Стандарт» · Кибероснова Документы
* Готовится конструктор «Кибероснова Документы»: ранний доступ по листу ожидания, скидка 50 % на первый платёж.
Почему этот документ важен
Статья 22.1 ФЗ-152 обязывает каждого оператора назначить ответственного за организацию обработки ПДн. Инструкция определяет его обязанности, полномочия и зону ответственности. Без неё назначение — формальность: сотрудник не знает, что делать. При проверке Роскомнадзор запрашивает приказ о назначении И инструкцию. Отсутствие — нарушение ст. 18.1 ФЗ-152, штраф по ч. 1 ст. 13.11 КоАП: 150 000–300 000 руб. Рассчитайте сумму штрафа.
Кто такой ответственный за организацию обработки ПДн
Ответственный за организацию обработки персональных данных — это должностное лицо, которое обеспечивает соблюдение оператором требований 152-ФЗ. Назначается приказом руководителя организации в соответствии со ст. 22.1 ФЗ-152.
Это не IT-специалист и не юрист по умолчанию. Закон не предъявляет требований к конкретной должности — ответственным может быть:
- Руководитель организации — в малом бизнесе часто назначает себя;
- Заместитель руководителя — отвечает за весь блок compliance;
- Руководитель юридического отдела — правовые аспекты обработки;
- Руководитель IT/ИБ — технические аспекты защиты;
- Специально выделенный сотрудник — Data Protection Officer (DPO) по аналогии с GDPR.
Главное требование — непосредственное подчинение руководителю организации (ч. 2 ст. 22.1 ФЗ-152). Ответственный получает указания только от первого лица.
Обязанности ответственного по ст. 22.1 ФЗ-152
Закон устанавливает исчерпывающий перечень обязанностей ответственного за организацию обработки ПДн:
1. Внутренний контроль за соблюдением законодательства о ПДн оператором и его работниками.
2. Доведение до сведения работников положений законодательства о ПДн, локальных актов по вопросам обработки ПДн, требований к защите ПДн.
3. Организация приёма и обработки обращений субъектов ПДн и их представителей по вопросам обработки ПДн.
4. Контроль исполнения — обеспечение выполнения оператором обязанностей, предусмотренных ФЗ-152, в том числе при взаимодействии с Роскомнадзором.
На практике обязанности значительно шире — инструкция детализирует каждый пункт, добавляя конкретные действия: проведение аудитов, актуализацию документов, контроль обработчиков, реагирование на инциденты.
Структура инструкции ответственного
Типовая инструкция включает следующие разделы:
2
Обязанности
- Организация обработки ПДн в соответствии с 152-ФЗ
- Разработка и актуализация локальных актов по ПДн
- Проведение внутренних проверок (не реже 1 раза в год)
- Обучение сотрудников, допущенных к обработке ПДн
- Рассмотрение обращений субъектов ПДн в срок до 10 рабочих дней
- Взаимодействие с Роскомнадзором при проверках
- Контроль за соблюдением условий поручений на обработку ПДн
- Уведомление Роскомнадзора об инцидентах (72 часа!)
3
Права и полномочия
- Доступ к любым ИСПДн организации
- Запрос информации у подразделений
- Приостановка обработки при обнаружении нарушений
- Инициирование дисциплинарных взысканий
4
Ответственность
Дисциплинарная, административная, гражданская за ненадлежащее исполнение.
Инструкция — ранний доступ по листу ожидания
Образец инструкции ответственного за обработку ПДн — бесплатно. Готовится конструктор «Кибероснова Документы»: по ФИО ответственного, подразделению и специфике организации он соберёт инструкцию с перечнем обязанностей по ст. 22.1 ФЗ-152. Ранний доступ — по листу ожидания.
Создать инструкциюОтветственный за ПДн, DPO и ИБ-специалист — сравнение
| Критерий | Ответственный за ПДн (152-ФЗ) | DPO (GDPR) | Специалист по ИБ |
|---|---|---|---|
| Правовая основа | ст. 22.1 ФЗ-152 | ст. 37 GDPR | Приказ ФСТЭК № 21 |
| Обязательность | Да, для всех операторов | Да, для ряда организаций | Не обязателен |
| Подчинённость | Руководителю организации | Высшему руководству | Руководителю IT/ИБ |
| Фокус | Организация обработки ПДн | Compliance с GDPR | Техническая защита информации |
| Требования к квалификации | Не установлены законом | Профессиональные знания права и практик | Профильное образование / сертификаты |
| Может совмещать | Да, с основной должностью | Да, при отсутствии конфликта | Да |
Связь инструкции с другими документами
Инструкция ответственного — часть системы документации по защите ПДн:
-
Приказ о назначении ответственного — юридическое основание. Без приказа инструкция не имеет силы. Приказ издаётся первым, инструкция утверждается одновременно или следом.
-
Положение об обработке ПДн — описывает процессы, которые контролирует ответственный. Инструкция определяет, КАК контролировать.
-
Политика обработки ПДн — публичный документ. Ответственный обеспечивает её актуальность и публикацию на сайте.
-
Регламент реагирования на инциденты — ответственный координирует расследование и уведомление Роскомнадзора в 72-часовой срок.
Все документы связаны — для них готовится конструктор «Кибероснова Документы»: он подставит данные между документами. Пока — бесплатные образцы.
Чек-лист: что должна содержать инструкция
- Ссылка на приказ о назначении ответственного
- Указание на подчинённость руководителю организации (ч. 2 ст. 22.1)
- Перечень обязанностей по ч. 4 ст. 22.1 ФЗ-152
- Организация внутренних проверок (периодичность, порядок)
- Порядок обучения сотрудников, допущенных к ПДн
- Порядок рассмотрения обращений субъектов (срок — 10 рабочих дней)
- Порядок взаимодействия с Роскомнадзором при проверках
- Порядок уведомления об инцидентах (72 часа на уведомление РКН)
- Права на доступ к ИСПДн и запрос информации
- Право приостановить обработку при нарушениях
- Ответственность за ненадлежащее исполнение обязанностей
- Подпись ответственного об ознакомлении с инструкцией
Типичные ошибки при составлении инструкции
Ошибка 1: Копирование текста ст. 22.1 без конкретики. Закон задаёт рамку, инструкция должна содержать конкретные действия: сроки проверок, порядок обучения, форматы отчётов.
Ошибка 2: Назначение ответственного без реальных полномочий. Если сотрудник не имеет доступа к ИСПДн и не может запрашивать информацию у подразделений — инструкция фиктивна.
Ошибка 3: Отсутствие привязки к приказу. Инструкция без приказа о назначении — документ без юридической силы. Приказ и инструкция — парные документы.
Ошибка 4: Забыт порядок реагирования на инциденты. С 2023 года ответственный обязан обеспечить уведомление Роскомнадзора об утечках в 72-часовой срок.
Полный пакет документов по назначению ответственного
Приказ + инструкция + обязательство о неразглашении — три документа, которые нужны при назначении ответственного за ПДн. Все три есть в каталоге образцов.
Создать пакет документовЧасто задаваемые вопросы
Да. Статья 22.1 ФЗ-152 обязывает каждого оператора персональных данных назначить ответственного за организацию обработки ПДн. Исключений по размеру организации или объёму данных закон не предусматривает. Даже ИП с одним сотрудником, обрабатывающий ПДн клиентов, обязан назначить ответственного. В малых организациях ответственным обычно назначается сам руководитель — это допустимо и широко распространено.
Готовы создать документ под вашу организацию?
Образец — бесплатно. Конструктор документов в разработке — ранний доступ со скидкой 50 % на первый платёж. Или закажите полный пакет под ключ.