Документы по 152-ФЗ для ООО и ИП: обязательный минимум
Малому бизнесу с сайтом нужен короткий комплект документов по персональным данным. Снаружи, на сайте: политика обработки ПД и согласия у форм. В Роскомнадзоре: уведомление об обработке, после него вы появляетесь в реестре операторов. Внутри компании: приказ о назначении ответственного, положение об обработке ПД, акт оценки вреда и договоры поручения с подрядчиками, которые видят данные клиентов. Толстые регламенты, модели угроз на сотни страниц и десятки приказов небольшому сайту без медицинских и паспортных данных обычно не нужны.
Ниже — таблица с основаниями и штрафами, что внутри каждого документа, образец приказа, порядок действий и что из этого реально проверяют.
Что мы видим на сайтах
С 7 по 27 октября 2026 года сканер ScanRTM проверил 490 тысяч работающих российских сайтов; 224 тысячи из них собирают данные через формы. Среди сайтов с формами:
| Что не так | Доля сайтов с формами |
|---|---|
| Хотя бы одна форма собирает данные без согласия | 84,0% |
| На сайте не найдена ссылка на политику обработки ПД | 32,9% |
| В политике нет обязательных разделов | 45,0% |
| Политика не обновлялась несколько лет | 9,1% |
По ИНН, указанному на сайте, мы проверяем компанию в реестре операторов Роскомнадзора. У трети (33,5%) компаний записи в реестре нет. У индивидуальных предпринимателей пропуск встречается вдвое чаще: записи нет у 46% ИП против 24% у юрлиц. Видимо, многие ИП считают, что уведомление — это только для компаний. Это не так.
Внутренние документы снаружи не видны, но по тому, что видно, понятно: у большинства малых сайтов не закрыт даже внешний минимум.
Проверим политику, согласия в формах и запись в реестре операторов по ИНН. Бесплатно, около минуты.
Обязательный минимум: таблица
| Документ | Где лежит | Кому нужен | Основание | Штраф для компании, если нет |
|---|---|---|---|---|
| Политика обработки ПД | на сайте, ссылка в подвале и у форм | всем, кто собирает данные через сайт | ч. 2 ст. 18.1 152-ФЗ | 30–60 тыс. ₽ (ч. 3 ст. 13.11 КоАП) |
| Согласие на обработку ПД | у каждой формы, отдельным документом | когда основание обработки — согласие | ст. 9 152-ФЗ | 300–700 тыс. ₽ (ч. 2 ст. 13.11 КоАП) |
| Уведомление в Роскомнадзор | в реестре операторов | почти всем операторам | ст. 22 152-ФЗ | 100–300 тыс. ₽ (ч. 10 ст. 13.11 КоАП) |
| Приказ о назначении ответственного | внутри | юрлицам | ст. 22.1, п. 1 ч. 1 ст. 18.1 152-ФЗ | отдельной суммы нет, это часть проверки |
| Положение об обработке ПД | внутри | всем операторам | п. 2 ч. 1 ст. 18.1 152-ФЗ | отдельной суммы нет |
| Акт оценки вреда | внутри | всем операторам | п. 5 ч. 1 ст. 18.1 152-ФЗ, приказ РКН № 178 | отдельной суммы нет |
| Договоры поручения | у вас и у подрядчика | если данные видит подрядчик | ч. 3 ст. 6 152-ФЗ | 150–300 тыс. ₽ (ч. 1 ст. 13.11 КоАП) |
| Ознакомление сотрудников | лист ознакомления | если у сотрудников есть доступ к данным | п. 6 ч. 1 ст. 18.1 152-ФЗ | отдельной суммы нет |
ИП по ст. 13.11 КоАП отвечает как должностное лицо — суммы ниже, чем для компаний. Все штрафы по 152-ФЗ — в таблице штрафов на 2026 год.
«Отдельной суммы нет» не значит «можно не делать». Эти документы запрашивают при проверке, и их отсутствие говорит проверяющему, что работа с данными не выстроена. К тому же без них трудно доказать, что вы принимали меры, когда случится утечка или жалоба.
Политика обработки ПД
Единственный документ, который закон прямо требует опубликовать: если вы собираете данные через сайт, политика должна быть на сайте в свободном доступе (ч. 2 ст. 18.1 152-ФЗ). Поэтому её проверяют первой — и роботы Роскомнадзора, и наш сканер.
В политике пишут: кто оператор, какие данные и зачем собираются, на каком основании, сколько хранятся, кому передаются (в том числе подрядчикам), как человек может отозвать согласие или запросить свои данные. Политика должна описывать ваш сайт: если в ней нет Метрики, а Метрика стоит, или она обещает удалить данные через 30 дней, а CRM хранит их годами, документ работает против вас. Пошагово, с образцом для лендинга — в статье «Как составить политику обработки ПД».
Согласие на обработку ПД
Нужно там, где у вас нет другого основания: формы заявок до заключения договора, подписки, отзывы, аналитика и реклама. С 1 сентября 2025 года согласие оформляется отдельно от других документов (Федеральный закон № 156-ФЗ): галочка «принимаю условия и политику» больше не годится. Галочку человек ставит сам, отмеченная заранее согласием не считается. Подробно — «Согласие на обработку ПД: когда нужно».
Уведомление в Роскомнадзор
Уведомление о намерении обрабатывать персональные данные подают до начала обработки (ст. 22 152-ФЗ). С 1 сентября 2022 года исключений почти не осталось: сайт с формой заявки под них не попадает, и размер бизнеса значения не имеет. Подать можно через Госуслуги или на портале персональных данных Роскомнадзора, после этого вы появляетесь в публичном реестре операторов. Если сведения изменились (адрес, цели, состав данных), уведомление нужно обновить — не позднее 15-го числа следующего месяца.
С чего начать — «Уведомление в Роскомнадзор: зачем и кому», пошагово — «Как подать уведомление в РКН», проверить себя — «Реестр операторов: как проверить».
Приказ о назначении ответственного
Компания-оператор обязана назначить лицо, ответственное за организацию обработки ПД (ст. 22.1 152-ФЗ). Это не то же самое, что специалист по защите информации: ответственный следит за документами, согласиями и сроками хранения и отвечает на запросы клиентов. В небольшой компании им обычно становится директор, бухгалтер или тот, кто и так ведёт клиентскую базу. ИП без сотрудников отдельный приказ не нужен: эту роль выполняет сам предприниматель.
Приказ пишется в свободной форме. Короткий образец:
Приказ № [__] от [дата]. О назначении ответственного за организацию обработки персональных данных.
1. Назначить ответственным за организацию обработки персональных данных в [ООО «…»] [должность, ФИО] с [дата].
2. Возложить на ответственного: внутренний контроль за соблюдением законодательства о персональных данных; доведение до работников требований к обработке ПД; приём и обработку обращений и запросов субъектов персональных данных.
3. Контроль за исполнением приказа оставляю за собой.
[Директор, подпись]. С приказом ознакомлен(а): [ФИО, подпись, дата].
Контакт ответственного (или общий адрес для обращений) стоит указать и в политике: туда люди пишут запросы и отзывы согласия.
Положение об обработке ПД
Политику часто путают с положением. Разница простая: политика — для посетителей, она висит на сайте. Положение — для сотрудников, оно лежит внутри и описывает, как в компании на самом деле работают с данными. Закон требует таких внутренних документов от каждого оператора (п. 2 ч. 1 ст. 18.1 152-ФЗ).
Что в нём должно быть:
- какие данные, о ком и зачем вы обрабатываете (то же, что в политике, но подробнее — по каждой форме и системе);
- кто из сотрудников и к каким данным имеет доступ;
- где хранятся данные и через сколько удаляются;
- меры защиты: пароли, разграничение доступа, резервные копии;
- как отвечать на запросы клиентов: на ответ закон даёт 10 рабочих дней, на прекращение обработки после отзыва согласия — 30 дней;
- что делать при утечке: первое уведомление Роскомнадзора — в течение 24 часов, результаты расследования — в течение 72 часов;
- как уничтожать данные и чем подтверждать уничтожение (акт, а при обработке в системе — ещё и выгрузка из журнала, по приказу РКН № 179).
Для небольшого бизнеса это 3–5 страниц, а не том. Главное — чтобы положение совпадало с реальностью. Документ, по которому «доступ только у ответственного», а на деле общий пароль от CRM знают все, при проверке не защищает.
Оценка вреда
С 1 марта 2023 года каждый оператор должен оценить, какой вред людям может причинить нарушение закона при обработке их данных. Методика — приказ Роскомнадзора № 178 от 27.10.2022: он выделяет высокую, среднюю и низкую степень вреда и перечисляет признаки каждой. Результат оформляется актом оценки вреда — обычно это одна-две страницы. Обработка медицинских, биометрических данных и данных детей поднимает степень вреда, а вместе с ней и требования к остальным документам.
Модель угроз и меры защиты
Это то, что чаще всего пугает. Закон требует определить угрозы безопасности данных и принять меры защиты (ст. 19 152-ФЗ). Уровни защищённости и состав мер задают постановление Правительства № 1119 и приказ ФСТЭК № 21. Для небольшого сайта с обычными контактными данными до 100 тысяч человек это, как правило, самый низкий уровень защищённости. Тогда хватает короткого документа об угрозах и реальных мер: свежая CMS и плагины, отдельные учётные записи вместо общего пароля, резервные копии, хранение данных в России.
Полноценная модель угроз по методике ФСТЭК и аттестация систем — история для клиник, страховых, кадровых систем и тех, кто обрабатывает медицинские или биометрические данные. Если это ваш случай, комплект документов лучше собирать с юристом и специалистом по защите информации.
Договоры поручения с подрядчиками
Чат, CRM, коллтрекинг, сервис рассылок, хостинг, веб-студия — каждый, кто обрабатывает данные ваших клиентов по вашему заданию, должен работать по договору поручения. В нём закон требует восемь условий, а отвечать за подрядчика перед клиентами всё равно будете вы. Образец пунктов и таблица «кому нужно» — в статье «Поручение обработки ПД: договор с подрядчиком и образец».
Журналы: согласия и обращения
Прямо закон их не называет, но без них трудно доказать, что вы всё делали правильно. Если клиент заявит, что согласия не давал, доказывать обратное придётся вам. Поэтому стоит сохранять:
- согласия: кто, когда, на что, каким способом и на какой редакции текста — «Как хранить доказательство согласия»;
- обращения: дата, канал, суть запроса, что и когда ответили — см. «Права субъекта персональных данных».
Отдельная система не нужна: хватит защищённой таблицы или журнала CRM, если в них сохраняются эти поля и записи нельзя незаметно изменить задним числом.
В каком порядке всё делать
- Разберитесь, что собираете. Пройдите по сайту: формы, чат, калькуляторы, подписки, аналитика. Для каждой точки запишите, какие данные, зачем и куда они уходят. Отчёт сканера покажет формы и сторонние сервисы.
- Напишите и опубликуйте политику под то, что нашли.
- Поставьте согласия у форм: отдельный текст, пустая галочка.
- Подайте уведомление в Роскомнадзор и через несколько дней найдите себя в реестре.
- Подпишите приказ об ответственном и ознакомьте сотрудников.
- Напишите положение и акт оценки вреда — короткие, но по факту.
- Соберите договоры поручения со всеми подрядчиками.
- Раз в полгода сверяйтесь: новая форма, новый виджет или новый подрядчик меняют и политику, и уведомление.
Первые четыре шага видны снаружи — с них и начинайте. Остальное можно доделать за следующую неделю.
Что обычно избыточно для малого бизнеса
- приказы о контролируемых зонах, перечни помещений и отдельные инструкции под каждую должность;
- аттестация информационных систем и сертифицированные средства защиты — если нет спецкатегорий данных и больших объёмов;
- «полный пакет из 30 документов» за деньги, если он не описывает ваши реальные процессы.
Лишние документы не защищают: каждый из них нужно исполнять, и расхождение между бумагой и жизнью проверяющий заметит быстрее, чем отсутствие бумаги. Подробнее о том, что закон требует от небольших сайтов, — «152-ФЗ для маленьких сайтов».
Частые вопросы
Нужен ли этот комплект ИП без сотрудников?
Да, но он короче. Политика, согласия и уведомление в Роскомнадзор нужны так же, как компании. Приказ об ответственном не нужен, положение и оценку вреда можно уложить в один короткий документ.
Нужны ли документы сайту-визитке без форм?
Если сайт вообще не собирает данные — нет форм, чата, аналитики и рекламных пикселей, — требований почти нет. Но Яндекс Метрика и пиксель VK тоже собирают персональные данные. Если они стоят на сайте, вы оператор, и минимум нужен: как минимум политика, cookie-баннер и уведомление.
Можно ли взять готовые шаблоны документов?
Как основу — да. Но шаблон нужно переписать под ваши формы, сервисы и сроки. Документ, который не совпадает с тем, что происходит на сайте, при проверке работает против вас. Политику и уведомление в Роскомнадзор можно собрать в мастерах в личном кабинете ScanRTM по данным проверки вашего сайта.
Какие документы нужно отправлять в Роскомнадзор?
Только уведомление об обработке персональных данных, а если есть зарубежные сервисы — ещё уведомление о трансграничной передаче. Остальные документы хранятся у вас и предъявляются по запросу при проверке.
Что проверят в первую очередь?
То, что видно без запроса: политику на сайте, согласия в формах, cookie-баннер и запись в реестре операторов. Так работает и автоматический мониторинг Роскомнадзора, и наш сканер.
Сводные данные о политиках, согласиях и реестре операторов на российских сайтах — в нашем исследовании.
ScanRTM находит нарушения 152-ФЗ, штрафы РКН и дыры в безопасности до того, как их найдут другие.
Проверить сайт